CRACI vs. Endor Labs

Die kurze Antwort

Endor Labs ist eine Plattform für Anwendungssicherheit, die um Erreichbarkeit herum gebaut ist. Sie analysiert Ihren Quellcode und Ihre Abhängigkeiten, um zu ermitteln, welche bekannten Schwachstellen Ihre Anwendung aufrufen kann, und hilft Ihnen, diese zuerst zu beheben. Sie deckt außerdem eigenen Code, Secrets, Container und bösartige Pakete ab.

CRACI ist ein CI-Runner für GitHub Actions. Ihre Jobs laufen darauf, und währenddessen zeichnet er jede externe Abhängigkeit auf, die sie laden, und kontrolliert, was sie im Netzwerk erreichen können. Endor Labs sagt Ihnen, welche Befunde zählen. CRACI gibt Ihnen eine Aufzeichnung dessen, was in jedes Release eingeflossen ist. Die beiden ergänzen sich, ohne sich in ihren Kernaufgaben zu überschneiden.

Auf einen Blick

Was Endor Labs gut kann

Erreichbarkeit ist das Kernthema. Endor Labs nutzt statische Programmanalyse für eine Erreichbarkeitsanalyse auf Funktionsebene über direkte und transitive Abhängigkeiten und verfolgt Codepfade von Ihrem Quellcode bis zur verwundbaren Funktion. Wo kein vollständiger Build möglich ist, bieten Erreichbarkeit auf Abhängigkeitsebene und vorberechnete Erreichbarkeit gröbere Alternativen. Laut Endor Labs reduziert das SCA-Befunde um 92 %, weil Schwachstellen herausgefiltert werden, die in Ihrem Code nicht aufrufbar sind. Für ein Team, das in Abhängigkeits-Warnungen ertrinkt, ist das die direkteste Entlastung, die es gibt.

Auch bei der Behebung ist Endor Labs stark. Die Upgrade-Impact-Analyse sucht vor einem Upgrade nach Breaking Changes und weist ein Behebungsrisiko aus, automatisierte Pull Requests führen das Upgrade durch, und Endor Patches portieren einen Upstream-Sicherheitsfix auf die Version zurück, die Sie bereits nutzen, wenn ein Upgrade nicht praktikabel ist.

Über Open-Source-Abhängigkeiten hinaus umfasst die Plattform AI SAST, Secrets-Erkennung, Container-Scanning, die Erkennung bösartiger Pakete und eine Package Firewall, die als Proxy zwischen Ihrem Artefakt-Repository und öffentlichen Registries sitzt. Ihr SBOM Hub erzeugt und importiert CycloneDX- und SPDX-SBOMs, erstellt erreichbarkeitsbasierte VEX-Dokumente und aktualisiert das Risiko laufend, wenn neue Schwachstellen veröffentlicht werden. Endor Labs integriert sich in GitHub Actions, GitLab, Jenkins, CircleCI, Buildkite und Bitbucket, und zu den unterstützten Sprachen gehören C und C++, Java, Go, Rust, Python und JavaScript.

CRACI übernimmt weder Erreichbarkeitsanalyse noch SAST, Secret- oder Container-Scans. Wenn Sie das brauchen, behalten Sie Endor Labs oder ein vergleichbares Tool.

Worin sich CRACI unterscheidet

Der Build ist die Quelle der Wahrheit

Endor Labs behandelt Quellcode als maßgebliche Grundlage für sein Inventar und erfasst so direkte, transitive und Phantom-Abhängigkeiten, die ein Manifest allein übersehen würde. CRACI setzt woanders an: beim Build selbst. Ein paketbewusster Proxy auf dem Runner beobachtet während des Jobs den Datenverkehr zu Paketquellen, über npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen hinweg, dazu Download-Presets. Die Nachweise reisen mit CI-Caches mit, sodass auch ein aus einem Cache wiederhergestelltes Paket gezählt wird. Weil der Runner den Datenverkehr sieht, werden auch Abhängigkeiten beobachtet, die Install-Skripte oder Download-Schritte nachladen, nicht nur die in einem Manifest genannten.

