CRACI frente a Checkmarx One

La respuesta corta

Checkmarx One es una plataforma de seguridad de aplicaciones: análisis estático, análisis de composición de software (SCA), detección de secretos, IaC, seguridad de API, seguridad de contenedores, protección frente a paquetes maliciosos y gestión de la postura en un solo lugar. CRACI es un runner de CI compatible con GitHub Actions que registra cada dependencia externa que incorpora un build y genera la SBOM, la procedencia y la evidencia de cumplimiento a partir de ese registro. Checkmarx One es un escáner, con muchos motores. CRACI es un registrador. Se solapan en las SBOM y el seguimiento de vulnerabilidades, y en poco más.

De un vistazo

Lo que Checkmarx One hace bien

Amplitud. Checkmarx One cubre el código propio (SAST), los secretos, la infraestructura como código, las API, los contenedores, las dependencias de código abierto, la salud de los repositorios y los componentes de IA, y reúne los hallazgos en su capa de ASPM. Si quiere un único proveedor para las pruebas de seguridad de aplicaciones, CRACI no es un sustituto. No prueba su código en absoluto.

Saber qué vulnerabilidades importan. Checkmarx SCA utiliza el análisis de rutas explotables para determinar qué clases o funciones vulnerables de las bibliotecas de terceros puede llamar su código. Escanea las dependencias directas y transitivas, incluidos los paquetes privados, sin límite de profundidad. Las políticas sobre severidad, alcanzabilidad, código malicioso y licencias pueden enviar alertas, impedir pull requests y hacer fallar builds.

Paquetes maliciosos. Checkmarx mantiene una gran base de datos propia de paquetes de código abierto maliciosos, que abarca typosquatting, confusión de dependencias y cuentas comprometidas, y puede bloquear un build automáticamente cuando uno de ellos aparece en su árbol de dependencias.

SBOM e integraciones. Checkmarx One exporta informes de SBOM en CycloneDX 1.7 o SPDX 2.3, con datos opcionales de triaje VEX en CycloneDX, y puede importar SBOM. Tiene plugins para Jenkins, TeamCity, GitHub Actions, Azure DevOps y Maven, y usa su CLI para GitLab, Bitbucket Pipelines, CircleCI, Bamboo y AWS CodeBuild. En los proyectos de Code Repository Integration puede abrir una pull request automática con versiones corregidas de los paquetes; sus notas de versión indicaban los manifiestos npm package.json en el lanzamiento.

En qué se diferencia CRACI

Lo que ve el escáner y lo que hizo el build

La GitHub Action de Checkmarx One envuelve la CLI de Checkmarx, que crea un archivo zip de su repositorio de código fuente y lo sube para escanearlo. SCA Resolver puede, en su lugar, extraer las dependencias y las huellas en sus propias instalaciones, con sus propios gestores de paquetes, y enviarlas para su análisis sin su código fuente. En ambos casos, el análisis parte del proyecto: su código, sus manifiestos y el árbol de dependencias que resuelven.

CRACI parte del build. Es el runner, así que un proxy que entiende de paquetes observa lo que el job descarga realmente de las fuentes de paquetes: fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de los presets de descarga. Eso incluye toolchains, imágenes base, descargas de versiones publicadas y paquetes restaurados desde cachés de CI. Cada SBOM indica su completitud por job y por caché: Complete, Complete with connections, Incomplete, Unavailable o Not recorded.

Control, no solo detección

Como el build se ejecuta en CRACI, puede definir una política de egress para él: denegación por defecto o permiso por defecto, 24 presets de fuentes de software integrados y fuentes personalizadas tipadas para npm, PyPI, apt, apk, el proxy de Go, Nix, Cargo, registros OCI y Git. Las políticas se validan antes de que empiece el job y, si fallan, bloquean. Checkmarx juzga los paquetes por lo que son. CRACI limita de dónde puede descargar un build. CRACI no detecta paquetes maliciosos por su reputación, así que las dos capas se complementan.

Procedencia y monitorización

La API devuelve SBOM, trazas de red y procedencia. CRACI agrega las vulnerabilidades de todos los builds y repositorios y sigue reevaluando las SBOM monitorizadas.

Un inventario de qué está desplegado y dónde

La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. Cuando aparece una nueva vulnerabilidad, puede ver qué productos ejecutan la versión afectada en lugar de reconstruirlo a partir de notas de versión y hojas de cálculo.

Cuándo usar los dos

• Pruebas de seguridad más evidencia de los lanzamientos. Checkmarx One en las pull requests para el riesgo del código, los secretos, la IaC y las dependencias. CRACI como runner de los builds de lanzamiento, con los datos de SBOM y procedencia de cada build.
• Defensa de la cadena de suministro por capas. La protección frente a paquetes maliciosos de Checkmarx señala los paquetes dañinos. La política de egress de CRACI mantiene los builds en fuentes aprobadas y registra cada descarga.
• Pipelines fuera de GitHub Actions. Checkmarx One encaja hoy en Jenkins, TeamCity, Azure DevOps y GitLab. CRACI solo es compatible hoy con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta, así que esos pipelines tendrían que migrar primero.

Para el Cyber Resilience Act

Checkmarx ofrece una evaluación del CRA como parte de su AppSec Program Maturity Assessment (APMA), que mide las prácticas de seguridad desde el diseño y la gestión de vulnerabilidades frente a los requisitos del CRA para productos conectados. Su blog sostiene que el AppSec se está convirtiendo en la capa de implementación técnica del cumplimiento del CRA, con especial atención a documentar los componentes de IA mediante AI-BOM.

CRACI añade evidencia del build: qué entró en cada lanzamiento, cuán completo es el registro y la monitorización continua posterior, con SBOM que se exportan en CycloneDX o SPDX. Automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA. Ninguna de las dos herramientas hace que un producto cumpla por sí sola. Consulte el cumplimiento del CRA y la evidencia para el CRA.

Añadir CRACI junto a Checkmarx One

CRACI sustituye el runner, no GitHub Actions. Cambie runs-on a craci en un workflow y las ejecuciones seguirán apareciendo en la interfaz de GitHub. La GitHub Action de Checkmarx One sigue en el workflow como un paso. Empiece con un pipeline de lanzamiento y compare la SBOM de CRACI con el informe de SBOM de Checkmarx One para el mismo commit.

¿Valora más de dos herramientas? Alternativas a Checkmarx compara nueve opciones una junto a otra.