CRACI vs OX Security | Zabezpečení pipeline vs runner buildů

Stručná odpověď

OX Security je platforma pro správu stavu zabezpečení aplikací (ASPM) s vlastními skenery (SAST, SCA, tajné klíče, IaC a kontejnery), agregací nálezů třetích stran, politikami stavu zabezpečení CI/CD a kontextem z běhu a cloudu. Pro bezpečnost dodavatelského řetězce nabízí Pipeline Bill of Materials (PBOM): podepsaný záznam toho, jak byl každý artefakt sestaven, od commitu přes CI/CD až do produkce.

CRACI soutěží o stejný rozpočet na dodavatelský řetězec. Rozdíl je v úhlu pohledu. OX se připojuje ke správě verzí, systémům CI a registrům, které už používáte, a skládá z nich svůj obraz. CRACI je runner buildů pro GitHub Actions: zaznamenává, co každý job skutečně stáhl, během běhu vynucuje politiku odchozího provozu, monitoruje, co bylo vydáno, a vytváří důkazy pro CRA. OX je mnohem širší; CRACI je samotný build.

Přehled

Funkce	CRACI	OX Security
Spouští vaše buildy	Joby běží na runnerech CRACI	Připojuje se k systémům CI, které provozujete
Odkud pochází SBOM	Zaznamenává ho runner z toho, co každý job stáhne, včetně obnovení z cache CI, se stavem úplnosti pro každý job.	Shromažďuje se z připojených zdrojů: správy verzí, pipeline CI/CD, image kontejnerů a importovaných souborů.
Politika odchozího provozu buildu	Výchozí zákaz nebo povolení, při selhání vše zablokuje	Politiky stavu zabezpečení místo toho kontrolují konfiguraci workflow
Podepsaný záznam buildu	Bez podepsaných údajů o původu	PBOM podepsaný pro každý build
Průběžné monitorování závislostí	Monitorované SBOM se průběžně znovu vyhodnocují	Průběžně aktualizovaný inventář, prioritizace podle zneužitelnosti
Blokování buildů podle bezpečnostní politiky	Kontrolní brány politik zablokují build	Krok skenování nechá workflow selhat při blokujících problémech
Politiky stavu zabezpečení CI/CD		Nepřipnuté actions, oprávnění, webhooky, práce s tajnými klíči
SAST, tajné klíče, IaC a kontejnery		OX Code a agregace skenerů třetích stran
Podporované systémy CI	Dnes GitHub Actions; GitLab CI a Jenkins v plánu vývoje	GitHub Actions, GitLab, Jenkins, Azure Pipelines, CircleCI
Ceny	$0.002 za vCPU-minutu ($0.004 za 2 vCPU), účtováno po sekundách; bez měsíčního poplatku a bez poplatku za SBOM	OX Code se účtuje za přispívajícího vývojáře; ceníkové ceny nejsou zveřejněny (k září 2026).

Součástí
Není součástí
V plánu vývoje

V čem je OX Security dobrý

Domovská stránka OX Security — ox.security

Záznam buildu nad rámec SBOM. PBOM od OX zachycuje definice pipeline, identitu runneru, argumenty buildu, podpisy artefaktů a linii verzí a podle OX obsahuje každou open source komponentu vyřešenou do každého buildu. Pro každý build je podepsaný. OX také generuje SBOM ve formátech SPDX a CycloneDX.
Stav zabezpečení CI/CD. Politiky OX označují nezabezpečené soubory workflow, nepřipnuté actions třetích stran, zastaralé příkazy GitHub Actions, nadměrná oprávnění workflow, tajné klíče v otevřeném textu a rizikové webhooky a umí označit i systémy CI, které nejsou pro buildy schválené.
Vynucování v pipeline. GitHub Action OX Security Scan spouští skenování tajných klíčů, SAST, SCA a IaC a nechá workflow selhat, když podle vašich politik OX najde blokující problém.
Agregace. OX vedle vlastních nálezů načítá i nálezy ze skenerů jako Checkmarx, Veracode, SonarQube, Snyk, Black Duck a JFrog Xray.
Široké pokrytí integrací. Na straně CI uvádí GitHub Actions, GitLab CI/CD, Jenkins, Azure Pipelines, CircleCI a Drone CI, k tomu osm systémů pro správu verzí a deset registrů kontejnerů.
Funkce pro éru AI. OX VibeSec pokrývá kód a závislosti generované AI pomocí AI Bill of Materials a AI náprava navrhuje opravy kódu v pull requestech a v IDE.

