讓 CRACI 實際參與您建置的兩種方式
選擇目前對您最有幫助的一項,我們會依此安排會議內容。
執行器與 SBOM 示範 法規遵循佐證資料導覽
Artūrs Vavilovs
Account Executive, CRACI · Helsinki
CRACI 是一支位於赫爾辛基的 14 人團隊,獲 Lifeline Ventures 投資。在正式全面上線之前,我們會親自協助每個團隊導入,也不會要求您拆除任何既有工具,才能判斷 CRACI 是否有用。
請帶上您的工具清單:參閱CRACI 可取代哪些工具。
會議內容
- 將一個具代表性的工作流程指向 CRACI(runs-on: craci),並排比較建置時間與成本
- 逐一檢視建置所記錄的 SBOM,包括以 lockfile 為基礎的工具會遺漏的隱藏相依套件
- 了解對外連線(egress)政策如何在連線離開執行器之前,封鎖建置不需要的連線
建置時間是您的團隊常抱怨的問題,還是大家早已默默接受?
- 建置的 SBOM 與漏洞記錄如何對應您須遵循的框架:CRA、NIS2、ISO 27001、SOC 2 與 PCI DSS
- 了解每個已出貨的建置如何持續受到新漏洞監控,以及建置歷史如何顯示哪些建置含有漏洞、含有多久
- 若 CRA 適用於您,CRACI 如何為您準備漏洞通報的內容,供您提交
當相依套件出現漏洞時,您需要多久才能查出自家哪些版本含有該漏洞?
選擇時間
選擇時段,填入您的姓名與電子郵件,邀請就會立即寄出。
您可以在會議中確認的事項
建置速度約快一倍
與 GitHub 託管執行器相比,這來自更快的硬體、更短的排隊時間與快取。您的工作流程能否得到相同的結果,正是這場會議要確認的。
直接從建置本身記錄的 SBOM
CRACI 會在每個作業執行時看到它取用的內容,因此 SBOM 描述的是實際出貨的內容,而不是鎖定檔所暗示的內容。
在執行器端套用對外連線政策
採用預設拒絕的政策時,執行器只允許建置所需的來源,因此遭入侵的套件無法將您的機密傳送到攻擊者的主機。
來自實際出貨建置的 SBOM
匯出 CycloneDX 與 SPDX 格式,涵蓋每個遞移相依套件,在版本建置時記錄,而非事後重建。
能夠具體呈現的曝險範圍
每當出現新漏洞,已出貨的建置都會重新檢查,建置歷史則顯示哪些建置含有漏洞、含有多久。
透過 API 取得來源證明
API 會回傳每次建置的 SBOM、網路追蹤記錄與來源證明,因此佐證資料直接來自建置本身。
投資方