CRACI vs. OX Security

Die kurze Antwort

OX Security ist eine Plattform für Application Security Posture Management (ASPM) mit eigenen Scannern (SAST, SCA, Secrets, IaC und Container), Zusammenführung von Befunden Dritter, CI/CD-Posture-Policies sowie Laufzeit- und Cloud-Kontext. Für die Lieferkettensicherheit bietet sie die Pipeline Bill of Materials (PBOM): eine signierte Aufzeichnung, wie jedes Artefakt gebaut wurde, vom Commit über CI/CD bis in die Produktion.

CRACI konkurriert um dasselbe Budget für Lieferkettensicherheit. Der Unterschied liegt im Blickwinkel. OX bindet die Quellcodeverwaltung, CI-Systeme und Registries an, die Sie bereits nutzen, und baut daraus sein Bild auf. CRACI ist der Build-Runner für GitHub Actions: Es zeichnet auf, was jeder Job tatsächlich geladen hat, setzt während des Laufs eine Egress-Richtlinie durch, überwacht das Ausgelieferte und erzeugt CRA-Nachweise. OX ist deutlich breiter aufgestellt; CRACI ist der Build selbst.

Auf einen Blick

Was OX Security gut kann

• Eine Build-Aufzeichnung über die SBOM hinaus. Die PBOM von OX erfasst Pipeline-Definitionen, Runner-Identität, Build-Argumente, Artefakt-Signaturen und die Versionshistorie, und laut OX enthält sie jede Open-Source-Komponente, die in jeden Build aufgelöst wurde. Sie wird pro Build signiert. OX erzeugt außerdem SBOMs in SPDX und CycloneDX.
• CI/CD-Posture. Die Policies von OX kennzeichnen unsichere Workflow-Dateien, nicht gepinnte Actions von Drittanbietern, veraltete GitHub-Actions-Befehle, übermäßige Workflow-Berechtigungen, Secrets im Klartext und riskante Webhooks und können CI-Systeme kennzeichnen, die nicht für Builds freigegeben sind.
• Durchsetzung in der Pipeline. Die GitHub Action OX Security Scan führt Secrets-, SAST-, SCA- und IaC-Scans aus und lässt den Workflow fehlschlagen, wenn sie unter Ihren OX-Policies ein blockierendes Problem findet.
• Zusammenführung. OX übernimmt neben den eigenen auch Befunde von Scannern wie Checkmarx, Veracode, SonarQube, Snyk, Black Duck und JFrog Xray.
• Breite Integrationsabdeckung. Auf der CI-Seite führt es GitHub Actions, GitLab CI/CD, Jenkins, Azure Pipelines, CircleCI und Drone CI auf, dazu acht Systeme zur Quellcodeverwaltung und zehn Container-Registries.
• Funktionen für das KI-Zeitalter. OX VibeSec deckt KI-generierten Code und Abhängigkeiten mit einer AI Bill of Materials ab, und die KI-Behebung schlägt Code-Fixes in Pull Requests und in der IDE vor.

Worin sich CRACI unterscheidet

Vom Runner aufgezeichnet, nicht aus angebundenen Tools gesammelt

Laut der Dokumentation von OX sammelt seine SBOM Daten aus angebundenen Quellen, darunter Quellcodeverwaltung, CI/CD-Pipelines, Container-Images und importierte Dateien. Das ergibt eine breite Sicht auf Ihre gesamte Landschaft. CRACI wirft einen engeren und tieferen Blick auf jeden Build: Ein paketbewusster Proxy beobachtet während des Jobs den Datenverkehr zu Paketquellen, über npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen hinweg, dazu Download-Presets. Die Abhängigkeitsnachweise reisen mit CI-Caches, sodass auch ein aus einem Cache wiederhergestelltes Paket erfasst bleibt.

Jede CRACI-SBOM trägt einen Vollständigkeitsstatus pro Job und pro Cache: Complete, Complete with connections, Incomplete, Unavailable oder Not recorded. Hat die Aufzeichnung eine Lücke, sagt sie das.

