CRACI vs Endor Labs

Krátká odpověď

Endor Labs je platforma pro bezpečnost aplikací postavená na dosažitelnosti. Analyzuje váš zdrojový kód a vaše závislosti, aby určila, které známé zranitelnosti může vaše aplikace zavolat, a pak vám pomůže opravit nejdřív je. Pokrývá také vlastní kód, tajné klíče, kontejnery a škodlivé balíčky.

CRACI je runner CI pro GitHub Actions. Vaše joby na něm běží a během běhu zaznamenává každou externí závislost, kterou stáhnou, a řídí, kam se mohou v síti dostat. Endor Labs vám řekne, na kterých nálezech záleží. CRACI vám dá záznam toho, co se dostalo do každého vydání. Obojí do sebe zapadá, aniž by se hlavní úlohy překrývaly.

Na první pohled

V čem je Endor Labs dobrý

Hlavní předností je dosažitelnost. Endor Labs používá statickou analýzu programu k analýze dosažitelnosti na úrovni funkcí u přímých i tranzitivních závislostí a sleduje cesty kódem od vašeho zdrojového kódu až ke zranitelné funkci. Tam, kde úplný build není možný, nabízí dosažitelnost na úrovni závislostí a předem vypočtenou dosažitelnost jako hrubší alternativy. Endor Labs uvádí, že tím snižuje počet nálezů SCA o 92 %, protože odfiltruje zranitelnosti, které ve vašem kódu nelze zavolat. Pro tým, který se topí ve výstrahách k závislostem, je to nejpřímější úleva, jaká se nabízí.

Silná je i strana oprav. Analýza dopadu aktualizace hledá před aktualizací nekompatibilní změny a přiřazuje riziko nápravy, automatické pull requesty aktualizaci přinášejí a Endor Patches přenášejí bezpečnostní opravu z upstreamu do verze, kterou už provozujete, když aktualizace není praktická.

Kromě open source závislostí zahrnuje platforma AI SAST, detekci tajných klíčů, skenování kontejnerů, detekci škodlivých balíčků a Package Firewall, který funguje jako proxy mezi vaším repozitářem artefaktů a veřejnými registry. Její SBOM Hub generuje a importuje SBOM ve formátech CycloneDX a SPDX, vytváří dokumenty VEX na základě dosažitelnosti a průběžně aktualizuje rizika, jakmile se zveřejní nové zranitelnosti. Endor Labs se integruje s GitHub Actions, GitLab, Jenkins, CircleCI, Buildkite a Bitbucket a mezi podporované jazyky patří C a C++, Java, Go, Rust, Python a JavaScript.

CRACI nedělá nic z práce na dosažitelnosti, SAST, tajných klíčích ani skenování kontejnerů. Pokud to potřebujete, ponechte si Endor Labs nebo podobný nástroj.

V čem se CRACI liší

Zdrojem pravdy je build

Endor Labs bere pro svůj inventář jako základ zdrojový kód, čímž zachytí přímé, tranzitivní i fantomové závislosti, které by samotný manifest přehlédl. CRACI začíná jinde: u samotného buildu. Proxy na runneru, která rozumí balíčkům, sleduje provoz ke zdrojům balíčků po celou dobu běhu jobu, napříč zdroji npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git, a k tomu předvolby pro stahování. Důkazy se přenášejí spolu s cache CI, takže i balíček obnovený z cache je započítán. Protože runner provoz vidí, zachytí i závislosti stažené instalačními skripty nebo kroky stahování, nejen ty uvedené v manifestu.

Každá SBOM nese stav úplnosti pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded. Když má záznam mezeru, dozvíte se o tom.

Kontrola nad tím, kam se build dostane

Protože CRACI je runner, můžete pro každý job nastavit politiku odchozího provozu: výchozí zákaz nebo výchozí povolení, s 24 vestavěnými předvolbami softwarových zdrojů a typovanými vlastními zdroji pro registry a Git. Politiky se ověřují před spuštěním jobu a při selhání vše zablokují (fail-closed). Package Firewall od Endor Labs filtruje, které balíčky vstupují přes váš repozitář artefaktů. Politika CRACI omezuje každé spojení, které build naváže. Jsou to různé vrstvy a dobře fungují nad sebou.

Původ a monitorování toho, co bylo dodáno

Endor Labs artefakty podepisuje, CRACI ne. Data CRACI pocházejí z runneru, který build sledoval, a API vrací SBOM, síťové záznamy a údaje o původu. CRACI agreguje zranitelnosti napříč buildy a repozitáři a průběžně znovu vyhodnocuje monitorované SBOM.

Inventář toho, co je kde nasazeno

Pohled na inventář v CRACI přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, a to globálně. Když se objeví nová zranitelnost, vidíte, které produkty provozují dotčenou verzi, a nemusíte to skládat dohromady z poznámek k vydání a tabulek.

Co se hodí

• Vaším problémem je objem výstrah: začněte s Endor Labs. Dosažitelnost a analýza dopadu aktualizace míří přesně na to.
• Vaším problémem je doložit, co je ve vydání: CRACI to zaznamená z buildu.
• Děláte si starosti s tím, co mohou buildy stahovat: politika odchozího provozu CRACI omezuje runner a Package Firewall od Endor Labs prověřuje balíčky. Při vysokém riziku použijte obojí.
• Používáte GitLab, Jenkins nebo CircleCI: Endor Labs je pokrývá už dnes. CRACI podporuje pouze GitHub Actions, takže tyto pipeline by musely přejít na GitHub Actions, aby mohly běžet na CRACI. GitLab CI a Jenkins jsou v plánu vývoje.

Pro Cyber Resilience Act

Endor Labs uvádí evropský Cyber Resilience Act mezi požadavky na důkazy, které SBOM Hub podporuje, a jeho výstup VEX pomáhá vysvětlit, proč zranitelnost produkt neovlivňuje. CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA: SBOM z doby buildu s uvedenou úplností, údaje o původu, průběžné sledování zranitelností a export SBOM ve formátu CycloneDX nebo SPDX. Ani jeden z nástrojů sám o sobě produkt do souladu neuvede. Více se dočtete v článcích co je CRA a soulad s CRA.

Přidání CRACI vedle Endor Labs

Na nastavení Endor Labs nemusíte nic měnit. Nainstalujte aplikaci CRACI GitHub App a ve workflow, které chcete zaznamenávat, změňte runs-on na craci. Běhy se dál zobrazují v rozhraní GitHubu a krok endorctl běží na runneru CRACI jako kterýkoli jiný krok. Přečtěte si více o generování SBOM v době buildu a integraci CI/CD.