Verktyg och plattformar för säkerhet i mjukvarans leveranskedja (2026)

Vem den här sidan är till för

Du har fått uppdraget att "säkra vår mjukvaruleveranskedja" och behöver bestämma vart budgeten ska gå. Verktygen nedan verkar på olika ställen: över dina repon och pipelines, på bygg-runnern, vid paketregistret eller på den färdiga artefakten. Vi bygger CRACI, som konkurrerar direkt i den här kategorin, så väg in det. Vi beskriver varje verktyg utifrån dess egen dokumentation och säger var ett annat verktyg passar bättre.

Vad är säkerhet i mjukvarans leveranskedja?

För hela guiden, se vad är säkerhet i mjukvarans leveranskedja och checklistan med bästa praxis.

Din programvara är din egen kod plus allt den är beroende av: open source-paket, basavbilder, byggverktyg, CI-actions från tredje part och pipelinen som gör dem till en release. Säkerhet i mjukvarans leveranskedja är arbetet med att veta vilka de delarna är, styra var de kommer ifrån och bevisa vad som ingick i varje release. Applikationssäkerhet letar efter brister i koden du skriver; säkerhet i leveranskedjan täcker det som omger den.

Angripare ger sig på varje länk. Tre aktuella incidenter visar var:

• Ett beroende. I mars 2024 hittades skadlig kod i versionerna 5.6.0 och 5.6.1 av xz utils, ett komprimeringsbibliotek som levereras i Linux-distributioner (CVE-2024-3094).
• CI-pipelinen. I mars 2025 komprometterades GitHub-actionen tj-actions/changed-files (CVE-2025-30066), vilket exponerade hemligheter som åtkomstnycklar, personliga åtkomsttokens för GitHub och npm-tokens från arbetsflödena som använde den.
• Paketregistret. I september 2025 komprometterade den självreplikerande masken Shai-Hulud fler än 500 npm-paket. Den stal utvecklares inloggningsuppgifter, däribland GitHub-tokens och molnnycklar, och använde dem för att publicera fler infekterade paket.

1:53

Vilka typer av verktyg för säkerhet i mjukvarans leveranskedja finns det?

Ingen enskild produkt täcker varje länk, och leverantörerna nedan menar olika saker med "säkerhet i leveranskedjan". De flesta lösningar hör till någon av sju typer, som definieras av var de verkar.

Hur väljer du en plattform för säkerhet i mjukvarans leveranskedja?

Utgå från frågan du inte kan besvara i dag, och välj sedan verktyget som verkar där svaret finns. Sex frågor skiljer alternativen åt snabbt.

• Behöver du bredd eller djup? En plattform för application security posture management (ASPM) ansluter till dina repon, pipelines och skannrar och prioriterar risk över dem alla. Ett verktyg på byggnivå går djupare på en punkt: vad som hände medan programvaran byggdes.
• Vill du behålla dina runners? Agenter som StepSecurity Harden-Runner och Cycodes Cimon lägger till övervakning på runners du redan använder. CRACI ersätter runnern för GitHub Actions.
• Ligger risken i dina indata? Om du oroar dig mest för skadliga paket eller basavbilder fulla av CVE:er går verktyg som granskar eller härdar indata direkt på problemet.
• Levererar du programvara du inte har byggt? Bara binäranalys kan titta inuti ett paket utan tillgång till bygget.
• Vilka CI-system kör du? De flesta verktyg här täcker flera. CRACI har i dag bara stöd för GitHub Actions, med GitLab CI och Jenkins på roadmapen.
• Vad måste du bevisa, och för vem? Kunder, revisorer och regelverk som EU:s Cyber Resilience Act frågar allt oftare efter en SBOM per release och en registrering av hur sårbarheter hanterades. En instrumentpanel med fynd är inte samma sak som bevis på vad som levererades.

