CRACI vs Checkmarx One

Stručná odpověď

Checkmarx One je platforma pro bezpečnost aplikací: statická analýza, analýza softwarového složení (SCA), detekce tajných klíčů, IaC, bezpečnost API, bezpečnost kontejnerů, ochrana před škodlivými balíčky a správa bezpečnostního stavu na jednom místě. CRACI je runner CI kompatibilní s GitHub Actions, který zaznamenává každou externí závislost, kterou build stáhne, a z tohoto záznamu vytváří SBOM, údaje o původu a důkazy o souladu. Checkmarx One je skener s mnoha enginy. CRACI je záznamník. Překrývají se v SBOM a sledování zranitelností, jinak jen málo.

Přehled

V čem je Checkmarx One dobrý

Šíře záběru. Checkmarx One pokrývá vlastní kód (SAST), tajné klíče, infrastrukturu jako kód, API, kontejnery, open source závislosti, stav repozitářů a komponenty AI a nálezy spojuje ve své vrstvě ASPM. Pokud chcete jednoho dodavatele pro testování bezpečnosti aplikací, CRACI náhradou není. Váš kód vůbec netestuje.

Vědět, na kterých zranitelnostech záleží. Checkmarx SCA používá analýzu zneužitelných cest (exploitable path), aby určil, které zranitelné třídy nebo funkce v knihovnách třetích stran může váš kód volat. Skenuje přímé i tranzitivní závislosti včetně privátních balíčků, a to do neomezené hloubky. Politiky pro závažnost, dosažitelnost, škodlivý kód a licence mohou posílat upozornění, blokovat pull requesty a zastavovat buildy.

Škodlivé balíčky. Checkmarx udržuje rozsáhlou vlastní databázi škodlivých open source balíčků, která pokrývá typosquatting, dependency confusion a kompromitované účty, a dokáže automaticky zablokovat build, když se takový balíček objeví ve vašem stromu závislostí.

SBOM a integrace. Checkmarx One exportuje reporty SBOM ve formátu CycloneDX 1.7 nebo SPDX 2.3, volitelně s daty triáže VEX v CycloneDX, a umí SBOM také importovat. Má pluginy pro Jenkins, TeamCity, GitHub Actions, Azure DevOps a Maven a pro GitLab, Bitbucket Pipelines, CircleCI, Bamboo a AWS CodeBuild používá své CLI. U projektů Code Repository Integration umí otevřít automatický pull request s opravenými verzemi balíčků; jeho poznámky k vydání uváděly při spuštění manifesty npm package.json.

V čem je CRACI jiný

Co vidí skener a co udělal build

Checkmarx One GitHub Action obaluje Checkmarx CLI, které vytvoří zip archiv vašeho repozitáře zdrojového kódu a nahraje ho ke skenování. SCA Resolver místo toho může extrahovat závislosti a otisky lokálně, s vašimi vlastními správci balíčků, a odeslat je k analýze bez vašeho zdrojového kódu. Tak či onak analýza vychází z projektu: z jeho kódu, manifestů a stromu závislostí, na který se vyřeší.

CRACI vychází z buildu. Je runnerem, takže proxy, která rozumí balíčkům, sleduje, co job skutečně stahuje ze zdrojů balíčků: npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git, a k tomu z předvoleb pro stahování. Patří sem toolchainy, základní image, stažená vydání a balíčky obnovené z cache CI. Každá SBOM uvádí svou úplnost pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded.

Kontrola, nejen detekce

Protože build běží na CRACI, můžete pro něj nastavit politiku odchozího provozu: výchozí zákaz nebo výchozí povolení, 24 vestavěných předvoleb softwarových zdrojů a typované vlastní zdroje pro npm, PyPI, apt, apk, Go proxy, Nix, Cargo, registry OCI a Git. Politiky se ověřují před startem jobu a jsou fail-closed. Checkmarx posuzuje balíčky podle toho, čím jsou. CRACI omezuje, odkud může build stahovat. CRACI nedetekuje škodlivé balíčky podle reputace, takže se obě vrstvy doplňují.

Původ a monitorování

API vrací SBOM, síťové záznamy a údaje o původu. CRACI agreguje zranitelnosti napříč buildy a repozitáři a průběžně znovu vyhodnocuje monitorované SBOM.

Inventář toho, co je kde nasazeno

Pohled inventáře v CRACI přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, a to globálně. Když se objeví nová zranitelnost, vidíte, které produkty používají dotčenou verzi, místo abyste to skládali z poznámek k vydání a tabulek.

Kdy používat oba

• Testování bezpečnosti plus důkazy k vydání. Checkmarx One v pull requestech pro kód, tajné klíče, IaC a rizika závislostí. CRACI jako runner pro buildy vydání, který uchovává SBOM a údaje o původu pro každý build.
• Vrstvená obrana dodavatelského řetězce. Ochrana Checkmarx před škodlivými balíčky označuje špatné balíčky. Politika odchozího provozu CRACI drží buildy u schválených zdrojů a zaznamenává každé stažení.
• Pipeline mimo GitHub Actions. Checkmarx One dnes funguje s Jenkins, TeamCity, Azure DevOps a GitLab. CRACI dnes podporuje jen GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje, takže tyto pipeline by se musely nejdřív přesunout.

Pro Cyber Resilience Act

Checkmarx nabízí posouzení CRA jako součást svého AppSec Program Maturity Assessment (APMA), který měří postupy security-by-design a správu zranitelností vůči požadavkům CRA na připojené produkty. Jeho blog tvrdí, že AppSec se stává technickou implementační vrstvou souladu s CRA, se zvláštním důrazem na dokumentaci komponent AI pomocí AI-BOM.

CRACI přidává důkazy z buildu: co se dostalo do každého vydání, jak úplný je záznam, a průběžné monitorování po vydání, se SBOM exportovanými ve formátu CycloneDX nebo SPDX. Automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA. Žádný z nástrojů sám o sobě produkt do souladu nedostane. Viz soulad s CRA a důkazy pro CRA.

Přidání CRACI vedle Checkmarx One

CRACI nahrazuje runner, ne GitHub Actions. Změňte ve workflow runs-on na craci a běhy se dál zobrazují v rozhraní GitHubu. Checkmarx One GitHub Action zůstává ve workflow jako krok. Začněte jednou pipeline pro vydání a porovnejte SBOM z CRACI s reportem SBOM z Checkmarx One pro stejný commit.

Zvažujete víc než dva nástroje? Alternativy ke Checkmarx srovnávají devět možností vedle sebe.