CRACI vs Socket Security

Stručná odpověď

Socket Security je známý hlavně tím, že zachytí škodlivé open source balíčky dřív, než se dostanou do projektu. Analyzuje chování balíčků (instalační skripty, přístup k síti a souborovému systému, obfuskovaný kód, známý malware, typosquatting), upozorní vás v pull requestu a Socket Firewall dokáže škodlivý balíček zablokovat při instalaci.

CRACI je runner CI pro GitHub Actions. Vaše joby běží na něm a během běhu zaznamenává každou externí závislost, kterou stáhnou, vynucuje pro job egress policy a průběžně sleduje zranitelnosti v tom, co bylo dodáno. Socket se ptá, zda je bezpečné balíček použít. CRACI zaznamenává, co build použil a kam se připojil, a dělá z toho důkazy pro vydání.

• Zvolte Socket, pokud chcete zastavit škodlivé a rizikové balíčky v pull requestu a při instalaci.
• Zvolte CRACI pro SBOM z doby buildu, údaje o původu, kontrolu odchozího provozu buildu a sledování zranitelností v dodaném softwaru, včetně oznámení zranitelností podle CRA.
• Vzájemně se doplňují. Socket prověřuje balíčky na vstupu; CRACI zaznamenává a omezuje, co s nimi build dělal.

Přehled

Co Socket dělá dobře

Socket for GitHub sleduje pull requesty. Když změna přidá závislost, Socket analyzuje chování balíčku a pokud představuje bezpečnostní riziko, napíše komentář. Jeho kontroly pokrývají instalační skripty, telemetrii, nativní kód, známý malware, typosquatting, protestware, obfuskovaný kód a použití privilegovaných API, jako je shell, přístup k síti a souborovému systému. Jde o jiný druh signálu než vyhledání CVE: dokáže označit balíček, který je škodlivý, ale zatím k němu neexistuje bezpečnostní upozornění.

Socket Firewall funguje jako obal kolem příkazu správce balíčků (sfw npm install) nebo jako proxy mezi správci balíčků a registry. Blokuje škodlivé balíčky v jakékoli hloubce, včetně tranzitivních. Bezplatná verze nepotřebuje API klíč a pokrývá npm, yarn, pnpm, pip, uv a cargo. Verze Enterprise přidává konfigurovatelné politiky, privátní registry a další ekosystémy včetně Go, Maven, Gradle, RubyGems a NuGet.

Socket nabízí také analýzu dosažitelnosti ve třech úrovních: dosažitelnost závislostí, předpočítanou dosažitelnost od plánu Team a dosažitelnost v celé aplikaci v Enterprise, která podle Socketu dokáže označit až 90 % upozornění na zranitelnosti jako irelevantní. Rozpoznává manifesty pro JavaScript, Python, Javu, Go, Ruby, Rust, .NET, PHP a Swift a jeho CLI běží v GitHub Actions, GitLab, Bitbucket, Jenkins a Azure DevOps. CRACI dnes neanalyzuje chování balíčků, nekomentuje pull requesty, nenabízí analýzu dosažitelnosti a neblokuje jednotlivé balíčky.

Ceny Socketu k září 2026

• Free: 1 000 skenů měsíčně, až tři členové, detekce a blokování malwaru.
• Team: $25 za vývojáře měsíčně, minimálně pět vývojářů. Přidává prioritní hodnocení, upozornění ve Slacku a předpočítanou dosažitelnost.
• Business: $50 za vývojáře měsíčně, minimálně 20 vývojářů. Přidává import a export SBOM, integrace pro compliance, SSO a skenování GitHub Actions.
• Enterprise: individuální ceny. Přidává dosažitelnost v celé aplikaci a integrace repozitářů pro GitLab, Bitbucket a Azure DevOps.

Roční účtování ušetří až 20 % a podle Socketu bude pro open source projekty vždy zdarma. Socket účtuje podle počtu vývojářů. CRACI účtuje pouze minuty buildu, $0.002 za vCPU-minutu ($0.004 za výchozí runner se 2 vCPU), bez měsíčního poplatku a bez poplatku za SBOM; viz ceník CRACI.