Ställ sedan samma frågor till varje leverantör på din kortlista:

• Varifrån kommer er komponentlista: manifest, källkodsanalys, bygget eller den färdiga binären?
• Talar SBOM:en om för mig när den är ofullständig, och kan den exporteras som CycloneDX eller SPDX?
• Kan ni hindra ett bygge från att nå en oväntad värd, eller bara rapportera det i efterhand?
• Kan jag senare verifiera att artefakten jag driftsätter är den som byggdes?
• Vilka versionshanterings- och CI-system har ni stöd för i dag, och vilka finns på roadmapen?
• Vad är prisenheten: utvecklare, bidragsgivare, avbilder, byggen eller offert?

Hur står sig verktygen mot varandra?

Verktygen är av två slag, så det finns två tabeller. Den första jämför plattformar och byggsäkerhetsverktyg utifrån hur de ser och styr pipelinen. Den andra jämför verktyg som arbetar med indata och utdata. "Ej angivet" betyder att leverantörssidorna vi hänvisar till inte säger något i frågan.

Plattformar och byggsäkerhet

Indata och utdata

Vad kostar verktyg för säkerhet i mjukvarans leveranskedja?

Fem av de nio verktygen nedan prissätts per utvecklare, och de flesta säljer sina betalplaner via säljteamet. CRACI tar i stället bara betalt för byggminuter, så kostnaden följer hur mycket du bygger snarare än hur många personer som gör commits. Priserna är de som varje leverantör publicerade i september 2026; Apiiro och Legit Security är utelämnade eftersom deras sidor inte anger några priser.

Prissättning per utvecklare växer med ditt team; prissättning per byggminut växer med dina pipelines. CRACI:s pris inkluderar runner-minuterna, som ersätter det du betalar för GitHub-hostade runners. Se CRACI:s priser och runner-priser i jämförelse. För diagram över de publicerade priserna efter teamstorlek, med runnern inräknad, se priser för säkerhet i mjukvarans leveranskedja i jämförelse.

CRACI

CRACI är en runner för GitHub Actions. Du ändrar runs-on till craci, och medan varje jobb körs registrerar en paketmedveten proxy vad det hämtade, inklusive paket som återställs från CI-cachar. Varje SBOM har en fullständighetsstatus per jobb och per cache, en egress-policy valideras innan jobbet startar och blockerar vid fel, och CRACI fortsätter att omvärdera SBOM:erna för det som levererats. Bäst för team som levererar programvara och måste visa vad som ingick i varje release. Se upp: ingen SAST, skanning av hemligheter eller IaC, inga kontroller av säkerhetsläget eller binäranalys, och i dag bara GitHub Actions (GitLab CI och Jenkins finns på roadmapen). SBOM-generering under bygget

Plattformar och ASPM

Apiiro

Apiiro är en ASPM-plattform. Deep Code Analysis kartlägger din arkitektur från kod till körning, och Risk Graph korrelerar fynd från Apiiros egna skannrar och tredjepartsverktyg till "toxic combinations". Dess modul för leveranskedjan inventerar repon och pipelines, inklusive skuggpipelines, och flaggar svagt grenskydd och avvikande commits. Den ansluter via API:er och kräver inga ändringar i CI. Bäst för stora AppSec-program som vill ha arkitekturkontext över många versionshanteringssystem. Se upp: dess inventering kommer från analys av kod, inte från observation av byggen, och den styr inte vad ett bygge kan nå. CRACI vs Apiiro

Cycode

Cycode är en ASPM-plattform med SAST, SCA, skanning av hemligheter, containrar och IaC, CI/CD-säkerhetsläge och fler än 100 kopplingar. Dess byggdel, Cimon, är en eBPF-agent som körs inne i dina CI-jobb. Den övervakar processer, nätverks-egress och filåtkomst, lär sig en pipelines normala beteende innan den upprätthåller det, tar fram en SBOM som observerats under körning och signerar SLSA-proveniens. Cycode säger att Cimon är gratis och har öppen källkod. Bäst för en plattform över kod och många CI-system, med runtime-skydd för byggen på runners du behåller. Se upp: Cimon är en agent som läggs till på dina runners, inte själva runnern. CRACI vs Cycode

