CRACI vs. Checkmarx One

Det korte svar

Checkmarx One er en platform til applikationssikkerhed: statisk analyse, software composition analysis (SCA), detektion af secrets, IaC, API-sikkerhed, containersikkerhed, beskyttelse mod ondsindede pakker og posture management samlet ét sted. CRACI er en GitHub Actions-kompatibel CI-runner, der registrerer hver ekstern afhængighed, et build trækker ind, og producerer SBOM'en, provenance og compliance-dokumentationen ud fra den registrering. Checkmarx One er en scanner med mange motorer. CRACI er en registrator. De overlapper på SBOM'er og sårbarhedssporing og ikke meget andet.

Overblik

Hvad Checkmarx One gør godt

Bredde. Checkmarx One dækker egen kode (SAST), secrets, infrastructure as code, API'er, containere, open source-afhængigheder, repository-sundhed og AI-komponenter og samler fundene i sit ASPM-lag. Vil du have én leverandør til test af applikationssikkerhed, er CRACI ikke en erstatning. Det tester slet ikke din kode.

At vide, hvilke sårbarheder der betyder noget. Checkmarx SCA bruger exploitable path-analyse til at afgøre, hvilke sårbare klasser eller funktioner i tredjepartsbiblioteker din kode kan kalde. Den scanner direkte og transitive afhængigheder, inklusive private pakker, i ubegrænset dybde. Politikker for alvorlighed, reachability, ondsindet kode og licenser kan sende advarsler, forhindre pull requests og stoppe builds.

Ondsindede pakker. Checkmarx vedligeholder en stor proprietær database over ondsindede open source-pakker, der dækker typosquatting, dependency confusion og kompromitterede konti, og kan blokere et build automatisk, når en af dem dukker op i dit afhængighedstræ.

SBOM'er og integrationer. Checkmarx One eksporterer SBOM-rapporter i CycloneDX 1.7 eller SPDX 2.3 med valgfri VEX-triagedata i CycloneDX og kan indlæse SBOM'er. Det har plugins til Jenkins, TeamCity, GitHub Actions, Azure DevOps og Maven og bruger sit CLI til GitLab, Bitbucket Pipelines, CircleCI, Bamboo og AWS CodeBuild. For Code Repository Integration-projekter kan det åbne en automatisk pull request med afhjulpne pakkeversioner; dets release notes nævnte npm-manifester (package.json) ved lanceringen.

Hvor CRACI er anderledes

Hvad scanneren ser, og hvad buildet gjorde

Checkmarx One GitHub Action pakker Checkmarx CLI ind, som opretter et zip-arkiv af dit kildekode-repository og uploader det til scanning. SCA Resolver kan i stedet udtrække afhængigheder og fingerprints on-premises med dine egne pakkehåndteringsværktøjer og sende dem til analyse uden din kildekode. Uanset hvad starter analysen fra projektet: dets kode, manifester og det afhængighedstræ, de resolver til.

CRACI starter fra buildet. Det er runneren, så en pakkebevidst proxy observerer, hvad jobbet faktisk downloader fra pakkekilder: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Det omfatter toolchains, base-images, release-downloads og pakker gendannet fra CI-caches. Hver SBOM angiver sin fuldstændighed pr. job og pr. cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Kontrol, ikke kun detektion

Fordi buildet kører på CRACI, kan du sætte en egress-politik for det: default deny eller default allow, 24 indbyggede presets for softwarekilder og typede brugerdefinerede kilder til npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registries og Git. Politikker valideres, før jobbet starter, og blokerer ved fejl (fail closed). Checkmarx bedømmer pakker ud fra, hvad de er. CRACI begrænser, hvor et build kan hente fra. CRACI detekterer ikke ondsindede pakker ud fra omdømme, så de to lag supplerer hinanden.

Provenance og overvågning

API'et returnerer SBOM'er, netværkstraces og provenance. CRACI samler sårbarheder på tværs af builds og repositories og genvurderer løbende overvågede SBOM'er.

Et inventar over, hvad der er udrullet hvor

CRACI's inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt. Når en ny sårbarhed dukker op, kan du se, hvilke produkter der kører den berørte version, i stedet for at stykke det sammen fra release notes og regneark.

Hvornår du skal bruge begge

• Sikkerhedstest plus release-dokumentation. Checkmarx One i pull requests til kode, secrets, IaC og afhængighedsrisiko. CRACI som runner til release-builds, med SBOM- og provenance-data for hvert build.
• Forsvar af forsyningskæden i lag. Checkmarx' beskyttelse mod ondsindede pakker markerer dårlige pakker. CRACI's egress-politik holder builds på godkendte kilder og registrerer hver hentning.
• Pipelines uden for GitHub Actions. Checkmarx One fungerer med Jenkins, TeamCity, Azure DevOps og GitLab i dag. CRACI understøtter kun GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen, så de pipelines skal flyttes først.

Til Cyber Resilience Act

Checkmarx tilbyder en CRA-vurdering som en del af sin AppSec Program Maturity Assessment (APMA), der måler security-by-design-praksis og sårbarhedshåndtering op imod CRA's krav til forbundne produkter. Dets blog argumenterer for, at AppSec er ved at blive det tekniske implementeringslag for CRA-compliance, med særlig vægt på at dokumentere AI-komponenter gennem AI-BOM'er.

CRACI tilføjer dokumentation fra buildet: hvad der gik ind i hver release, hvor komplet registreringen er, og løbende overvågning bagefter, med SBOM'er, der eksporteres i CycloneDX eller SPDX. Det automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces. Ingen af værktøjerne gør et produkt compliant alene. Se CRA-compliance og CRA-dokumentation.

Tilføj CRACI ved siden af Checkmarx One

CRACI erstatter runneren, ikke GitHub Actions. Ændr runs-on til craci i et workflow, og kørslerne vises stadig i GitHubs brugerflade. Checkmarx One GitHub Action bliver i workflowet som et trin. Start med én release-pipeline, og sammenlign CRACI's SBOM med Checkmarx Ones SBOM-rapport for det samme commit.

Overvejer du mere end to værktøjer? Alternativer til Checkmarx sammenligner ni muligheder side om side.