CRACI 與 ReversingLabs Spectra Assure 比較

簡短回答

ReversingLabs Spectra Assure 在不需要原始碼的情況下分析編譯後的軟體套件，檢查惡意軟體、竄改、外洩的機密、可疑行為與漏洞，並依據分析結果產生 SBOM。CRACI 是 GitHub Actions 執行器，在每次建置執行期間記錄它引入了什麼、控管建置能連線的對象，並持續監控已交付的內容。Spectra Assure 是針對產出的期末考；CRACI 則是建置的紀錄。兩者都在處理軟體供應鏈風險，只是從相反的兩端著手，而且能良好搭配。

一覽

Spectra Assure 的強項

深入分析完成的套件。Spectra Assure 運用靜態二進位分析，在不需要原始碼的情況下處理大型且複雜的軟體套件。它支援的檔案類型涵蓋 70 多種封存格式、多種安裝程式類型與 200 多種可執行檔加殼工具，每個檔案都會被分類為：goodware、suspicious、malicious 或 unknown。

惡意軟體與竄改。這是 ReversingLabs 的主場。Spectra Assure 使用 16 個自有的惡意軟體偵測引擎，背後有 ReversingLabs 所稱涵蓋 4,000 億個檔案的威脅情資資料庫。內建的差異分析會比較各版本，標記可疑的變更與竄改跡象，讓您能抓到自行建置的版本中出現的非預期行為變化。

SBOM 及更多。SAFE 報告結合了 SBOM 與風險評估。CLI 可匯出 CycloneDX 1.6 與 SPDX 3.0.1，ReversingLabs 也能為同一個套件產生 ML-BOM、CBOM 與 SaaSBOM 檢視。

非您自行建置的軟體。由於它針對二進位檔運作，Spectra Assure 能在您部署前評估商用與第三方軟體，而免費的 Spectra Assure Community 則會檢查廣泛使用的開源套件與開發工具。

融入發布管線。rl-secure CLI 可在地端與 CI 中執行，託管的 Portal 則用於管理專案與版本。官方整合涵蓋 GitHub Actions、GitLab CI、Jenkins、Azure DevOps、TeamCity 與 JFrog Artifactory。

CRACI 的不同之處

二進位掃描是從完成的套件往回推。CRACI 則從建置往前記錄，因為它就是執行建置的機器。

建置就是事實的來源

只要修改一行 runs-on，您的工作流程就會在 CRACI 上執行。具備套件感知能力的代理伺服器會記錄每個作業從套件來源下載的內容，涵蓋 npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk 與 Git 來源，而從 CI 快取還原的套件也會被延續記錄。每份 SBOM 都會依作業與快取標示其完整程度： Complete、Complete with connections、Incomplete、Unavailable 或 Not recorded。這也包含建置取得並使用、但沒有交付的內容，例如建置工具與測試用相依套件，而這些是掃描產出看不到的。

控管建置能連線的對象

執行器上的對外連線政策決定作業可以連線到哪些主機。它在作業開始前就經過驗證，失效即封鎖，並在違規時發出警示。建置後的掃描可以在產出中找到惡意酬載；對外連線政策則能在建置期間阻止遭入侵的相依套件連線到未經核准的主機。

來源證明與監控

API 提供 SBOM、網路追蹤紀錄與來源證明。CRACI 不簽署來源證明。它會在資安公告發布時，持續重新評估 受監控的 SBOM。

CRACI 不做的事同樣重要。它不分析二進位檔、不偵測惡意軟體，也不比較兩個版本的行為。如果某個建置步驟將程式碼注入產出，CRACI 的紀錄會顯示建置取得了什麼以及從哪裡取得，但檢查結果本身要靠二進位掃描。

部署位置的資產清冊

CRACI 的資產清冊檢視能精確顯示全球各地哪些產品部署了哪些軟體版本。當新漏洞出現時，您可以直接看到哪些產品執行受影響的版本，不必再從版本說明與試算表中拼湊答案。

何時使用哪一個，何時兩者並用

• 您部署商用或第三方軟體。選擇 Spectra Assure。CRACI 只能記錄在它上面執行的建置。
• 您需要證明每個版本包含了什麼。選擇 CRACI。紀錄來自執行器，並標示完整性。
• 您想要針對惡意軟體與竄改設立發布關卡。選擇 Spectra Assure。在發布前對建置產物執行掃描。
• 您想要同時取得版本的兩種觀點。在 CRACI 上建置，並在同一個工作流程中以步驟方式執行 Spectra Assure 掃描。CRACI 回答「這次建置引入了什麼」；Spectra Assure 回答「這個套件裡有什麼」。兩者結果不一致之處，就是您需要調查的地方。

關於 CRA

Cyber Resilience Act（CRA）要求製造商記錄產品中的元件（包含 SBOM），並在產品支援期間持續處理漏洞。遭積極利用漏洞的通報義務自 2026 年 9 月起適用。ReversingLabs 將 CRA 列為其 SBOM 功能所支援的法規之一，而它對您投放市場之套件的分析，是有用的佐證資料。CRACI 則補上每次建置的佐證資料，說明該套件包含了哪些內容，並提供來源證明、持續監控，以及 CycloneDX 或 SPDX 格式的 SBOM 匯出。CRACI 能自動化企業在更廣泛的 CRA 法規遵循流程中所需的相當大一部分軟體供應鏈可視性與佐證資料；兩種工具都無法單獨讓產品達到合規。請參閱 CRA 的要求。

在 Spectra Assure 之外加入 CRACI

保留您的 Spectra Assure 掃描步驟。設定 runs-on: craci，將發布作業移到 CRACI 執行器， 同一個工作流程會繼續在 GitHub Actions 中執行，同時由 CRACI 記錄建置。ReversingLabs 的 GitHub Actions 是一般的工作流程步驟，因此掃描仍留在同一個作業中；如果您設定了對外連線政策，請允許掃描工具所需的主機。CRACI 目前僅支援 GitHub Actions，因此 GitLab、Jenkins 或 Azure DevOps 管線需要遷移才能使用 CRACI 執行器。GitLab CI 與 Jenkins 已列入產品藍圖。了解 CRACI 如何服務 消費性電子與 SaaS 產業。