Kontrolle während des Builds

Die Posture-Policies von OX prüfen, wie eine Pipeline konfiguriert ist. CRACI begrenzt, was der Build erreichen kann. Egress-Richtlinien sind standardmäßig sperrend oder erlaubend, mit 24 integrierten Presets für Softwarequellen, typisierten eigenen Quellen für npm, PyPI, apt, apk, den Go-Proxy, Nix, Cargo, OCI-Registries und Git sowie expliziten TLS-, TCP-, UDP- und ICMP-Regeln. Richtlinien werden vor dem Start des Jobs validiert und blockieren im Zweifel (fail closed), und CRACI kann Sie bei einem Verstoß warnen.

Provenienz und Überwachung aus einer Aufzeichnung

Die API liefert SBOMs, Netzwerk-Traces und Provenienz. CRACI signiert Provenienz nicht und beansprucht kein SLSA-Level. Es bewertet die SBOMs des Ausgelieferten laufend neu, sobald neue Schwachstellen veröffentlicht werden.

Ein Inventar dessen, was wo im Einsatz ist

Die Inventaransicht von CRACI zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit. Wenn eine neue Schwachstelle bekannt wird, sehen Sie, welche Produkte die betroffene Version ausführen, statt es aus Release Notes und Tabellen zusammenzusuchen.

Wo OX vorn liegt

Klar gesagt: CRACI hat kein SAST-, Secrets-, IaC- oder Container-Scanning, keine CI/CD-Posture-Prüfungen, keine Zusammenführung von Scannern Dritter und keinen Laufzeit- oder Cloud-Kontext. Die Policy-Gates von CRACI können einen Build aufgrund von Befunden blockieren, doch CRACI unterstützt heute nur GitHub Actions; GitLab CI und Jenkins sind auf der Roadmap. Wenn Sie eine Plattform brauchen, die jede Ihrer Pipelines und jeden Ihrer Scanner umfasst, deckt OX deutlich mehr ab.

Was passt

OX Security passt besser, wenn

• Sie eine ASPM-Plattform suchen, die viele Scanner zusammenführt und über sie hinweg priorisiert.
• Sie CI/CD-Posture-Policies über GitLab, Jenkins, Azure Pipelines oder CircleCI hinweg brauchen.
• Sie schon heute Pull-Request-Gates für Befunde zu Code, Secrets und IaC möchten.

CRACI passt besser, wenn

• Sie auf GitHub Actions bauen und Runner, Egress-Richtlinie und Abhängigkeitsaufzeichnung an einem Ort haben möchten.
• Sie eine SBOM dessen brauchen, was jeder Build geladen hat, mit einem Vollständigkeitsstatus, den Sie einem Auditor zeigen können.
• Sie die Überwachung des Ausgelieferten und CRA-Nachweise aus derselben Aufzeichnung möchten.

Beide nutzen

CRACI ersetzt den Runner, nicht GitHub Actions, die Action OX Security Scan läuft also wie jeder andere Schritt auf einem CRACI-Runner. OX kann SBOMs im CycloneDX-Format importieren, CRACI kann also die aus dem Build aufgezeichnete SBOM liefern, mit der OX dann arbeitet.

Für den Cyber Resilience Act

Der Cyber Resilience Act verlangt von Herstellern, die Komponenten jedes Produkts zu kennen, deren Schwachstellen zu behandeln und Nachweise aufzubewahren. Die SBOMs, die PBOM und die Posture-Policies von OX unterstützen sichere Entwicklung und ein Inventar über Ihre gesamte Landschaft. CRACI automatisiert einen erheblichen Teil der Transparenz und der Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen: Build-Time-SBOMs, exportiert als CycloneDX oder SPDX, Schwachstellenverfolgung und Provenienz über die API. Keines der Tools macht Sie allein konform. Siehe CRA-Nachweise und CRA-Compliance.

CRACI ergänzen

Installieren Sie die CRACI GitHub App in Ihrer Organisation und ändern Sie dann das Runner-Label eines Jobs auf runs-on: craci. Läufe erscheinen weiterhin in der GitHub-Oberfläche. Beginnen Sie mit einem Workflow, der ein Release-Artefakt erzeugt, und vergleichen Sie die SBOM von CRACI mit der, die OX für dasselbe Repository anzeigt. Lesen Sie mehr über CI/CD-Integration, SBOM-Generierung während des Builds und Preise.

Sie wägen mehr als zwei Tools ab? OX-Security-Alternativen vergleicht neun Optionen nebeneinander.