CRACI vs Mend.io

Det korte svar

Mend.io er en platform til applikationssikkerhed. Mend AppSec kombinerer Mend SAST til din egen kode med Mend SCA til open source-afhængigheder og containere, og Mend Renovate holder afhængigheder opdaterede med automatiske pull requests. CRACI er en GitHub Actions-kompatibel CI-runner, der registrerer hver ekstern afhængighed, et build henter, og producerer SBOM'en, provenance og compliance-dokumentation ud fra den registrering. Mend er en scanner. CRACI er en registrator. Bruger du Mend i dag, tilføjer CRACI et lag i stedet for at erstatte et.

Overblik

Hvad Mend.io gør godt

Prioritering af det, der kan nås. Mend SCA sporer kaldgrafen fra din kode gennem direkte og transitive afhængigheder for at afgøre, om din applikation faktisk kalder en sårbar funktion. Det skærer ned på den liste af fund, et team skal handle på. CRACI samler sårbarheder på tværs af builds og repositories, men laver ikke reachability-analyse.

Kode såvel som afhængigheder. Mend SAST dækker mere end 30 sprog, og Mend CLI scanner open source-komponenter, egen kode, container-images og infrastructure as code. CRACI gør intet af dette.

Afhængigheder holdes opdaterede. Mend Renovate åbner pull requests for forældede pakker på tværs af 90+ pakkehåndteringer. Renovate CLI og Community-udgaverne er gratis; Enterprise tilføjer sikkerhedsfunktioner og support.

Licenser, ondsindede pakker og SBOM'er. Mend SCA finder licenserne på direkte og transitive afhængigheder og håndhæver politikker, for eksempel blokering af AGPL i kommercielle produkter. Det markerer typosquats, dependency confusion og pakker med bagdørs- eller dataexfiltreringskode. Det producerer SBOM'er i SPDX og CycloneDX, indlæser SBOM'er fra tredjeparter og anvender VEX-data.

Hvor CRACI er anderledes

Observation i stedet for rekonstruktion

Mends egen dokumentation anbefaler at scanne efter build-trinnet, fordi buildet er det, der giver scanneren adgang til private registries og eksterne artefakter, og fordi scanning uden build kan give unøjagtige resultater. Det er et godt instinkt. CRACI tager det et skridt videre: I stedet for at læse projektet, når buildet er færdigt, registrerer det selve buildet.

En pakkebevidst proxy på CRACI-runneren observerer trafik til pakkekilder, mens jobbet kører, for npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Dokumentationen for afhængighederne følger med CI-caches, så pakker gendannet fra en cache stadig tælles med. Hver SBOM angiver sin fuldstændighed pr. job og pr. cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Kontrol over buildets netværk

Fordi CRACI kører jobbet, kan det begrænse, hvor jobbet kommer hen. Egress-politikker er default deny eller default allow, med 24 indbyggede presets for softwarekilder og typede brugerdefinerede kilder til npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registries og Git. De valideres, før jobbet starter, og blokerer ved fejl (fail closed). Mend opdager en ondsindet pakke, når den er i dit afhængighedstræ. En egress-politik begrænser allerede fra starten, hvilke kilder et build kan nå. De to lag virker på forskellige tidspunkter.

Dokumentation fra buildet

API'et returnerer SBOM'er, netværkstraces og provenance. CRACI signerer ikke provenance.

Et overblik over, hvad der er udrullet hvor

CRACI's inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt. Når en ny sårbarhed lander, kan du se, hvilke produkter der kører den berørte version, i stedet for at stykke det sammen fra release notes og regneark.

Hvilken passer

• Dit hovedproblem er en backlog af fund i kode og afhængigheder. Mend, med SAST, reachability og Renovate, er bygget til det.
• Du skal bevise, hvad der gik ind i hver release. CRACI registrerer det pr. build og angiver, hvor komplet registreringen er.
• Dine builds gør mere end at installere fra en lockfile. Toolchain-downloads, base-images og hentninger med curl er dér, observation tilføjer mest.
• Dine pipelines ligger på Azure DevOps, Bitbucket eller CircleCI. Mend passer i dag. CRACI understøtter kun GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen.

Til Cyber Resilience Act

Mend.io udgiver en CRA-compliance-guide og en compliance-side, der kortlægger dets produkter til forordningen: Mend AppSec til SBOM'er i CycloneDX og SPDX og reachability-baseret prioritering, Mend Renovate til løbende håndtering af sårbarheder via afhængighedsopdateringer, og licens-compliance dokumenteret side om side med sikkerhedsposture.

CRACI bidrager med dokumentation fra buildet: en SBOM for hver release med angivet fuldstændighed, provenance, løbende overvågning og SBOM-eksport som CycloneDX eller SPDX. Det automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces. Intet enkelt værktøj gør et produkt compliant. Se CRA-compliance og hvad CRA er.

Tilføj CRACI ved siden af Mend.io

CRACI erstatter runneren, ikke GitHub Actions. Ændr runs-on til craci i et workflow, så vises kørsler stadig i GitHubs brugerflade. Dit Mend CLI-trin bliver, hvor det er, efter buildet. Kør én release-pipeline på CRACI, og sammenlign dens SBOM med Mends inventar for samme commit.