CRACI vs. Aikido

Konsolidierung oder Nachweise

Teams sehen sich Aikido meist an, weil sie weniger Security-Tools wollen. Aikido deckt Open-Source-Abhängigkeiten, eigenen Code, Secrets, Infrastructure as Code, Container, Cloud-Posture, dynamische Tests und Laufzeitschutz in einem Produkt ab, mit einem zentralen Ort für die Triage der Befunde. Für ein kleines Team, das schnell eine breite Abdeckung braucht, ist das ein starkes Angebot.

Teams sehen sich CRACI aus einem engeren Grund an. Sie müssen wissen, was ihre Builds tatsächlich getan haben, steuern, was der Build erreichen kann, und für jedes Release Nachweise erstellen, die vor einem Kunden oder Auditor Bestand haben. CRACI leistet das, indem es selbst der CI-Runner ist.

Was Aikido gut kann

Die Breite steht im Vordergrund. Jeder Aikido-Plan umfasst SCA, SAST, Secret-Erkennung, IaC, Cloud-Posture, Container-Scanning, DAST, Lizenz-Scanning und SBOM-Generierung. Die SCA nutzt Erreichbarkeitsanalyse auf Funktionsebene, um Rauschen zu reduzieren, und AutoFix öffnet Pull Requests mit gepatchten Versionen. Im CI kann Aikido Pull Requests mit kritischen Risiken blockieren, und es arbeitet mit GitHub, GitLab, Jenkins, Bitbucket, CircleCI und weiteren zusammen. CRACI unterstützt heute nur GitHub Actions; GitLab CI und Jenkins sind auf der Roadmap.

Aikido bietet außerdem Safe Chain an, ein kostenloses Tool, das einen lokalen Proxy vor den Paketmanagern von npm und PyPI betreibt und Pakete mit bekannter Malware vor der Installation blockiert, lokal und im CI. CRACI blockiert heute keine einzelnen Pakete. Organisationsweites Blocklisting von Paketen ist auf der CRACI-Roadmap, nicht im Produkt.

Bei der Compliance enthalten die höheren Aikido-Pläne Compliance-Berichte für SOC 2 und ISO 27001 sowie eine Synchronisation mit Compliance-Plattformen wie Drata und Vanta. Wenn Ihr Hauptziel ist, ein SOC-2-Programm mit Befunden aus der Anwendungssicherheit zu versorgen, ist Aikido dafür gebaut.

Worin sich CRACI unterscheidet

CRACI ist die CI-Laufzeitumgebung

Der Laufzeitschutz von Aikido schützt laufende Anwendungen. CRACI arbeitet in einer anderen Laufzeitumgebung: dem Build-Job. Ihre GitHub-Actions-Jobs laufen auf CRACI in isolierten virtuellen Maschinen, auf Runnern mit 1 bis 32 Recheneinheiten, auf x86-64 oder ARM64. Für die Einrichtung ändern Sie runs-on auf craci. Ihre Workflows bleiben gleich, und die Ausführungen erscheinen weiterhin in der GitHub-Oberfläche.

Weil CRACI den Job ausführt, kann es während des Jobs eine Egress-Richtlinie durchsetzen. Richtlinien sind standardmäßig sperrend oder standardmäßig erlaubend, mit 24 integrierten Presets für Softwarequellen und typisierten eigenen Quellen für npm, PyPI, apt, apk, den Go-Proxy, Nix, Cargo, OCI-Registries und Git. Sie werden vor dem Start des Jobs validiert und blockieren im Zweifel (fail closed). Ein Scanner kann Ihnen sagen, dass ein riskantes Paket existiert. Eine Netzwerkrichtlinie verhindert, dass der Build Ziele erreicht, die er nicht erreichen soll.

Deterministische Build-Nachweise

Aikido erstellt seine Sicht auf die Abhängigkeiten aus Manifesten und Lockfiles und ergänzt sie um Analysen, darunter KI-gestützte Prüfungen der Ausnutzbarkeit. Das ist ein sinnvoller Weg, Arbeit zu priorisieren.

Die SBOM von CRACI ist nicht abgeleitet. Ein paketbewusster Proxy zeichnet auf, was der Job aus Paketquellen geladen hat, und die Abhängigkeitsnachweise reisen mit CI-Caches mit, sodass auch aus einem Cache wiederhergestellte Pakete gezählt werden. Jede SBOM weist ihre eigene Vollständigkeit pro Job und pro Cache aus: Complete, Complete with connections, Incomplete, Unavailable oder Not recorded. Sie ist eine Aufzeichnung dessen, was geschehen ist, keine Schätzung, und sie zeigt Ihnen, wo sie Lücken hat.

Das ist wichtig, weil statische SBOM-Tools stärker voneinander abweichen, als die meisten erwarten, und der Grund ist struktureller Natur. Jedes liest andere Dateien und löst sie anders auf, sodass das, was ein Repository angeblich enthält, davon abhängt, welches Tool Sie gefragt haben und wie es konfiguriert war. Ein Projekt, das kein Lockfile committet, wie express 5.2.1, gibt einem Lockfile-Leser überhaupt nichts zum Auflösen. CRACI lässt sich nicht auf diese Weise vergleichen, weil es Builds aufzeichnet, statt Verzeichnisse zu scannen, und genau darum geht es: Eine Build-Aufzeichnung hängt nicht davon ab, welche Dateien zufällig vorhanden sind.

Provenienzdaten über die API

CRACI erzeugt die SBOM in seinem eigenen Runner, aus dem, was der Job geladen hat. Die API liefert SBOMs, Netzwerk-Traces und Provenienz.

Compliance-Ergebnisse auf Basis dieser Aufzeichnung

Beim EU Cyber Resilience Act ist der schwierige Teil, zu zeigen, was in jedes Release eingeflossen ist und wie Sie dessen Schwachstellen über die Zeit verfolgen. CRACI führt Schwachstellen über Builds und Repositories hinweg zusammen und bewertet überwachte SBOMs laufend neu. SBOMs lassen sich als CycloneDX oder SPDX exportieren, einschließlich Schwachstellen, und die API liefert SBOMs, Netzwerk-Traces und Provenienz. CRACI automatisiert einen wesentlichen Teil der Transparenz und Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen. Siehe CRA-Compliance und CRA-Nachweise.

Ein Inventar dessen, was wo im Einsatz ist

Die Inventaransicht von CRACI zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit. Wenn eine neue Schwachstelle bekannt wird, sehen Sie, welche Produkte die betroffene Version ausführen, statt es aus Release Notes und Tabellen zusammenzusuchen.

Wofür sich welches Tool eignet

• Wählen Sie Aikido, wenn Sie ein Tool für Code, Abhängigkeiten, Cloud und laufende Anwendungen wollen, heute andere CI-Systeme als GitHub Actions nutzen oder Ihr Compliance-Schwerpunkt auf SOC-2- oder ISO-27001-Berichten aus Befunden der Anwendungssicherheit liegt.
• Wählen Sie CRACI, wenn Sie auf GitHub Actions bauen und genau wissen müssen, was jeder Build geladen hat, den Netzwerkzugriff des Builds steuern und Release-Nachweise für den CRA und Kundenaudits aufbewahren wollen.
• Nutzen Sie beide, wenn Sie das Scanning und Pull-Request-Gating von Aikido plus die Laufzeitkontrollen und Nachweise von CRACI für den Build wollen. Die CI-Prüfungen von Aikido und Safe Chain laufen als Schritte in Ihrem Workflow, und diese Schritte können wie alle anderen auf einem CRACI-Runner laufen.