CRACI vs. Checkmarx One

Die kurze Antwort

Checkmarx One ist eine Plattform für Anwendungssicherheit: statische Analyse, Software Composition Analysis (SCA), Secret-Erkennung, IaC, API-Sicherheit, Container-Sicherheit, Schutz vor schädlichen Paketen und Posture Management an einem Ort. CRACI ist ein mit GitHub Actions kompatibler CI-Runner, der jede externe Abhängigkeit aufzeichnet, die ein Build lädt, und aus dieser Aufzeichnung SBOM, Provenienz und Compliance-Nachweise erzeugt. Checkmarx One ist ein Scanner mit vielen Engines. CRACI ist ein Aufzeichnungsgerät. Die beiden überschneiden sich bei SBOMs und Schwachstellenverfolgung, sonst kaum.

Auf einen Blick

Was Checkmarx One gut macht

Breite. Checkmarx One deckt eigenen Code (SAST), Secrets, Infrastructure as Code, APIs, Container, Open-Source-Abhängigkeiten, Repository-Zustand und KI-Komponenten ab und führt die Befunde in seiner ASPM-Schicht zusammen. Wenn Sie einen einzigen Anbieter für Anwendungssicherheitstests suchen, ist CRACI kein Ersatz. Es testet Ihren Code überhaupt nicht.

Wissen, welche Schwachstellen zählen. Checkmarx SCA ermittelt mit einer Exploitable-Path-Analyse, welche verwundbaren Klassen oder Funktionen in Drittanbieter-Bibliotheken Ihr Code aufrufen könnte. Es scannt direkte und transitive Abhängigkeiten, einschließlich privater Pakete, in unbegrenzter Tiefe. Richtlinien zu Schweregrad, Erreichbarkeit, Schadcode und Lizenzen können Warnungen senden, Pull Requests verhindern und Builds abbrechen.

Schädliche Pakete. Checkmarx pflegt eine große proprietäre Datenbank schädlicher Open-Source-Pakete, die Typosquatting, Dependency Confusion und kompromittierte Konten abdeckt, und kann einen Build automatisch blockieren, wenn eines davon in Ihrem Abhängigkeitsbaum auftaucht.

SBOMs und Integrationen. Checkmarx One exportiert SBOM-Berichte in CycloneDX 1.7 oder SPDX 2.3, optional mit VEX-Triage-Daten in CycloneDX, und kann SBOMs importieren. Es hat Plugins für Jenkins, TeamCity, GitHub Actions, Azure DevOps und Maven und nutzt seine CLI für GitLab, Bitbucket Pipelines, CircleCI, Bamboo und AWS CodeBuild. Für Projekte mit Code Repository Integration kann es automatisch einen Pull Request mit behobenen Paketversionen öffnen; seine Release Notes nannten zum Start npm-Manifeste vom Typ package.json.

Worin sich CRACI unterscheidet

Was der Scanner sieht und was der Build getan hat

Die Checkmarx One GitHub Action kapselt die Checkmarx CLI, die ein ZIP-Archiv Ihres Quellcode-Repositorys erstellt und zum Scannen hochlädt. SCA Resolver kann stattdessen Abhängigkeiten und Fingerprints vor Ort mit Ihren eigenen Paketmanagern extrahieren und ohne Ihren Quellcode zur Analyse senden. In beiden Fällen geht die Analyse vom Projekt aus: seinem Code, seinen Manifesten und dem Abhängigkeitsbaum, zu dem sie aufgelöst werden.

CRACI geht vom Build aus. Es ist der Runner, daher beobachtet ein paketbewusster Proxy, was der Job tatsächlich aus Paketquellen herunterlädt: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen, dazu Download-Presets. Das umfasst Toolchains, Basis-Images, Release-Downloads und Pakete, die aus CI-Caches wiederhergestellt werden. Jede SBOM gibt ihre Vollständigkeit pro Job und pro Cache an: Complete, Complete with connections, Incomplete, Unavailable oder Not recorded.

Kontrolle, nicht nur Erkennung

Weil der Build auf CRACI läuft, können Sie eine Egress-Richtlinie dafür festlegen: standardmäßig blockieren oder standardmäßig erlauben, 24 integrierte Presets für Softwarequellen und typisierte benutzerdefinierte Quellen für npm, PyPI, apt, apk, den Go-Proxy, Nix, Cargo, OCI-Registries und Git. Richtlinien werden vor dem Start des Jobs validiert und blockieren im Zweifel (fail closed). Checkmarx beurteilt Pakete danach, was sie sind. CRACI begrenzt, woher ein Build laden kann. CRACI erkennt schädliche Pakete nicht anhand ihrer Reputation, daher ergänzen sich die beiden Schichten.

Provenienz und Überwachung

Die API liefert SBOMs, Netzwerk-Traces und Provenienz. CRACI führt Schwachstellen über Builds und Repositories hinweg zusammen und bewertet überwachte SBOMs laufend neu.

Ein Inventar dessen, was wo im Einsatz ist

Die Inventaransicht von CRACI zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit. Wenn eine neue Schwachstelle bekannt wird, sehen Sie, welche Produkte die betroffene Version ausführen, statt es aus Release Notes und Tabellen zusammenzusuchen.

Wann Sie beide einsetzen

• Sicherheitstests plus Release-Nachweise. Checkmarx One in Pull Requests für Code, Secrets, IaC und Abhängigkeitsrisiken. CRACI als Runner für Release-Builds, der SBOM und Provenienzdaten für jeden Build vorhält.
• Mehrschichtige Abwehr in der Lieferkette. Der Schutz vor schädlichen Paketen von Checkmarx markiert problematische Pakete. Die Egress-Richtlinie von CRACI hält Builds auf freigegebenen Quellen und zeichnet jeden Download auf.
• Pipelines außerhalb von GitHub Actions. Checkmarx One passt heute zu Jenkins, TeamCity, Azure DevOps und GitLab. CRACI unterstützt heute nur GitHub Actions; GitLab CI und Jenkins sind auf der Roadmap. Diese Pipelines müssten also zuerst umziehen.

Für den Cyber Resilience Act

Checkmarx bietet ein CRA-Assessment als Teil seines AppSec Program Maturity Assessment (APMA) an, das Security-by-Design-Praktiken und Schwachstellenmanagement an den CRA-Anforderungen für vernetzte Produkte misst. Sein Blog vertritt die Ansicht, dass AppSec zur technischen Umsetzungsebene für die CRA-Compliance wird, mit besonderem Augenmerk auf die Dokumentation von KI-Komponenten über AI-BOMs.

CRACI ergänzt Nachweise aus dem Build: was in jedes Release eingeflossen ist, wie vollständig die Aufzeichnung ist und eine fortlaufende Überwachung danach, mit SBOMs, die sich als CycloneDX oder SPDX exportieren lassen. Es automatisiert einen erheblichen Teil der Transparenz und der Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen. Keines der beiden Tools macht ein Produkt für sich allein konform. Siehe CRA-Compliance und CRA-Nachweise.

CRACI neben Checkmarx One einführen

CRACI ersetzt den Runner, nicht GitHub Actions. Ändern Sie in einem Workflow runs-on auf craci, und die Ausführungen erscheinen weiterhin in der GitHub-Oberfläche. Die Checkmarx One GitHub Action bleibt als Schritt im Workflow. Beginnen Sie mit einer Release-Pipeline und vergleichen Sie die SBOM von CRACI mit dem SBOM-Bericht von Checkmarx One für denselben Commit.

Sie wägen mehr als zwei Tools ab? Checkmarx-Alternativen stellt neun Optionen direkt gegenüber.