CRACI vs Cycode

Det korte svar

Cycode kalder sig en agentisk sikkerhedsplatform til udvikling og er vokset ud af application security posture management (ASPM). Det sælger kodesikkerhed (SAST, SCA, container- og IaC-scanning), sikkerhed i softwareforsyningskæden (CI/CD-sikkerhed, runtime-beskyttelse af builds, detektion af kodelæk, SBOM, secrets), posture management med mere end 100 connectors og AI-governance til udvikling. Dets runtime-del til builds, Cimon, er en eBPF-agent, der kører inde i dine CI-jobs.

CRACI konkurrerer om det samme budget til forsyningskæden, og med Cimon er overlappet reelt: Begge observerer builds, begge kan begrænse buildets egress, og begge producerer en SBOM fra buildet. Cimon signerer også provenance; det gør CRACI ikke. Forskellen er, hvor det ligger. Cycode tilføjer en agent til det CI, du allerede kører, på tværs af mange systemer. CRACI er runneren til GitHub Actions, så registreringen og politikken følger med hvert job, og CRACI fører dem videre til overvågning og CRA-dokumentation. Cycode er langt bredere; CRACI går dybere i buildet og det, der er leveret.

Overblik

Hvad Cycode gør godt

Bredde på tværs af SDLC

• Kodesikkerhed: SAST og AI SAST, SCA med reachability-analyse og licens-compliance, containerscanning og sikkerhed for infrastructure as code.
• Secrets og læk: Cycode leder efter eksponerede secrets i kildekode, pipelines og værktøjer som Jira, Slack og Confluence og opdager lækket kode.
• CI/CD-sikkerhed: Det overvåger sikkerhedspolitikker, konfigurationer og governance for CI/CD og bruger håndhævelse af politikker til at hjælpe teams med at opfylde standarder som NIST SSDF.
• Posture management: Context Intelligence Graph sporer sårbarheder på tværs af kode, værktøjskonfigurationer, cloudinfrastruktur og ejerskab, og ConnectorX henter fund ind fra andre scannere.
• SBOM'er: Cycode genererer SBOM'er i SPDX eller CycloneDX, og dets Posture Management-plan nævner indlæsning af SBOM'er.

Cimon, runtime-agenten til builds

Cycode beskriver Cimon som runtime-sikkerhed, en runtime-observeret SBOM og SLSA-provenance i ét enkelt GitHub Actions- eller Azure Pipelines-trin. Den overvåger procesudførelse, netværks-egress og filadgang på kerneniveau med eBPF. I detect mode observerer den uden at blokere; når en pipelines normale adfærd er fastlagt, håndhæver den denne adfærd, og GitHub Action'en accepterer tilladte hosts og IP'er. Cimon signerer provenance efter SLSA Provenance v1.0-specifikationen, som ifølge Cycode opfylder SLSA Build Level 2 på en hostet runner signeret via GitHub OIDC. Den kører også på Jenkins, GitLab CI, Buildkite og Harness, og Cycode siger, at den er gratis og open source.

Hvor CRACI er anderledes

Runneren, ikke en agent på den

Cimon tilføjes til de runnere, du beholder; på GitHub Actions kører den som en privilegeret container, der går ind i runnerens proces- og netværks-namespaces. Det er det, der gør, at den virker på hostede runnere og mange CI-systemer. CRACI går den anden vej og erstatter runneren. Du ændrer runs-on til craci, og egress-politikken er en del af platformen: valideret før jobbet starter, afviser ukendte felter og blokerer ved fejl (fail closed).

Pakker og kilder, ikke kun hosts

CRACI's egress-politik er typet efter økosystem. Den har 24 indbyggede presets for softwarekilder, brugerdefinerede kilder til npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registries og Git over HTTPS og SSH samt eksplicitte TLS-, TCP-, UDP- og ICMP-regler. En pakkebevidst proxy registrerer, hvilke pakker hvert job hentede. Dokumentationen for afhængighederne følger med CI-caches, så en pakke gendannet fra en cache stadig er med i registreringen, og hver SBOM har en fuldstændighedsstatus pr. job og pr. cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Fra buildet til det, der er leveret

• Provenance: API'et returnerer SBOM'er, netværkstraces og provenance.
• Overvågning: CRACI genvurderer løbende SBOM'erne for det, du har leveret, efterhånden som nye sårbarheder dukker op, samlet på tværs af builds og repositories.
• Eksport: SBOM'er i CycloneDX eller SPDX, inklusive sårbarheder.

Et inventar over, hvad der er udrullet hvor

CRACI's inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt. Når en ny sårbarhed dukker op, kan du se, hvilke produkter der kører den berørte version, i stedet for at stykke det sammen fra release notes og regneark.

Hvor Cycode er foran

For at sige det ligeud: CRACI har ingen SAST-, secrets-, IaC- eller containerscanning, ingen ASPM-connectors, ingen overvågning af processer eller filer og endnu ingen detect- eller monitor-tilstand (den er på roadmappen). CRACI signerer ikke provenance og hævder ikke noget SLSA-niveau, og det kører kun GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen. Har du brug for én platform på tværs af al din kode og alle CI-systemer, dækker Cycode langt mere.

Hvilken passer bedst

Cycode passer bedst, når

• Du vil have én ASPM-platform til kodescanning, secrets, CI/CD-posture og prioritering.
• Du kører Azure Pipelines, Jenkins, GitLab CI eller Buildkite og vil have runtime-beskyttelse af builds der.
• Du vil beholde GitHub-hostede runnere og tilføje en agent til dem.

CRACI passer bedst, når

• Du bygger på GitHub Actions og vil have runneren, egress-politikken og registreringen af afhængigheder samlet ét sted.
• Du har brug for en SBOM på pakkeniveau fra hvert build med en fuldstændighedsstatus, du kan vise en revisor.
• Du vil have overvågning af det, der er leveret, og CRA-dokumentation fra den samme registrering.

Brug af begge

Cycodes kodescanning, detektion af secrets og posture management dækker områder, CRACI ikke rører, så de to kan stå side om side. Cimon er undtagelsen: På en CRACI-runner er observation af buildet og egress-kontrol allerede en del af runneren, så CRACI erstatter Cimon i stedet for at køre ved siden af den, medmindre du har brug for Cimons signerede provenance.

For andre ASPM-platforme, scannere og runner-agenter, se alternativer til Cycode.

Til Cyber Resilience Act

Cycode positionerer sin platform til CRA-overensstemmelse med automatiseret SBOM-generering, sårbarhedssporing og indsamling af dokumentation til tekniske filer. CRACI automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces, med udgangspunkt i buildet: SBOM'er med fuldstændighedsstatusser, provenance, overvågning af det, der er leveret, og SBOM-eksport som CRA-dokumentation. Ingen af værktøjerne gør dig compliant alene. Se hvad CRA kræver og CRA-compliance.

Tilføj CRACI

Installér CRACI GitHub App i din organisation, og ændr derefter runner-labelen på et job til runs-on: craci. Kørslerne vises stadig i GitHubs brugerflade. Læs mere om CI/CD-integration, SBOM-generering under buildet og priser.