CRACI vs Cycode

Stručná odpověď

Cycode se označuje za agentní platformu pro bezpečnost vývoje a vyrostl ze správy bezpečnostního stavu aplikací (ASPM). Prodává bezpečnost kódu (SAST, SCA, skenování kontejnerů a IaC), bezpečnost softwarového dodavatelského řetězce (bezpečnost CI/CD, ochranu buildu za běhu, detekci úniků kódu, SBOM, tajné klíče), správu bezpečnostního stavu s více než 100 konektory a správu AI ve vývoji. Jeho část pro ochranu buildu za běhu, Cimon, je eBPF agent, který běží uvnitř vašich CI jobů.

CRACI soupeří o stejný rozpočet na dodavatelský řetězec a s Cimon se skutečně překrývá: oba pozorují buildy, oba umí omezit odchozí provoz buildu a oba vytvářejí SBOM z buildu. Cimon navíc podepisuje původ; CRACI ne. Rozdíl je v tom, kde to žije. Cycode přidává agenta do CI, které už provozujete, napříč mnoha systémy. CRACI je runner pro GitHub Actions, takže záznam a politika přicházejí s každým jobem a CRACI je přenáší dál do monitorování a důkazů pro CRA. Cycode je mnohem širší; CRACI jde hlouběji do buildu a toho, co bylo vydáno.

Přehled

Co Cycode dělá dobře

Šíře napříč SDLC

• Bezpečnost kódu: SAST a AI SAST, SCA s analýzou dosažitelnosti a souladem s licencemi, skenování kontejnerů a bezpečnost infrastruktury jako kódu.
• Tajné klíče a úniky: Cycode hledá odhalené tajné klíče ve zdrojovém kódu, pipelines a nástrojích jako Jira, Slack a Confluence a detekuje uniklý kód.
• Bezpečnost CI/CD: monitoruje bezpečnostní politiky, konfigurace a správu CI/CD a pomocí vynucování politik pomáhá týmům plnit standardy jako NIST SSDF.
• Správa bezpečnostního stavu: Context Intelligence Graph sleduje zranitelnosti napříč kódem, konfiguracemi nástrojů, cloudovou infrastrukturou a vlastnictvím a ConnectorX přináší nálezy z jiných skenerů.
• SBOM: Cycode generuje SBOM v SPDX nebo CycloneDX a jeho plán Posture Management uvádí import SBOM.

Cimon, agent pro build za běhu

Cycode popisuje Cimon jako bezpečnost za běhu, SBOM z pozorování za běhu a původ SLSA v jediném kroku GitHub Actions nebo Azure Pipelines. Monitoruje spouštění procesů, odchozí síťový provoz a přístup k souborům na úrovni jádra pomocí eBPF. V režimu detect pozoruje bez blokování; jakmile je běžné chování pipeline zjištěno, vynucuje ho a GitHub Action přijímá povolené hostitele a IP adresy. Cimon podepisuje původ podle specifikace SLSA Provenance v1.0, která podle Cycode splňuje SLSA Build Level 2 na hostovaném runneru podepsaném přes GitHub OIDC. Běží také na Jenkins, GitLab CI, Buildkite a Harness a Cycode uvádí, že je zdarma a open source.

V čem se CRACI liší

Runner, ne agent na něm

Cimon se přidává k runnerům, které si ponecháváte; v GitHub Actions běží jako privilegovaný kontejner, který se připojí do procesových a síťových jmenných prostorů runneru. Díky tomu funguje na hostovaných runnerech a v mnoha CI systémech. CRACI jde opačnou cestou a runner nahrazuje. Změníte runs-on na craci a egress policy je součástí platformy: ověřená před spuštěním jobu, odmítá neznámá pole a je fail-closed.

Balíčky a zdroje, ne jen hostitelé

Egress policy v CRACI je typovaná podle ekosystému. Má 24 vestavěných předvoleb softwarových zdrojů, vlastní zdroje pro npm, PyPI, apt, apk, Go proxy, Nix, Cargo, OCI registry a Git přes HTTPS a SSH a explicitní pravidla pro TLS, TCP, UDP a ICMP. Proxy rozpoznávající balíčky zaznamenává, které balíčky si každý job stáhl. Důkazy o závislostech putují s cache CI, takže balíček obnovený z cache je v záznamu stále uveden, a každá SBOM nese stav úplnosti pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded.

Od buildu k tomu, co bylo vydáno

• Původ: API vrací SBOM, síťové stopy a data o původu.
• Monitorování: CRACI průběžně znovu vyhodnocuje SBOM toho, co jste vydali, jakmile se objeví nové zranitelnosti, agregované napříč buildy a repozitáři.
• Export: SBOM jako CycloneDX nebo SPDX, včetně zranitelností.

Inventář toho, co je kde nasazeno

Pohled inventáře v CRACI ukazuje přesně, které verze softwaru jsou nasazeny ve kterých produktech, globálně. Když se objeví nová zranitelnost, vidíte, které produkty používají dotčenou verzi, místo abyste to skládali dohromady z poznámek k vydání a tabulek.

Kde je Cycode napřed

Řekněme to otevřeně: CRACI nemá skenování SAST, tajných klíčů, IaC ani kontejnerů, žádné konektory ASPM, žádné monitorování procesů ani souborů a zatím žádný režim detect ani monitor (je v plánu vývoje). CRACI nepodepisuje původ ani nedeklaruje úroveň SLSA a dnes podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje. Pokud potřebujete jednu platformu pro veškerý kód a všechny CI systémy, Cycode pokrývá mnohem víc.

Který se hodí

Cycode se hodí lépe, když

• Chcete jednu platformu ASPM pro skenování kódu, tajné klíče, stav CI/CD a prioritizaci.
• Používáte Azure Pipelines, Jenkins, GitLab CI nebo Buildkite a chcete tam ochranu buildu za běhu.
• Chcete si ponechat runnery hostované na GitHubu a přidat k nim agenta.

CRACI se hodí lépe, když

• Stavíte na GitHub Actions a chcete runner, egress policy a záznam závislostí na jednom místě.
• Potřebujete SBOM na úrovni balíčků z každého buildu se stavem úplnosti, který můžete ukázat auditorovi.
• Chcete monitorování toho, co bylo vydáno, a důkazy pro CRA ze stejného záznamu.

Použití obou

Skenování kódu, detekce tajných klíčů a správa bezpečnostního stavu v Cycode pokrývají oblasti, kterých se CRACI nedotýká, takže oba nástroje mohou fungovat vedle sebe. Výjimkou je Cimon: na runneru CRACI jsou pozorování buildu a kontrola odchozího provozu už součástí runneru, takže CRACI Cimon nahrazuje, místo aby běžel vedle něj, pokud nepotřebujete podepsaný původ z Cimon.

Další platformy ASPM, skenery a agenty pro runnery najdete na stránce alternativy k Cycode.

Pro Cyber Resilience Act

Cycode staví svou platformu pro soulad s CRA na automatizovaném generování SBOM, sledování zranitelností a sběru důkazů pro technickou dokumentaci. CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA, počínaje buildem: SBOM se stavy úplnosti, původ, monitorování toho, co bylo vydáno, a export SBOM jako důkaz pro CRA. Ani jeden z nástrojů vás sám o sobě do souladu neuvede. Viz co CRA požaduje a soulad s CRA.

Přidání CRACI

Nainstalujte do své organizace aplikaci CRACI GitHub App a pak u jobu změňte štítek runneru na runs-on: craci. Běhy se dál zobrazují v rozhraní GitHubu. Přečtěte si více o integraci CI/CD, generování SBOM během buildu a ceníku.