CRACI vs Mend.io

Stručná odpověď

Mend.io je platforma pro bezpečnost aplikací. Mend AppSec kombinuje Mend SAST pro váš vlastní kód s Mend SCA pro open source závislosti a kontejnery a Mend Renovate udržuje závislosti aktuální pomocí automatických pull requestů. CRACI je runner CI kompatibilní s GitHub Actions, který zaznamenává každou externí závislost, kterou build stáhne, a z tohoto záznamu vytváří SBOM, údaje o původu a důkazy o souladu. Mend je skener. CRACI je záznamník. Pokud dnes používáte Mend, CRACI přidává další vrstvu, nic nenahrazuje.

Na první pohled

V čem je Mend.io silný

Prioritizace toho, co je dosažitelné. Mend SCA sleduje graf volání od vašeho kódu přes přímé i tranzitivní závislosti a rozhoduje, zda vaše aplikace zranitelnou funkci skutečně volá. Tím se zkracuje seznam nálezů, které musí tým řešit. CRACI agreguje zranitelnosti napříč buildy a repozitáři, ale analýzu dosažitelnosti nedělá.

Kód i závislosti. Mend SAST pokrývá více než 30 jazyků a Mend CLI skenuje open source komponenty, vlastní kód, image kontejnerů a infrastrukturu jako kód. CRACI nic z toho nedělá.

Aktuální závislosti. Mend Renovate otevírá pull requesty pro zastaralé balíčky u více než 90 správců balíčků. Edice Renovate CLI a Community jsou zdarma; Enterprise přidává bezpečnostní funkce a podporu.

Licence, škodlivé balíčky a SBOM. Mend SCA zjišťuje licence přímých i tranzitivních závislostí a vynucuje politiky, například blokování AGPL v komerčních produktech. Označuje typosquatting, dependency confusion a balíčky s kódem pro zadní vrátka nebo únik dat. Vytváří SBOM ve formátech SPDX a CycloneDX, načítá SBOM třetích stran a uplatňuje data VEX.

V čem je CRACI jiné

Sledování místo rekonstrukce

Vlastní dokumentace Mendu doporučuje skenovat po kroku buildu, protože právě build dává skeneru přístup k privátním registrům a externím artefaktům a skenování bez buildu může vést k nepřesným výsledkům. To je dobrý instinkt. CRACI jde o krok dál: místo aby četlo projekt po dokončení buildu, zaznamenává samotný build.

Proxy na runneru CRACI, která rozumí balíčkům, sleduje během jobu provoz ke zdrojům balíčků, a to pro zdroje npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git, a k tomu předvolby pro stahování. Důkazy o závislostech putují spolu s cache CI, takže i balíčky obnovené z cache zůstávají započítané. Každá SBOM uvádí svou úplnost pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded.

Kontrola nad sítí buildu

Protože CRACI job spouští, může omezit, kam se job připojuje. Egress policy mají výchozí zákaz nebo výchozí povolení, 24 vestavěných předvoleb softwarových zdrojů a typované vlastní zdroje pro npm, PyPI, apt, apk, Go proxy, Nix, Cargo, registry OCI a Git. Ověřují se před spuštěním jobu a při selhání vše zablokují (fail-closed). Mend odhalí škodlivý balíček, jakmile je ve vašem stromu závislostí. Egress policy omezuje, ke kterým zdrojům se build vůbec dostane. Obě vrstvy působí v různých okamžicích.

Důkazy z buildu

API vrací SBOM, síťové záznamy a údaje o původu. CRACI údaje o původu nepodepisuje.

Inventář toho, co je kde nasazeno

Zobrazení inventáře v CRACI přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, a to globálně. Když se objeví nová zranitelnost, vidíte, které produkty používají dotčenou verzi, a nemusíte to skládat z poznámek k vydání a tabulek.

Co se hodí pro koho

• Vaším hlavním problémem je nevyřízená hromada nálezů v kódu a závislostech. Mend se SAST, analýzou dosažitelnosti a Renovate je postavený právě na to.
• Potřebujete prokázat, co vstoupilo do každého vydání. CRACI to zaznamenává u každého buildu a uvádí, jak úplný záznam je.
• Vaše buildy dělají víc než instalaci z lockfilu. Stahování toolchainů, základní image a stahování přes curl jsou místa, kde sledování přináší nejvíc.
• Vaše pipeline běží na Azure DevOps, Bitbucketu nebo CircleCI. Tam se dnes hodí Mend. CRACI dnes podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje.

Pro Cyber Resilience Act

Mend.io zveřejňuje průvodce souladem s CRA a stránku o souladu, která přiřazuje jeho produkty k nařízení: Mend AppSec pro SBOM ve formátech CycloneDX a SPDX a prioritizaci podle dosažitelnosti, Mend Renovate pro průběžné řešení zranitelností prostřednictvím aktualizací závislostí a dodržování licencí zdokumentované spolu s bezpečnostním stavem.

CRACI přispívá důkazy z buildu: SBOM ke každému vydání s uvedenou úplností, údaje o původu, průběžné monitorování a export SBOM ve formátu CycloneDX nebo SPDX. Automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro širší proces souladu s CRA. Žádný jednotlivý nástroj sám o sobě produkt do souladu nedostane. Viz soulad s CRA a co je CRA.

Přidání CRACI k Mend.io

CRACI nahrazuje runner, ne GitHub Actions. Změňte ve workflow runs-on na craci a běhy se dál zobrazují v rozhraní GitHubu. Váš krok Mend CLI zůstane, kde je, po buildu. Spusťte jednu release pipeline na CRACI a porovnejte její SBOM s inventářem Mendu pro stejný commit.