CRACI vs Lineaje

Det korta svaret

Lineaje är en plattform för mjukvarans leveranskedja. Den skannar källkod, artefaktrepon och containrar, poängsätter risken i varje komponent, kontrollerar integritet och ursprung, åtgärdar det den kan och delar SBOM:er med kunder via SBOM360 Hub. CRACI är en GitHub Actions-runner som registrerar beroendena varje jobb faktiskt hämtade och tar fram SBOM:en från den registreringen, med en fullständighetsstatus.

Lineaje analyserar det som finns. CRACI registrerar vad bygget gjorde och bevakar det, så CI, SBOM och sårbarhetsspårning kommer från en produkt.

I korthet

Vad Lineaje gör bra

• Djup i analysen. SCA360 skannar "both the source and packaged code of every software component at every stage of software development," räknar upp obligatoriska och valfria beroendekedjor och upptäcker nåbara sårbarheter.
• Integritet och ursprung. Lineaje identifierar "embedded malicious and tampered packages," lyfter fram paket med tvivelaktigt ursprung och intygar integriteten hos varje komponent, både öppen källkod och privat. CRACI analyserar inte komponenter på det sättet.
• Åtgärdar, inte bara hittar. SBOM360 hittar kompatibla uppdateringar för direkta beroenden och åtgärdar dem automatiskt efter godkännande, och kan ta fram kompatibla, säkrare kloner av containrar. Gold Open Source erbjuder åtgärdade paket med öppen källkod, containrar och patchar.
• Utbyte av SBOM:er. SBOM360 Hub kopplar SBOM:er till produkternas SKU:er, validerar dem mot NTIA:s minimielement, håller VEX- och CSAF-dokument kopplade till varje SBOM och delar dem med kunder, distributörer och återförsäljare. Dess uppladdnings-API "is compatible with any SBOM creation tool."

Om din prioritet är att analysera och städa upp en stor befintlig portfölj, inklusive kod du inte har skrivit, täcker Lineaje mer av det området än CRACI.

Där CRACI skiljer sig

Två betydelser av proveniens

Lineaje använder proveniens främst om komponenter: varifrån ett paket med öppen källkod kom, vem som bidragit till det och om det visar tecken på manipulation. CRACI använder det om dina egna byggen: vad varje bygge hämtade. API:t returnerar SBOM:er, nätverksspårningar och proveniens; CRACI signerar inte proveniens. För dina egna releaser är vad bygget hämtade den fråga en revisor ställer.

En registrering av bygget, inte en analys av resultatet

CRACI kör jobbet. Du ändrar runs-on till craci, och en paketmedveten proxy registrerar trafiken till paketkällor under bygget: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar. Beroendebevisen följer med CI-cachar, så ett paket som återställs från en cache finns ändå med i registreringen.

Den registreringen beror inte på vilka filer som råkar finnas, och det är där skanning är som svagast: en generator rapporterar vad den känner igen i filerna framför sig, så två generatorer som riktas mot samma repo ger olika listor utan att någon av dem har fel. Lineaje kan inte jämföras på de villkoren, och det kan inte heller CRACI, som registrerar byggen och inte kan skanna en katalog.

En fullständighetsstatus på varje SBOM

NTIA-validering kontrollerar att en SBOM har de obligatoriska fälten. CRACI lägger till en signal om själva registreringen, per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Luckorna i varje SBOM är kända.

Kontroll på runnern

Eftersom CRACI kör jobbet upprätthåller det en egress-policy för nätverket: neka som standard eller tillåt som standard, med 24 inbyggda förinställningar för programvarukällor och typade egna källor, som valideras innan jobbet startar och blockerar vid fel. Lineaje kan flagga ett paket med tvivelaktigt ursprung; en egress-policy begränsar vilka källor ett bygge över huvud taget kan nå.

Bevakning

CRACI omvärderar bevakade SBOM:er löpande och sammanställer sårbarheter över byggen och repon, så fynden är knutna till det du faktiskt har levererat.

En inventering av vad som är driftsatt var

CRACI:s inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. När en ny sårbarhet dyker upp ser du vilka produkter som kör den berörda versionen i stället för att pussla ihop det från release notes och kalkylblad.

Att ersätta Lineaje med CRACI

För programvaruteam på GitHub Actions täcker CRACI kärnan i det Lineaje köps för: det tar fram SBOM:en i varje bygge, fortsätter att omvärdera bevakade SBOM:er när nya sårbarheter publiceras, sammanställer fynd över byggen och repon och låter säkerhetsteam triagera dem och skicka vart och ett till teamet som äger åtgärden. Det finns ingen separat plattform för skanning och inventering att driva.

Var tydlig med vad du avstår från. Lineaje analyserar komponenter du inte har byggt, kontrollerar paket efter manipulation och tvivelaktigt ursprung, hittar nåbara sårbarheter och erbjuder åtgärdade paket och containrar via Gold Open Source. CRACI gör inget av det i dag. SBOM360 Hub delar också SBOM:er, VEX- och CSAF-dokument med kunder och distributörer; CRACI stöder VEX och exporterar SBOM:er, men driver ingen delningshubb. Om din prioritet är att städa upp en stor befintlig portfölj, inklusive tredjepartskod, passar Lineaje bättre.

För Cyber Resilience Act

Lineaje tar upp CRA i sin vägledning om regelverk: "SBOMs must be in a machine-readable format and include the top-level dependencies of the product," och de "must be included in a product's technical documentation and provided to market surveillance authorities upon request." Det hänvisar till SBOM360, SBOM360 Hub och sin Third Party Risk Manager för regulatoriskt arbete.

CRA:s rapporteringsskyldigheter gäller från den 11 september 2026: en tidig varning inom 24 timmar för en aktivt utnyttjad sårbarhet, via CRA Single Reporting Platform. Dess huvudsakliga bestämmelser gäller från den 11 december 2027. Beroenden på högsta nivå är miniminivån; ett transitivt paket finns ändå i din produkt. CRACI registrerar hela uppsättningen beroenden varje bygge använde, dess API returnerar varje bygges SBOM i CycloneDX, proveniens och jobbets nätverksspårning, och SBOM:er exporteras som CycloneDX eller SPDX.

CRACI automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med CRA-efterlevnad. Ingen av produkterna gör en tillverkare regelefterlevande på egen hand. Se vad CRA kräver och CRA-efterlevnad med CRACI.