CRACI vs OX Security

Det korte svar

OX Security er en platform til application security posture management (ASPM) med sine egne scannere (SAST, SCA, secrets, IaC og containere), samling af fund fra tredjeparter, posture-politikker for CI/CD samt runtime- og cloud-kontekst. Til forsyningskædesikkerhed tilbyder det Pipeline Bill of Materials (PBOM): en signeret registrering af, hvordan hvert artefakt blev bygget, fra commit gennem CI/CD til produktion.

CRACI konkurrerer om det samme forsyningskædebudget. Forskellen er synsvinklen. OX forbinder sig til den versionsstyring, de CI-systemer og registries, du allerede bruger, og bygger sit billede ud fra dem. CRACI er build-runneren til GitHub Actions: Det registrerer, hvad hvert job faktisk trak ind, håndhæver en egress-politik, mens det kører, overvåger det leverede og producerer CRA-dokumentation. OX er meget bredere; CRACI er selve buildet.

Overblik

Hvad OX Security gør godt

• En build-registrering ud over SBOM'en. OX's PBOM indfanger pipeline-definitioner, runner-identitet, build-argumenter, artefaktsignaturer og versionshistorik, og OX siger, at den indeholder hver open source-komponent, der indgår i hvert build. Den signeres pr. build. OX genererer også SBOM'er i SPDX og CycloneDX.
• CI/CD-posture. OX-politikker markerer usikre workflow-filer, ikke-pinnede tredjeparts-actions, forældede GitHub Actions-kommandoer, for vide workflow-rettigheder, secrets i klartekst og risikable webhooks og kan markere CI-systemer, der ikke er godkendt til builds.
• Håndhævelse i pipelinen. GitHub-actionen OX Security Scan kører scanninger af secrets, SAST, SCA og IaC og får workflowet til at fejle, når den finder et blokerende problem under dine OX-politikker.
• Samling. OX trækker fund ind fra scannere som Checkmarx, Veracode, SonarQube, Snyk, Black Duck og JFrog Xray ved siden af sine egne.
• Bred integrationsdækning. På CI-siden angiver det GitHub Actions, GitLab CI/CD, Jenkins, Azure Pipelines, CircleCI og Drone CI samt otte versionsstyringssystemer og ti container-registries.
• Funktioner til AI-æraen. OX VibeSec dækker AI-genereret kode og afhængigheder med en AI Bill of Materials, og AI-afhjælpning foreslår koderettelser i pull requests og IDE'en.

Hvor CRACI er anderledes

Registreret af runneren, ikke indsamlet fra forbundne værktøjer

OX's dokumentation siger, at dets SBOM indsamler data fra forbundne kilder, herunder versionsstyring, CI/CD-pipelines, container-images og importerede filer. Det giver et bredt overblik over hele dit miljø. CRACI ser smallere og dybere på hvert build: En pakkebevidst proxy observerer trafik til pakkekilder, mens jobbet kører, på tværs af npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Dokumentationen for afhængighederne følger med CI-caches, så en pakke gendannet fra en cache stadig tælles med.

Hver CRACI-SBOM har en fuldstændighedsstatus pr. job og pr. cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Har registreringen et hul, siger den det.

Kontrol, mens buildet kører

OX's posture-politikker tjekker, hvordan en pipeline er konfigureret. CRACI begrænser, hvad buildet kan nå. Egress-politikker er default deny eller default allow, med 24 indbyggede presets for softwarekilder, typede brugerdefinerede kilder til npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registries og Git samt eksplicitte TLS-, TCP-, UDP- og ICMP-regler. Politikker valideres, før jobbet starter, og blokerer ved fejl (fail closed), og CRACI kan advare dig ved en overtrædelse.

Provenance og overvågning fra én registrering

API'et returnerer SBOM'er, netværkstraces og provenance. CRACI signerer ikke provenance og gør ikke krav på noget SLSA-niveau. Det bliver ved med at genvurdere SBOM'erne for det, du har leveret, efterhånden som nye sårbarheder offentliggøres.

Et overblik over, hvad der er udrullet hvor

CRACI's inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt. Når en ny sårbarhed lander, kan du se, hvilke produkter der kører den berørte version, i stedet for at stykke det sammen fra release notes og regneark.

Hvor OX er foran

For at sige det ligeud: CRACI har ingen SAST-, secrets-, IaC- eller containerscanning, ingen posture-tjek af CI/CD, ingen samling af tredjepartsscannere og ingen runtime- eller cloud-kontekst. CRACI's policy gates kan blokere et build på baggrund af fund, men CRACI understøtter kun GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen. Har du brug for én platform, der spænder over alle dine pipelines og scannere, dækker OX meget mere.

Hvilken passer

OX Security passer bedst, når

• du vil have én ASPM-platform, der samler mange scannere og prioriterer på tværs af dem.
• du har brug for posture-politikker for CI/CD på tværs af GitLab, Jenkins, Azure Pipelines eller CircleCI.
• du vil have pull request-gating på fund i kode, secrets og IaC i dag.

CRACI passer bedst, når

• du bygger på GitHub Actions og vil have runner, egress-politik og registrering af afhængigheder ét sted.
• du har brug for en SBOM over det, hvert build hentede, med en fuldstændighedsstatus, du kan vise en auditor.
• du vil have overvågning af det leverede og CRA-dokumentation fra den samme registrering.

Brug begge

CRACI erstatter runneren, ikke GitHub Actions, så actionen OX Security Scan kører på en CRACI-runner som ethvert andet trin. OX kan importere SBOM'er i CycloneDX-format, så CRACI kan levere den SBOM, der er registreret fra buildet, som OX kan arbejde ud fra.

Til Cyber Resilience Act

Cyber Resilience Act kræver, at producenter kender komponenterne i hvert produkt, håndterer sårbarheder i dem og gemmer dokumentation. OX's SBOM'er, PBOM og posture-politikker understøtter sikker udvikling og et inventar på tværs af hele dit miljø. CRACI automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces: SBOM'er fra buildet eksporteret som CycloneDX eller SPDX, sårbarhedssporing og provenance via API'et. Ingen af værktøjerne gør dig compliant alene. Se CRA-dokumentation og CRA-compliance.

Tilføj CRACI

Installér CRACI GitHub App i din organisation, og ændr så runner-labelen på et job til runs-on: craci. Kørsler vises stadig i GitHubs brugerflade. Start med ét workflow, der producerer et release-artefakt, og sammenlign CRACI's SBOM med den, OX viser for det samme repository. Læs mere om CI/CD-integration, SBOM-generering under buildet og priser.

Overvejer du mere end to værktøjer? Alternativer til OX Security sammenligner ni muligheder side om side.