V čem se CRACI liší

Zaznamenává runner, nesbírá se z připojených nástrojů

Dokumentace OX uvádí, že jeho SBOM shromažďuje data z připojených zdrojů, včetně správy verzí, pipeline CI/CD, image kontejnerů a importovaných souborů. To dává široký pohled na celé vaše prostředí. CRACI se na každý build dívá úžeji a hlouběji: proxy, která rozumí balíčkům, sleduje během běhu jobu provoz ke zdrojům balíčků napříč npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a zdroji Git, plus předvolbami pro stahování. Důkazy o závislostech putují spolu s cache CI, takže i balíček obnovený z cache je započítán.

Každý SBOM od CRACI nese stav úplnosti pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded. Když má záznam mezeru, řekne to.

Kontrola během běhu buildu

Politiky stavu zabezpečení v OX kontrolují, jak je pipeline nakonfigurovaná. CRACI omezuje, kam se build může připojit. Politiky odchozího provozu mají výchozí zákaz nebo výchozí povolení, 24 vestavěných předvoleb softwarových zdrojů, typované vlastní zdroje pro npm, PyPI, apt, apk, Go proxy, Nix, Cargo, registry OCI a Git a explicitní pravidla pro TLS, TCP, UDP a ICMP. Politiky se ověří před spuštěním jobu a při selhání vše zablokují a CRACI vás může na porušení upozornit.

Původ a monitorování z jednoho záznamu

API vrací SBOM, síťové záznamy a údaje o původu (provenance). CRACI údaje o původu nepodepisuje a nedeklaruje žádnou úroveň SLSA. Průběžně znovu vyhodnocuje SBOM toho, co jste vydali, jak se zveřejňují nové zranitelnosti.

Inventář toho, co je kde nasazeno

Pohled inventáře v CRACI přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, a to globálně. Když se objeví nová zranitelnost, uvidíte, které produkty používají dotčenou verzi, a nemusíte to skládat z poznámek k vydání a tabulek.

V čem je OX napřed

Řečeno na rovinu: CRACI nemá skenování SAST, tajných klíčů, IaC ani kontejnerů, žádné kontroly stavu zabezpečení CI/CD, žádnou agregaci skenerů třetích stran a žádný kontext z běhu ani z cloudu. Kontrolní brány politik v CRACI umí na základě nálezů zablokovat build, ale CRACI dnes podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje. Pokud potřebujete jednu platformu, která pokryje všechny vaše pipeline a skenery, OX toho pokrývá mnohem víc.

Co se hodí pro vás

OX Security se hodí lépe, když

Chcete jednu platformu ASPM, která agreguje mnoho skenerů a prioritizuje napříč nimi.
Potřebujete politiky stavu zabezpečení CI/CD napříč GitLabem, Jenkinsem, Azure Pipelines nebo CircleCI.
Chcete už dnes blokovat pull requesty podle nálezů v kódu, tajných klíčích a IaC.

CRACI se hodí lépe, když

Sestavujete v GitHub Actions a chcete mít runner, politiku odchozího provozu a záznam závislostí na jednom místě.
Potřebujete SBOM toho, co každý build stáhl, se stavem úplnosti, který můžete ukázat auditorovi.
Chcete monitorování toho, co bylo vydáno, a důkazy pro CRA ze stejného záznamu.

Použití obou

CRACI nahrazuje runner, ne GitHub Actions, takže action OX Security Scan běží na runneru CRACI jako kterýkoli jiný krok. OX umí importovat SBOM ve formátu CycloneDX, takže CRACI může dodat SBOM zaznamenaný z buildu, se kterým bude OX pracovat.

Pro Cyber Resilience Act

Cyber Resilience Act požaduje, aby výrobci znali komponenty v každém produktu, řešili v nich zranitelnosti a uchovávali důkazy. SBOM, PBOM a politiky stavu zabezpečení od OX podporují bezpečný vývoj a inventář napříč vaším prostředím. CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces dosažení souladu s CRA: SBOM z doby buildu exportované ve formátu CycloneDX nebo SPDX, sledování zranitelností a údaje o původu přes API. Ani jeden z nástrojů vás sám o sobě do souladu nedostane. Viz důkazy pro CRA a soulad s CRA.

Přidání CRACI

Nainstalujte do své organizace aplikaci CRACI GitHub App a pak u jobu změňte štítek runneru na runs-on: craci. Běhy se dál zobrazují v rozhraní GitHubu. Začněte jedním workflow, který vytváří artefakt vydání, a porovnejte SBOM od CRACI s tím, který OX ukazuje pro stejný repozitář. Přečtěte si více o integraci CI/CD, generování SBOM z doby buildu a ceníku.

Zvažujete víc než dva nástroje? Stránka Alternativy k OX Security porovnává devět možností vedle sebe.