OX Security

OX Security är en ASPM-plattform med egna skannrar, sammanställning av tredjepartsfynd från verktyg som Checkmarx, Snyk och Black Duck, och policyer för CI/CD-säkerhetsläget som flaggar olåsta actions, för stora behörigheter i arbetsflöden och riskfyllda webhooks. Dess Pipeline Bill of Materials (PBOM) är en signerad registrering per bygge av pipelinedefinitioner, runner-identitet, byggargument och artefaktsignaturer. Bäst för policyer för säkerhetsläget och spärrar i pull requests över GitHub Actions, GitLab, Jenkins, Azure Pipelines och CircleCI. Se upp: dess SBOM samlas in från anslutna källor, och dess policyer kontrollerar pipelinekonfiguration snarare än att begränsa vad ett körande jobb kan nå. CRACI vs OX Security och Alternativ till OX Security

Legit Security

Legit Security kartlägger hela din utvecklingslivscykel: en löpande uppdaterad inventering av SDLC-system, pipelines och säkerhetskontrollerna på dem, med hundratals policyer över versionshantering, CI och register. Det orkestrerar skannrar som Snyk, Checkmarx och GitHub Advanced Security, lägger till inbyggd SAST och SCA, hittar hemligheter i byggloggar, Slack och Confluence såväl som i kod, och skapar SBOM:er och signerade attesteringar. Bäst för ett säkerhetsteam som ärvt många repon och flera CI-system och behöver ett enda styrningslager. Se upp: det läser konfiguration och skannerresultat via API:er, så det ser inte ett jobbs nätverkstrafik medan det körs. CRACI vs Legit Security och Alternativ till Legit Security

Kusari

Kusari kommer från teamet som var med och skapade GUAC, OpenSSF:s graf för metadata om leveranskedjan. Dess plattform bygger en kunskapsgraf från dina SBOM:er, VEX-dokument och skannerresultat, visar spridningsradien för en ny sårbarhet, analyserar reachability och öppnar AutoFix-pull requests som den validerar först. Kusari Inspector granskar pull requests efter skadliga paket, hemligheter och osäkra arbetsflöden, och Kusari säger att det är gratis att installera. Bäst för en graf över många SBOM-källor och skannrar. Se upp: en graf speglar de SBOM:er den matas med, och Kusaris kommer från en generator (dess verktygslåda waybill eller ditt eget verktyg) snarare än från bygget. CRACI vs Kusari och Alternativ till Kusari

Endor Labs

Endor Labs är byggt kring reachability på funktionsnivå: statisk programanalys spårar om din kod kan anropa en sårbar funktion i ett direkt eller transitivt beroende, vilket enligt Endor Labs minskar SCA-fynden med 92 %. Analys av uppgraderingspåverkan, automatiska pull requests och Endor Patches, som bakåtporterar korrigeringar till versionen du kör, hanterar åtgärdandet. Det täcker också AI SAST, hemligheter, containrar, en Package Firewall framför dina register och en SBOM Hub med reachability-baserad VEX. Bäst för team vars främsta problem är mängden larm. Se upp: dess inventering kommer från analys av källkod, och det varken kör eller begränsar dina byggen. CRACI vs Endor Labs

Bygg- och runner-säkerhet

StepSecurity

StepSecurity Harden-Runner är den närmaste överlappning CRACI har med någon säkerhetsleverantör. Det är en agent på de GitHub Actions-runners du redan använder, inklusive GitHub-hostade, och den kopplar varje utgående anslutning, process och filskrivning till det steg i arbetsflödet som orsakade den. Den kan granska först, bygga en baslinje per jobb, och sedan blockera egress till allt utanför en tillåtelselista. StepSecurity säljer också Secure Registry, pull requests för härdning av repon och Dev Machine Guard. Bäst för team som vill behålla GitHub-hostade eller egenhostade runners, eller som kör GitLab CI eller Azure DevOps. Se upp: dess tillåtelselista är en lista över slutpunkter, och den registrerar destinationer snarare än en SBOM på paketnivå. CRACI vs StepSecurity

