CRACI vs Endor Labs

Det korte svar

Endor Labs er en platform til applikationssikkerhed bygget op om reachability. Den analyserer din kildekode og dine afhængigheder for at afgøre, hvilke kendte sårbarheder din applikation kan kalde, og hjælper dig derefter med at rette dem først. Den dækker også din egen kode, secrets, containere og ondsindede pakker.

CRACI er en CI-runner til GitHub Actions. Dine jobs kører på den, og mens de kører, registrerer den hver ekstern afhængighed, de henter, og styrer, hvad de kan nå på netværket. Endor Labs fortæller dig, hvilke fund der betyder noget. CRACI giver dig en registrering af, hvad der gik ind i hver release. De to passer sammen uden overlap i deres kerneopgaver.

Overblik

Hvad Endor Labs gør godt

Reachability er hovedattraktionen. Endor Labs bruger statisk programanalyse til at udføre reachability-analyse på funktionsniveau af direkte og transitive afhængigheder og sporer kodestier fra din kildekode til den sårbare funktion. Hvor et fuldt build ikke er muligt, er reachability på afhængighedsniveau og forudberegnet reachability grovere alternativer. Endor Labs siger, at det reducerer SCA-fund med 92 % ved at frasortere sårbarheder, der ikke kan kaldes i din kode. For et team, der drukner i alarmer om afhængigheder, er det den mest direkte lettelse, der findes.

Rettelsessiden er også stærk. Analyse af opgraderingers konsekvenser leder efter breaking changes, før du opgraderer, og tildeler en afhjælpningsrisiko, automatiske pull requests står for opgraderingen, og Endor Patches backporter en sikkerhedsrettelse fra upstream til den version, du allerede kører, når en opgradering ikke er praktisk mulig.

Ud over open source-afhængigheder omfatter platformen AI SAST, opdagelse af secrets, containerscanning, opdagelse af ondsindede pakker og en Package Firewall, der sidder som en proxy mellem dit artefakt-repository og offentlige registries. Dens SBOM Hub genererer og importerer SBOM'er i CycloneDX og SPDX, producerer reachability-baserede VEX-dokumenter og bliver ved med at opdatere risikoen, efterhånden som nye sårbarheder offentliggøres. Endor Labs integrerer med GitHub Actions, GitLab, Jenkins, CircleCI, Buildkite og Bitbucket, og de understøttede sprog omfatter C og C++, Java, Go, Rust, Python og JavaScript.

CRACI laver intet af arbejdet med reachability, SAST, secrets eller containerscanning. Har du brug for det, så behold Endor Labs eller et lignende værktøj.

Hvor CRACI er anderledes

Buildet er sandhedskilden

Endor Labs behandler kildekoden som sandhedskilde for sit inventar, hvilket fanger direkte, transitive og phantom dependencies, som et manifest alene ville overse. CRACI starter et andet sted: i selve buildet. En pakkebevidst proxy på runneren observerer trafik til pakkekilder, mens jobbet kører, på tværs af npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Dokumentationen følger med CI-caches, så en pakke gendannet fra en cache stadig tælles med. Fordi runneren ser trafikken, observeres afhængigheder trukket ind af install-scripts eller download-trin også, ikke kun dem, der er navngivet i et manifest.

Hver SBOM har en fuldstændighedsstatus pr. job og pr. cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Når registreringen har et hul, får du besked.

Kontrol over, hvad buildet kan nå

Fordi CRACI er runneren, kan du sætte en egress-politik for hvert job: default deny eller default allow, med 24 indbyggede presets for softwarekilder og typede brugerdefinerede kilder til registries og Git. Politikker valideres, før jobbet starter, og blokerer ved fejl (fail closed). Endor Labs' Package Firewall filtrerer, hvilke pakker der kommer ind gennem dit artefakt-repository. CRACI's politik begrænser hver forbindelse, buildet opretter. Det er forskellige lag, og de virker godt oven på hinanden.

Provenance og overvågning af det leverede

Endor Labs signerer artefakter; det gør CRACI ikke. CRACI's data kommer fra den runner, der overværede buildet, og API'et returnerer SBOM'er, netværkstraces og provenance. CRACI samler sårbarheder på tværs af builds og repositories og genvurderer løbende overvågede SBOM'er.

Et inventar over, hvad der er udrullet hvor

CRACI's inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt. Når en ny sårbarhed dukker op, kan du se, hvilke produkter der kører den berørte version, i stedet for at stykke det sammen fra release notes og regneark.

Hvilken passer bedst

• Dit problem er mængden af alarmer: Start med Endor Labs. Reachability og analyse af opgraderingers konsekvenser sigter direkte mod det.
• Dit problem er at bevise, hvad der er i en release: CRACI registrerer det fra buildet.
• Du er bekymret for, hvad builds kan downloade: CRACI's egress-politik begrænser runneren, og Endor Labs' Package Firewall sorterer pakker. Brug begge, hvis risikoen er høj.
• Du kører GitLab, Jenkins eller CircleCI: Endor Labs dækker dem i dag. CRACI understøtter kun GitHub Actions, så de pipelines skal flyttes til GitHub Actions for at køre på CRACI. GitLab CI og Jenkins er på roadmappen.

Til Cyber Resilience Act

Endor Labs angiver EU's Cyber Resilience Act blandt de dokumentationskrav, SBOM Hub understøtter, og dets VEX-output hjælper med at forklare, hvorfor en sårbarhed ikke påvirker et produkt. CRACI automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces: SBOM'er fra buildet med angivet fuldstændighed, provenance-data, løbende sporing af sårbarheder og SBOM-eksport som CycloneDX eller SPDX. Ingen af værktøjerne gør et produkt compliant alene. Læs mere i hvad CRA er og CRA-compliance.

Tilføj CRACI ved siden af Endor Labs

Intet i din Endor Labs-opsætning behøver at ændre sig. Installér CRACI GitHub App, og ændr runs-on til craci i de workflows, du vil have registreret. Kørslerne vises stadig i GitHubs brugerflade, og et endorctl-trin kører på en CRACI-runner som ethvert andet trin. Læs mere om SBOM-generering under buildet og CI/CD-integration.