CRACI frente a Aikido

Consolidación frente a evidencia

Los equipos suelen fijarse en Aikido porque quieren menos herramientas de seguridad. Aikido cubre dependencias de código abierto, código propio, secretos, infraestructura como código, contenedores, postura de seguridad en la nube, pruebas dinámicas y protección en tiempo de ejecución en un solo producto, con un único lugar para el triaje de hallazgos. Para un equipo pequeño que necesita una cobertura amplia rápidamente, es una oferta sólida.

Los equipos se fijan en CRACI por un motivo más acotado. Necesitan saber qué hicieron realmente sus builds, controlar a qué puede acceder el build y producir, para cada versión, evidencia que se sostenga ante un cliente o un auditor. CRACI lo consigue siendo el propio runner de CI.

Lo que Aikido hace bien

Su gran baza es la amplitud. Todos los planes de Aikido incluyen SCA, SAST, detección de secretos, IaC, postura de seguridad en la nube, escaneo de contenedores, DAST, escaneo de licencias y generación de SBOM. Su SCA utiliza alcanzabilidad a nivel de función para reducir el ruido, y AutoFix abre pull requests con versiones parcheadas. En CI puede bloquear pull requests con riesgos críticos, y funciona con GitHub, GitLab, Jenkins, Bitbucket, CircleCI y otros. CRACI solo es compatible hoy con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta.

Aikido también ofrece Safe Chain, una herramienta gratuita que ejecuta un proxy local delante de los gestores de paquetes de npm y PyPI y bloquea los paquetes con malware conocido antes de que se instalen, en local y en CI. CRACI no bloquea hoy paquetes individuales. Las listas de bloqueo de paquetes para toda la organización están en la hoja de ruta de CRACI, no en el producto.

En cumplimiento normativo, los planes superiores de Aikido incluyen informes de cumplimiento de SOC 2 e ISO 27001 y sincronización con plataformas de cumplimiento como Drata y Vanta. Si su objetivo principal es alimentar un programa de SOC 2 con hallazgos de seguridad de aplicaciones, Aikido está pensado para ello.

En qué se diferencia CRACI

CRACI es el entorno de ejecución del CI

La protección en tiempo de ejecución de Aikido protege las aplicaciones en funcionamiento. CRACI trabaja en otro entorno de ejecución: el job de build. Sus jobs de GitHub Actions se ejecutan en CRACI en máquinas virtuales aisladas, en runners de 1 a 32 unidades de cómputo, en x86-64 o ARM64. La configuración consiste en cambiar runs-on a craci. Sus workflows no cambian, y las ejecuciones siguen apareciendo en la interfaz de GitHub.

Como CRACI ejecuta el job, puede aplicar una política de egress mientras el job se ejecuta. Las políticas son de denegación por defecto o de permiso por defecto, con 24 presets de fuentes de software integrados y fuentes personalizadas tipadas para npm, PyPI, apt, apk, el proxy de Go, Nix, Cargo, registros OCI y Git. Se validan antes de que empiece el job y, si fallan, bloquean (fail closed). Un escáner puede decirle que existe un paquete de riesgo. Una política de red impide que el build llegue a donde no debe.

Evidencia determinista del build

Aikido elabora su vista de dependencias a partir de manifiestos y lockfiles y añade análisis encima, incluidas comprobaciones de explotabilidad basadas en IA. Es una forma sensata de priorizar el trabajo.

La SBOM de CRACI no se deduce. Un proxy que entiende de paquetes registra lo que el job descargó de las fuentes de paquetes, y la evidencia de dependencias viaja con las cachés de CI, de modo que los paquetes restaurados desde una caché también se cuentan. Cada SBOM indica su propia completitud por job y por caché: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Es un registro de lo que ocurrió y no una estimación, y le indica dónde tiene lagunas.

Esto importa porque las herramientas de SBOM estáticas discrepan más de lo que la mayoría espera, y el motivo es estructural. Cada una lee un conjunto de archivos distinto y lo resuelve de forma diferente, así que lo que se dice que contiene un repositorio depende de a qué herramienta se preguntó y de cómo estaba configurada. Un proyecto que no incluye lockfile, como ocurre con express 5.2.1, no da a un lector de lockfiles nada que resolver. CRACI no puede compararse en esos términos, porque registra builds en lugar de escanear directorios, y ahí está la clave: un registro del build no depende de qué archivos estén presentes en ese momento.

Datos de procedencia a través de la API

CRACI genera la SBOM dentro de su propio runner, a partir de lo que descargó el job. La API devuelve SBOM, trazas de red y datos de procedencia.

Resultados de cumplimiento basados en ese registro

Para el Cyber Resilience Act de la UE, lo difícil es demostrar qué se incluyó en cada versión y cómo se hace el seguimiento de sus vulnerabilidades a lo largo del tiempo. CRACI agrega las vulnerabilidades de todos los builds y repositorios y reevalúa de forma continua las SBOM monitorizadas. Las SBOM se exportan en CycloneDX o SPDX, vulnerabilidades incluidas, y la API devuelve SBOM, trazas de red y datos de procedencia. Automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA. Consulte cumplimiento del CRA y evidencia para el CRA.

Un inventario de qué está desplegado y dónde

La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. Cuando se publica una nueva vulnerabilidad, puede ver qué productos ejecutan la versión afectada en lugar de reconstruirlo a partir de notas de versión y hojas de cálculo.

Dónde encaja cada uno

• Elija Aikido si quiere una sola herramienta que cubra código, dependencias, nube y aplicaciones en funcionamiento, si hoy utiliza sistemas de CI distintos de GitHub Actions o si su prioridad en cumplimiento son los informes de SOC 2 o ISO 27001 a partir de hallazgos de seguridad de aplicaciones.
• Elija CRACI si compila en GitHub Actions y necesita saber exactamente qué descargó cada build, controlar el acceso a la red del build y conservar evidencia de cada versión para el CRA y las auditorías de clientes.
• Use ambos si quiere el escaneo y el control de pull requests de Aikido junto con los controles del entorno de build y la evidencia de CRACI. Las comprobaciones de CI de Aikido y Safe Chain se ejecutan como pasos de su workflow, y esos pasos pueden ejecutarse en un runner de CRACI como cualquier otro.