Säkerhet för paket och indata

Socket

Socket analyserar hur open source-paket beter sig: installationsskript, nätverks- och filsystemsåtkomst, obfuskerad kod, känd skadlig kod och typosquats. Det flaggar riskfyllda tillägg i pull requests, och Socket Firewall blockerar skadliga paket vid installation, med en gratisversion för npm, yarn, pnpm, pip, uv och cargo. Det erbjuder också reachability-analys. Bäst för att stoppa dåliga paket innan de når dig, även sådana som ännu saknar säkerhetsmeddelande. Se upp: det läser manifest och lockfiler som ett projekt deklarerar, och dess brandvägg filtrerar paketinstallationer, inte resten av ett jobbs nätverkstrafik. CRACI vs Socket

Chainguard

Chainguard bygger open source-programvara från källkod och levererar den härdad: containeravbilder som företaget kallar zero-CVE, bibliotek för Java, Python och JavaScript som byggts om från verifierad källkod, VM-avbilder och härdade GitHub Actions, alla med en signerad SBOM och SLSA-proveniens. För kunder med en beställning åtar det sig att åtgärda kritiska CVE:er inom 7 dagar och andra allvarlighetsgrader inom 14 dagar från en kvalificerande patch. Bäst för team vars skannrar fortsätter att flagga CVE:er i basavbilder. Se upp: dess SBOM:er och proveniens beskriver Chainguards artefakter. Ditt eget bygge behöver ändå en egen registrering, och därför fungerar Chainguard bra ihop med ett verktyg på byggnivå. CRACI och Chainguard

Binäranalys

ReversingLabs

ReversingLabs Spectra Assure analyserar färdiga programvarupaket utan källkod, med statisk binäranalys, 16 motorer för upptäckt av skadlig kod och differentialanalys som flaggar misstänkta ändringar mellan versioner. Det exporterar SBOM:er i CycloneDX och SPDX från binären och kan bedöma kommersiell programvara och tredjepartsprogramvara innan du driftsätter den. Bäst för en releasespärr mot skadlig kod och manipulation, och för programvara du inte har byggt. Se upp: det arbetar baklänges från resultatet, så det ser inte byggverktyg eller testberoenden som bygget hämtade men inte levererade. CRACI vs ReversingLabs

Ramverk och regelverk bakom kategorin

Mycket av efterfrågan på de här verktygen kommer från ramverk och regler som kräver en förteckning över komponenter, en registrering av hur programvara byggdes och en process för att hantera sårbarheter.

• SLSA (Supply-chain Levels for Software Artifacts) är en uppsättning riktlinjer som kan införas stegvis och som underhålls som ett branschöverskridande samarbete under Linux Foundation. Dess Build-spår betygsätter hur tillförlitlig ett bygges proveniens är.
• NIST SSDF (SP 800-218, version 1.1, februari 2022) anger arbetssätt för säker programvaruutveckling för att minska sårbarheter i släppt programvara.
• USA:s Executive Order 14028, avsnitt 4(e), beordrade vägledning för mjukvarans leveranskedja som inkluderar att ge en köpare en SBOM för varje produkt. Den formar vägledningen för federal upphandling snarare än att direkt binda varje leverantör.
• CISA, NSA och ODNI publicerade "Securing the Software Supply Chain: Recommended Practices Guide for Customers" 2023, som täcker upphandling, testning, driftsättning, patchning och SBOM:er.
• EU:s Cyber Resilience Act (förordning (EU) 2024/2847): rapporteringsskyldigheterna träder i kraft den 11 september 2026 och förordningen gäller fullt ut från den 11 december 2027.
• NIS2 artikel 21(2) nämner säkerhet i leveranskedjan och sårbarhetshantering bland de åtgärder som krävs, och USA:s FDA kräver en SBOM av tillverkare av cyberenheter.

Inget av dessa ramverk nämner någon produktkategori. Det de har gemensamt är bevis: en korrekt komponentlista per release, en registrering av hur den byggdes och belägg för att sårbarheter har spårats.