Jede SBOM trägt einen Vollständigkeitsstatus pro Job und pro Cache: Complete, Complete with connections, Incomplete, Unavailable oder Not recorded. Hat die Aufzeichnung eine Lücke, erfahren Sie es.

Kontrolle darüber, was der Build erreichen kann

Weil CRACI der Runner ist, können Sie für jeden Job eine Egress-Richtlinie festlegen: standardmäßig sperrend oder standardmäßig erlaubend, mit 24 integrierten Presets für Softwarequellen und typisierten eigenen Quellen für Registries und Git. Richtlinien werden vor dem Start des Jobs validiert und blockieren im Zweifel (fail closed). Die Package Firewall von Endor Labs filtert, welche Pakete über Ihr Artefakt-Repository hereinkommen. Die Richtlinie von CRACI begrenzt jede Verbindung, die der Build aufbaut. Das sind unterschiedliche Ebenen, und sie lassen sich gut kombinieren.

Provenienz und Überwachung des Ausgelieferten

Endor Labs signiert Artefakte, CRACI nicht. Die Daten von CRACI stammen vom Runner, der den Build beobachtet hat, und die API liefert SBOMs, Netzwerk-Traces und Provenienz. CRACI führt Schwachstellen über Builds und Repositories hinweg zusammen und bewertet überwachte SBOMs laufend neu.

Ein Inventar dessen, was wo im Einsatz ist

Die Inventaransicht von CRACI zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit. Wenn eine neue Schwachstelle bekannt wird, sehen Sie, welche Produkte die betroffene Version ausführen, statt es aus Release Notes und Tabellen zusammenzusuchen.

Was zu Ihnen passt

• Ihr Problem ist die Menge an Warnungen: Beginnen Sie mit Endor Labs. Erreichbarkeit und Upgrade-Impact-Analyse zielen genau darauf.
• Ihr Problem ist der Nachweis, was in einem Release steckt: CRACI zeichnet es aus dem Build auf.
• Sie sorgen sich darum, was Builds herunterladen können: Die Egress-Richtlinie von CRACI begrenzt den Runner, die Package Firewall von Endor Labs prüft Pakete. Setzen Sie bei hohem Risiko beides ein.
• Sie nutzen GitLab, Jenkins oder CircleCI: Endor Labs deckt sie heute ab. CRACI unterstützt nur GitHub Actions, diese Pipelines müssten also zu GitHub Actions wechseln, um auf CRACI zu laufen. GitLab CI und Jenkins sind auf der Roadmap.

Für den Cyber Resilience Act

Endor Labs führt den EU Cyber Resilience Act unter den Nachweisanforderungen auf, die SBOM Hub unterstützt, und seine VEX-Ausgabe hilft zu erklären, warum eine Schwachstelle ein Produkt nicht betrifft. CRACI automatisiert einen erheblichen Teil der Transparenz und der Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen: Build-SBOMs mit angegebener Vollständigkeit, Provenienzdaten, laufende Schwachstellenverfolgung und SBOM-Export als CycloneDX oder SPDX. Keines der beiden Tools macht ein Produkt allein konform. Mehr dazu unter Was der CRA ist und CRA-Compliance.

CRACI neben Endor Labs einsetzen

An Ihrem Endor-Labs-Setup muss sich nichts ändern. Installieren Sie die CRACI GitHub App und ändern Sie dann runs-on auf craci in den Workflows, die aufgezeichnet werden sollen. Läufe erscheinen weiterhin in der GitHub-Oberfläche, und ein endorctl-Schritt läuft auf einem CRACI-Runner wie jeder andere Schritt. Mehr über SBOM-Generierung während des Builds und CI/CD-Integration.