V čem se CRACI liší

Zdrojem pravdy je build

Socket čte manifesty a lockfily, které projekt deklaruje. CRACI sleduje build za běhu. Proxy na runneru, která rozumí balíčkům, vidí provoz ke zdrojům balíčků npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git a k tomu předvolby pro stahování. Důkazy putují spolu s cache CI, takže balíček obnovený z cache je stále započítán. Každá SBOM uvádí svou úplnost pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded.

Egress policy pro celý job

Socket Firewall rozhoduje, zda instalace balíčku projde. Egress policy v CRACI rozhoduje, kam se job vůbec může dostat: výchozí zákaz nebo výchozí povolení, s 24 vestavěnými předvolbami softwarových zdrojů a typovanými vlastními zdroji pro npm, PyPI, apt, apk, Go proxy, Nix, Cargo, registry OCI a Git. Politiky se ověřují před spuštěním jobu a při selhání vše zablokují a CRACI vás může na porušení upozornit. Škodlivý instalační skript, který se pokouší spojit se svým serverem, je stejně tak síťový problém jako problém balíčku. Obě kontroly pokrývají jeho různé části.

Původ a sledování zranitelností

API vrací SBOM, síťové záznamy a údaje o původu. CRACI údaje o původu nepodepisuje. CRACI agreguje zranitelnosti napříč buildy a repozitáři, průběžně znovu vyhodnocuje monitorované SBOM a umožňuje bezpečnostním týmům provést triáž nálezů a předat je týmům, které odpovídají za opravu. SBOM od dodavatelů se monitorují spolu s vašimi buildy a SBOM se exportují ve formátu CycloneDX nebo SPDX.

Inventář toho, co je kde nasazeno

Inventář v CRACI přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, a to globálně. Když se objeví nová zranitelnost, vidíte, které produkty používají dotčenou verzi, a nemusíte to skládat z poznámek k vydání a tabulek.

Poznámka k bezplatnému příkazu Socketu pro SBOM

Socket CLI nabízí socket manifest cdxgen, bezplatný lokální příkaz pro SBOM, který nepotřebuje účet. Socket dokumentuje, že tento příkaz předává volání nástroji cdxgen se změněnými výchozími hodnotami: životním cyklem pre-build, který přeskakuje instalaci závislostí, a JavaScriptem jako výchozím typem projektu. Tyto výchozí hodnoty určují, co dokáže najít, a v repozitáři bez lockfilu, jako je expressjs/express, není co vyřešit.

To popisuje jeden bezplatný lokální obal, ne hlavní produkt Socketu ani jeho serverový export SBOM.

Co se hodí pro vás

• Chcete zastavit škodlivé balíčky hned u vstupu: Socket s kontrolami pull requestů a Socket Firewall.
• Chcete méně irelevantních upozornění na CVE díky dosažitelnosti: Socket v plánu Team nebo Enterprise. CRACI analýzu dosažitelnosti nenabízí.
• Potřebujete důkazy o tom, co vstoupilo do každého vydání: CRACI je zaznamená z buildu a propojí je s artefaktem.
• Chcete buildy, které se nedostanou k neočekávaným hostitelům: egress policy v CRACI.
• Dodáváte produkty podle Cyber Resilience Act: CRACI sleduje zranitelnosti v tom, co jste dodali, a připravuje obsah oznámení zranitelností podle CRA, která pak podáte vy.
• Používáte GitLab, Jenkins nebo Azure DevOps: Socket je podporuje už dnes. CRACI dnes podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje.

Pro Cyber Resilience Act

Udržet škodlivé a rizikové komponenty mimo produkt pomáhá výrobci plnit bezpečnostní povinnosti a Socket je pro to stavěný. CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA: SBOM z doby buildu s uvedenou úplností, údaje o původu, průběžné sledování zranitelností a obsah oznámení zranitelností podle CRA, připravený k tomu, abyste ho podali. Ani jeden z nástrojů sám o sobě produkt do souladu neuvede. Viz co je CRA a soulad s CRA.