Var passar CRACI in?

CRACI är en runner för GitHub Actions. Du ändrar runs-on till craci, och medan varje jobb körs registrerar en paketmedveten proxy vad det hämtade, inklusive paket som återställs från CI-cachar. Varje SBOM har en fullständighetsstatus per jobb och per cache. En egress-policy, neka som standard eller tillåt som standard, valideras innan jobbet startar och blockerar vid fel. CRACI fortsätter att omvärdera SBOM:erna för det som levererats. CRACI:s inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. Resultatet är en SBOM per bygge, en registrering av vad varje bygge nådde och proveniensdata från API:t, vilket automatiserar en betydande del av den insyn i och de bevis om leveranskedjan som din CRA-process behöver.

CRACI är inte rätt val om du behöver SAST eller skanning av hemligheter eller IaC, kontroller av säkerhetsläget över dina repon, ett granskningsläge före blockering, blocklistor för paket (på roadmapen), binäranalys eller andra CI-system än GitHub Actions i dag (GitLab CI och Jenkins finns på roadmapen). Många team kombinerar det med ett verktyg ovan: en ASPM-plattform för kod och säkerhetsläge, Socket eller Chainguard för indata, ReversingLabs för utdata. Läs mer om SBOM-generering under bygget, CI/CD-integration och priser, eller boka en demo för att se ett registrerat bygge från början till slut.

Jämför verktyg för varje del av leveranskedjan

Den här sidan är översikten. Varje område har sin egen djupare jämförelse och sina egna guider.

• SBOM:er: SBOM-verktyg i jämförelse, SBOM-generering under bygget, varför SBOM:er från bygget och så genererar du en SBOM i GitHub Actions.
• Runners och CI/CD-säkerhet: Leverantörer av GitHub Actions-runners, säkerhetsverktyg för runners, säkerhetschecklista för CI/CD-pipelines och egress-policy för GitHub Actions.
• Beroenden: SCA-verktyg i jämförelse och transitiva beroenden förklarade och vad software composition analysis är.
• Reglering: verktyg för CRA-efterlevnad.
• Varför bygget: därför hör säkerhet i leveranskedjan hemma i CI och säkerhet i mjukvarans leveranskedja med CRACI, och varför intern programvara och programvara med låg risk också behöver det.

CRACI jämfört med varje verktyg

• CRACI jämfört med Apiiro Riskgraf från koden jämfört med underlag från bygget.
• CRACI jämfört med Cycode ASPM plus en byggagent jämfört med själva byggrunnern.
• CRACI jämfört med OX Security PBOM från anslutna verktyg jämfört med en registrering från runnern.
• CRACI jämfört med Legit Security Att säkra SDLC jämfört med att registrera bygget.
• CRACI jämfört med Kusari Graf över leveranskedjan jämfört med SBOM:er från bygget med bevakning.
• CRACI jämfört med ReversingLabs Binäranalys av resultatet jämfört med underlag från bygget.
• CRACI jämfört med Socket Analys av paketbeteende jämfört med observation av bygget.
• CRACI jämfört med Chainguard Säkra indata jämfört med ett säkert, registrerat bygge.
• CRACI jämfört med Xygeni AppSec-plattform med byggattesteringar jämfört med att vara byggrunnern.
• CRACI jämfört med Wiz Fynd om arbetsflödenas säkerhetsläge jämfört med regler som verkställs inne i jobbet.
• CRACI jämfört med Safeguard Skanning och automatisk AI-åtgärd jämfört med att registrera själva bygget.

Säkerhet i mjukvarans leveranskedja: vanliga frågor

Korta svar på de frågor köpare ställer oftast

Vad är lösningar för säkerhet i mjukvarans leveranskedja?

