CRACI vs ReversingLabs Spectra Assure

Det korta svaret

ReversingLabs Spectra Assure analyserar kompilerade programvarupaket, utan källkod, för skadlig kod, manipulation, exponerade hemligheter, misstänkt beteende och sårbarheter, och tar fram en SBOM från det den hittar. CRACI är en GitHub Actions-runner som registrerar vad varje bygge drar in medan det körs, styr vad bygget kan nå och fortsätter att bevaka det som levererats. Spectra Assure är slutprovet för resultatet; CRACI är registreringen av bygget. Båda tar sig an risker i mjukvarans leveranskedja, från motsatta ändar, och de passar bra ihop.

I korthet

Vad Spectra Assure gör bra

Djup analys av det färdiga paketet. Spectra Assure använder statisk binäranalys för att bearbeta stora och komplexa programvarupaket utan källkod. Dess filtypsstöd omfattar fler än 70 arkivformat, många installationstyper och fler än 200 körbara packare, och varje fil får en klassificering: goodware, suspicious, malicious eller unknown.

Skadlig kod och manipulation. Det här är ReversingLabs hemmaplan. Spectra Assure använder 16 egna motorer för att upptäcka skadlig kod, med stöd av en databas för hotinformation som ReversingLabs säger omfattar 400 miljarder filer. Inbyggd differentiell analys jämför versioner och flaggar misstänkta ändringar och tecken på manipulation, vilket är hur du fångar en oväntad beteendeförändring i en release du själv har byggt.

SBOM:er och mer. SAFE-rapporten kombinerar en SBOM med en riskbedömning. CLI:t exporterar CycloneDX 1.6 och SPDX 3.0.1, och ReversingLabs genererar också ML-BOM-, CBOM- och SaaSBOM-vyer av samma paket.

Programvara du inte har byggt. Eftersom Spectra Assure arbetar med binärer kan det bedöma kommersiell programvara och tredjepartsprogramvara innan du driftsätter den, och den kostnadsfria Spectra Assure Community kontrollerar allmänt använda paket med öppen källkod och utvecklarverktyg.

Passar in i release-pipelines. CLI:t rl-secure körs on-premises och i CI, och en hostad Portal hanterar projekt och versioner. Officiella integrationer täcker GitHub Actions, GitLab CI, Jenkins, Azure DevOps, TeamCity och JFrog Artifactory.

Där CRACI skiljer sig

En binärskanning arbetar bakåt från det färdiga paketet. CRACI arbetar framåt från bygget, eftersom det är maskinen som bygget körs på.

Bygget är sanningskällan

Med en ändring på en rad i runs-on körs ditt arbetsflöde på CRACI. En paketmedveten proxy registrerar vad varje jobb laddar ner från paketkällor över npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, och paket som återställs från CI-cachar följer med. Varje SBOM anger hur komplett den är, per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Det inkluderar sådant som bygget hämtade och använde men inte levererade, till exempel byggverktyg och testberoenden, som en skanning av resultatet inte ser.

Kontroll över vad bygget kan nå

En egress-policy på runnern avgör vilka värdar ett jobb får ansluta till. Den valideras innan jobbet startar, blockerar vid fel och skickar en varning vid en överträdelse. En skanning efter bygget kan hitta skadlig kod i resultatet; en egress-policy kan hindra ett komprometterat beroende från att nå en icke godkänd värd under bygget.

Proveniens och bevakning

API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI signerar inte proveniens. Det fortsätter att omvärdera bevakade SBOM:er när nya säkerhetsmeddelanden dyker upp.

Vad CRACI inte gör är lika viktigt. Det analyserar inte binärer, upptäcker inte skadlig kod och jämför inte beteendet hos två releaser. Om ett byggsteg injicerar kod i resultatet visar CRACI:s registrering vad bygget hämtade och varifrån, men det är en binärskanning som inspekterar resultatet.

En inventering av vad som är driftsatt var

CRACI:s inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. När en ny sårbarhet dyker upp ser du vilka produkter som kör den berörda versionen i stället för att pussla ihop det från release notes och kalkylblad.

När du ska använda vilket, och när du ska använda båda

• Du driftsätter kommersiell programvara eller tredjepartsprogramvara. Spectra Assure. CRACI kan bara registrera byggen som körs på det.
• Du behöver bevis för vad som ingick i varje release. CRACI. Registreringen kommer från runnern, med angiven fullständighet.
• Du vill ha en release-spärr för skadlig kod och manipulation. Spectra Assure. Kör det på artefakten innan du publicerar.
• Du vill ha båda bilderna av en release. Bygg på CRACI och kör Spectra Assure-skanningen som ett steg i samma arbetsflöde. CRACI svarar på "vad gick in i det här bygget"; Spectra Assure svarar på "vad finns i det här paketet". Där de två inte stämmer överens har du något att undersöka.

För CRA

Cyber Resilience Act kräver att tillverkare dokumenterar komponenterna i sina produkter, bland annat med en SBOM, och hanterar sårbarheter så länge en produkt får support. Rapportering av aktivt utnyttjade sårbarheter gäller från september 2026. ReversingLabs listar CRA bland de regelverk som dess SBOM-funktioner stöder, och dess analys av paketet du släpper ut på marknaden är användbara bevis. CRACI lägger till bevis per bygge om vad som ingick i det paketet, med proveniens, löpande bevakning och SBOM-export som CycloneDX eller SPDX. CRACI automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med CRA-efterlevnad; inget av verktygen gör en produkt regelefterlevande på egen hand. Läs vad CRA kräver.

Lägg till CRACI bredvid Spectra Assure

Behåll ditt skanningssteg med Spectra Assure. Flytta release-jobbet till en CRACI-runner genom att sätta runs-on: craci, så fortsätter samma arbetsflöde att köras i GitHub Actions medan CRACI registrerar bygget. ReversingLabs GitHub Actions är vanliga arbetsflödessteg, så skanningen stannar i samma jobb; om du sätter en egress-policy ska du tillåta värdarna som skannern behöver. CRACI har i dag stöd för enbart GitHub Actions, så pipelines i GitLab, Jenkins eller Azure DevOps skulle behöva flyttas för att använda CRACI-runners. GitLab CI och Jenkins finns på roadmapen. Se hur CRACI fungerar för hemelektronik och SaaS.