CRACI vs Sonatype

Stručná odpověď

Sonatype vyniká v řízení open source: politiky rozhodují, které komponenty jsou povolené, firewall zastaví škodlivé balíčky na úrovni repozitáře a analýza vám řekne, co skončilo ve vaší aplikaci. CRACI je CI runner kompatibilní s GitHub Actions, který zaznamenává každou externí závislost, kterou build natáhne, a z tohoto záznamu vytváří SBOM, původ (provenance) a důkazy o souladu. Sonatype je skener a strážce brány. CRACI je záznamník, jehož kontrolní brány politik mohou build kvůli nálezům také zablokovat. Většina týmů, které potřebují obojí, by je provozovala vedle sebe.

Který produkt Sonatype je který

Sonatype prodává několik produktů a na jejich názvech v tomto srovnání záleží:

• Sonatype Lifecycle je produkt pro analýzu softwarového složení (SCA) a politiky, provozovaný jako self-hosted nebo jako SaaS.
• Sonatype Repository Firewall blokuje a dává do karantény komponenty, které nesplní vaše politiky, dřív než vstoupí do vašich repozitářů. Je určen pro Sonatype Nexus Repository. Sonatype Firewall Pro pokrývá jiné správce repozitářů, například JFrog Artifactory, Cloudsmith a GitHub Packages, pro npm, Maven, PyPI a NuGet.
• Sonatype SBOM Manager importuje, monitoruje a sdílí SBOM, s workflow pro VEX.

Balení produktů se mění. Ceník Sonatype uvádí, že všechny funkce Lifecycle jsou nyní součástí Sonatype Guide, že noví zákazníci kupují Guide pro SCA a governance a že Guide zahrnuje také compliance funkce SBOM Manager.

Přehled

V čem je Sonatype dobrý

Politiky ve velkém měřítku. Lifecycle obsahuje 18 výchozích politik a více než 30 přizpůsobitelných omezení pokrývajících bezpečnostní, právní a architektonická pravidla. Licenční politiky zahrnují více než 2 000 open source licencí. Nálezy prioritizuje podle dat o dosažitelnosti, změnách narušujících kompatibilitu a dostupnosti aktualizací a umí otevírat Golden Pull Requests s navrženými aktualizacemi.

Pohled na to, co build vytvořil. Integrace Lifecycle ve výchozím stavu používají Advanced Binary Fingerprinting, který prozkoumá vše, co aplikace po buildu obsahuje, včetně vložených závislostí, a dokáže identifikovat přejmenované nebo upravené komponenty. Teprve pak se vrací k lockfilům a manifestům. Každou zprávu ze skenu lze exportovat jako SBOM ve formátu CycloneDX nebo SPDX.

Zastavení škodlivých balíčků u dveří. Repository Firewall vynucuje vaše bezpečnostní, licenční a kvalitativní standardy v okamžiku stažení a dává podezřelé komponenty do karantény. CRACI dnes nemá obdobu: blokování balíčků podle seznamu je v jeho plánu vývoje.

Zapadne do jakékoli pipeline. Sonatype se integruje s Jenkins, GitHub Actions, GitLab CI, Azure DevOps a Bamboo, navíc s Maven, Gradle a CLI pro další CI servery. CRACI dnes podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje.

Čím se CRACI liší

Zaznamenává build, místo aby analyzoval jeho výstup

Binary fingerprinting vám řekne, co je uvnitř hotové aplikace. Neřekne vám, co build cestou stáhl: kompilátory a toolchainy, instalační skripty, základní image, binárky vydání stažené pomocí curl nebo balíčky obnovené z cache. CRACI je vidí, protože je runnerem. Proxy, která rozumí balíčkům, sleduje během jobu provoz ke zdrojům balíčků a pokrývá zdroje npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git, plus předvolby pro zdrojový kód nebo stahování. Důkazy o závislostech putují s cache CI, takže i balíčky z cache jsou započítány.

Každá SBOM uvádí svou vlastní úplnost, pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded. Když má záznam mezeru, víte o tom.

Řídí, kam se build smí připojit

Repository Firewall řídí, co projde repozitářem. Politika odchozího provozu CRACI řídí, kam se build vůbec může dostat. Politiky jsou ve výchozím stavu zakazující nebo povolující, s 24 vestavěnými předvolbami softwarových zdrojů a typovanými vlastními zdroji pro npm, PyPI, apt, apk, Go proxy, Nix, Cargo, registry OCI a Git. Validují se před spuštěním jobu a při selhání blokují. Společně vám oba nástroje umožní zajistit, že joby buildu stahují balíčky jen ze schválených zdrojů a že tyto zdroje poskytují jen balíčky, které povolíte.

Dál hlídá, co bylo vydáno

API vrací SBOM, síťové záznamy a původ (provenance). CRACI původ nepodepisuje. CRACI agreguje zranitelnosti napříč buildy a repozitáři a monitorované SBOM průběžně znovu vyhodnocuje.

Inventář toho, co je kde nasazeno

Pohled inventáře v CRACI přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, globálně. Když se objeví nová zranitelnost, vidíte, které produkty používají dotčenou verzi, místo abyste to skládali dohromady z poznámek k vydání a tabulek.

Kdy používat oba

• Už provozujete Nexus Repository s Firewallem. Ponechte ho jako bránu. Přidejte CRACI, aby měl každý build záznam o tom, co stáhl, a politiku odchozího provozu, která buildy drží u schválených zdrojů.
• Váš právní tým spoléhá na licenční politiky Lifecycle. Ponechte je. CRACI zahrnuje deklarovaná licenční metadata do exportu SBOM a licenční politiku také vynucuje.
• SBOM shromažďujete v SBOM Manager. SBOM Manager importuje CycloneDX a SPDX, tedy stejné formáty, jaké exportuje CRACI, takže SBOM z doby buildu mohou ležet vedle těch, které už spravujete.
• Vaše pipeline běží na Jenkins nebo Azure DevOps. Dnes se hodí Sonatype. CRACI by vyžadoval, aby tyto pipeline nejdřív přešly na GitHub Actions; Jenkins je v jeho plánu vývoje.

Pro Cyber Resilience Act

Sonatype vydává uživatelskou příručku k CRA a kontrolní seznam pro CRA a SBOM Manager staví jako svůj produkt pro CRA. Jeho příručka zdůrazňuje generování souborů VEX pro vykazování známých zranitelností v SBOM a Nexus Repository jako aktualizační server pro distribuci bezpečnostních aktualizací.

CRACI pokrývá stranu důkazů z buildu: SBOM pro každé vydání s uvedenou úplností, původ, průběžné monitorování zranitelností a export SBOM ve formátu CycloneDX nebo SPDX. Automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces dosažení souladu s CRA. Žádný z nástrojů sám o sobě produkt do souladu nepřivede. Viz soulad s CRA a co je CRA.

Přidání CRACI vedle Sonatype

CRACI nahrazuje runner, ne GitHub Actions. Ve workflow změňte runs-on na craci a běhy se dál zobrazují v rozhraní GitHubu. Vaše kroky Sonatype ve workflow zůstanou. Začněte jednou pipeline pro vydání, porovnejte SBOM z CRACI se zprávou z Lifecycle a podívejte se, co viděl jen jeden z nich.