Verktyg som skyddar allt som går in i din programvara mellan första commit och release: open source-beroenden, basavbilder, byggverktyg, CI-pipelines och artefakterna du levererar. De viktigaste typerna är ASPM-plattformar som kartlägger risk över utvecklingslivscykeln, software composition analysis för beroenden, bygg- och runner-säkerhet, paketbrandväggar, härdade avbilder, binäranalys samt SBOM- och proveniensverktyg.

Vilken är den bästa plattformen för säkerhet i mjukvarans leveranskedja?

Det finns ingen enskild bästa, eftersom var och en täcker en annan länk. ASPM-plattformar som Apiiro, Cycode, OX Security och Legit Security är starkast på bredd över repon och CI-system. Endor Labs fokuserar på reachability för fynd i beroenden, Socket på skadliga paket, Chainguard på härdade indata och ReversingLabs på färdiga binärer. CRACI är valet när du behöver en registrering av vad varje GitHub Actions-bygge faktiskt drog in, med egress-kontroll och proveniensdata.

Hur skiljer sig säkerhet i mjukvarans leveranskedja från applikationssäkerhet?

Applikationssäkerhet letar efter brister i koden ditt team skriver, med verktyg som SAST och DAST. Säkerhet i mjukvarans leveranskedja täcker det som omger koden: tredjepartskomponenter, byggsystemet, CI-pipelinen och vägen från bygge till release. Bakdörren i xz utils, attacken mot tj-actions/changed-files och npm-masken Shai-Hulud kom alla in via leveranskedjan, inte via en bugg i offrens egen kod.

Vilket verktyg för säkerhet i mjukvarans leveranskedja ska jag börja med?

Utgå från frågan du inte kan besvara i dag. Om du inte vet vilka sårbara beroenden du levererar, börja med SCA. Om skadliga paket oroar dig mest, titta på en paketbrandvägg. Om du måste bevisa vad som ingick i varje release, för kunder eller för EU:s Cyber Resilience Act, behöver du en registrering som görs under bygget. Stora program med många repon och CI-system lägger ofta till en ASPM-plattform ovanpå.

Behöver jag en SBOM för säkerhet i mjukvarans leveranskedja?

Allt oftare, ja. EU:s Cyber Resilience Act kräver att tillverkare identifierar komponenterna i sina produkter, bland annat genom att ta fram en SBOM, och hanterar deras sårbarheter. USA:s FDA kräver en SBOM för cyberenheter, och USA:s Executive Order 14028 formade federal vägledning som begär en av leverantörer. En SBOM är bara så användbar som den är komplett, så fråga varje leverantör varifrån dess komponentlista kommer och om den talar om när listan är ofullständig.

Hur skiljer sig CRACI från en skanner för säkerhet i leveranskedjan?

Skannrar läser filer i efterhand: ett manifest, en lockfile, källkod eller en färdig binär. CRACI registrerar. Det är runnern för dina GitHub Actions-jobb, och medan varje jobb körs registrerar det paketen som jobbet faktiskt drog in, inklusive paket som återställs från CI-cachar. Varje SBOM anger sin egen fullständighet, en egress-policy styr vad bygget kan nå och API:t returnerar SBOM:er, nätverksspårningar och proveniens.

Vilka CI-system har CRACI stöd för?

GitHub Actions i dag; andra CI-system finns på roadmapen, däribland GitLab CI och Jenkins. Runners är Linux på x86-64 och ARM64, med Windows och macOS på roadmapen. De flesta plattformar på den här sidan täcker flera CI-system, så väg in det om du också kör Jenkins eller Azure Pipelines.

Vad kostar verktyg för säkerhet i mjukvarans leveranskedja?

De flesta tar betalt per utvecklare. Per september 2026 kostar StepSecurity Enterprise $16 per bidragande utvecklare per månad och Socket Team $25 per utvecklare per månad, medan Cycode, OX Security och Endor Labs säljer betalplaner via säljteamet. ReversingLabs Community+ kostar fast $500 per månad, Chainguard erbjuder upp till fem avbilder gratis och CRACI tar bara betalt för byggminuter, $0.002 per vCPU-minut ($0.004 för en standardrunner med 2 vCPU), utan månadsavgift.