Jak používat CRACI se Socketem

CRACI nahrazuje runner, ne GitHub Actions: běhy se dál zobrazují v GitHubu a Socket dál kontroluje vaše pull requesty. Socket prověřuje balíčky předtím, než se přidají, a při jejich instalaci; CRACI zaznamenává, co každý build stáhl, omezuje, kam se může připojit, a průběžně sleduje zranitelnosti v tom, co bylo dodáno. Zjistěte více o generování SBOM během buildu a sledování zranitelností.

Zvažujete i další nástroje pro bezpečnost balíčků? Podívejte se na alternativy k Socketu.

Socket Security a CRACI: časté dotazy

Ceny, SBOM a kam který nástroj patří

Co je Socket Security?

Socket (socket.dev) je platforma pro bezpečnost softwarového dodavatelského řetězce zaměřená na open source závislosti. Analyzuje, co balíčky skutečně dělají, například instalační skripty, přístup k síti a souborovému systému, obfuskovaný kód, známý malware a typosquatting, a rizikové balíčky označí nebo zablokuje v pull requestech, v CI a se Socket Firewall i při instalaci.

Je Socket Security zdarma?

Socket má bezplatný plán s 1 000 skeny měsíčně a až třemi členy a podle Socketu bude pro open source projekty vždy zdarma. Socket Firewall má také bezplatnou verzi, která nepotřebuje API klíč a pokrývá npm, yarn, pnpm, pip, uv a cargo. Placené plány přidávají analýzu dosažitelnosti, export SBOM a další integrace.

Kolik Socket stojí?

K září 2026 uvádí ceník Socketu plán Team za $25 za vývojáře měsíčně (minimálně pět vývojářů), Business za $50 za vývojáře měsíčně (minimálně 20) a individuální ceny pro Enterprise, se slevou až 20 % při ročním účtování. Export SBOM začíná od plánu Business a integrace repozitářů GitLab, Bitbucket a Azure DevOps jsou v Enterprise.

Generuje Socket SBOM?

Ano. Import a export SBOM jsou v plánu Business a vyšších a jeho API pro export CycloneDX je označené jako beta. Socket sestavuje SBOM z manifestů a lockfilů, které zjistí. CRACI zaznamenává SBOM během buildu z balíčků, které job skutečně stáhl, a uvádí, zda je záznam každého jobu úplný.

Odhaluje CRACI škodlivé balíčky jako Socket?

Ne tak jako Socket. CRACI označí škodlivé vydání, jakmile má zveřejněné CVE, stejně jako jakoukoli jinou zranitelnost, ale neanalyzuje chování balíčků ani je nehodnotí, takže nový škodlivý balíček zůstane neoznačený, dokud k němu neexistuje bezpečnostní upozornění. Kontroluje, kam se build může připojit, pomocí egress policy na úrovni runneru, která při selhání vše zablokuje, zaznamenává každý balíček, který build stáhl, a průběžně znovu vyhodnocuje dodaný software podle dat o zranitelnostech. Seznamy blokovaných balíčků pro celou organizaci jsou v plánu vývoje.

Je CRACI alternativou k Socketu?

Ne pro prověřování balíčků předtím, než se přidají: to je hlavní práce Socketu a CRACI ji nedělá. CRACI je správnou volbou, když potřebujete důkazy o tom, co vstoupilo do každého vydání: SBOM z doby buildu, údaje o původu, egress policy pro build, průběžné sledování zranitelností a oznámení zranitelností podle CRA. Týmy, které se obávají škodlivých balíčků, mohou používat Socket na pull requesty a stavět na CRACI.

Které systémy CI Socket a CRACI podporují?

CLI Socketu běží v GitHub Actions, GitLab, Bitbucket, Jenkins a Azure DevOps. CRACI je dnes runner pro GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje.