CRACI frente a Cycode

La respuesta corta

Cycode se define como una plataforma de seguridad del desarrollo basada en agentes, y nació de la gestión de la postura de seguridad de las aplicaciones (ASPM). Vende seguridad del código (SAST, SCA, escaneo de contenedores y de IaC), seguridad de la cadena de suministro de software (seguridad de CI/CD, protección del build en tiempo de ejecución, detección de fugas de código, SBOM, secretos), gestión de la postura con más de 100 conectores y gobernanza de la IA para el desarrollo. Su componente de protección del build en tiempo de ejecución, Cimon, es un agente eBPF que se ejecuta dentro de sus jobs de CI.

CRACI compite por el mismo presupuesto de cadena de suministro, y con Cimon el solapamiento es real: ambos observan los builds, ambos pueden restringir el egress del build y ambos generan una SBOM a partir del build. Cimon además firma la procedencia; CRACI no. La diferencia está en dónde reside todo eso. Cycode añade un agente al CI que ya usa, en muchos sistemas. CRACI es el runner de GitHub Actions, así que el registro y la política vienen con cada job, y CRACI los traslada a la monitorización y a la evidencia para el CRA. Cycode es mucho más amplio; CRACI profundiza más en el build y en lo que se distribuyó.

De un vistazo

Lo que Cycode hace bien

Amplitud en todo el SDLC

• Seguridad del código: SAST y SAST con IA, SCA con análisis de alcanzabilidad y cumplimiento de licencias, escaneo de contenedores y seguridad de la infraestructura como código.
• Secretos y fugas: Cycode busca secretos expuestos en el código fuente, los pipelines y herramientas como Jira, Slack y Confluence, y detecta fugas de código.
• Seguridad de CI/CD: monitoriza las políticas de seguridad, las configuraciones y la gobernanza de CI/CD, y aplica políticas para ayudar a los equipos a cumplir normas como NIST SSDF.
• Gestión de la postura: el Context Intelligence Graph sigue las vulnerabilidades a través del código, las configuraciones de las herramientas, la infraestructura en la nube y la propiedad, y ConnectorX incorpora hallazgos de otros escáneres.
• SBOM: Cycode genera SBOM en SPDX o CycloneDX, y su plan Posture Management incluye la importación de SBOM.

Cimon, el agente para el build en tiempo de ejecución

Cycode describe Cimon como seguridad en tiempo de ejecución, una SBOM observada en tiempo de ejecución y procedencia SLSA en un solo paso de GitHub Actions o Azure Pipelines. Monitoriza la ejecución de procesos, el egress de red y el acceso a archivos a nivel del kernel con eBPF. En modo de detección observa sin bloquear; una vez establecido el comportamiento normal de un pipeline, lo impone, y la GitHub Action acepta hosts e IP permitidos. Cimon firma la procedencia conforme a la especificación SLSA Provenance v1.0, que según Cycode cumple SLSA Build Level 2 en un runner alojado firmado mediante GitHub OIDC. También funciona en Jenkins, GitLab CI, Buildkite y Harness, y Cycode afirma que es gratuito y de código abierto.

En qué se diferencia CRACI

El runner, no un agente sobre él

Cimon se añade a los runners que usted mantiene; en GitHub Actions se ejecuta como un contenedor privilegiado que se une a los espacios de nombres de procesos y de red del runner. Eso es lo que le permite funcionar en runners alojados y en muchos sistemas de CI. CRACI toma el camino contrario y sustituye el runner. Usted cambia runs-on a craci, y la política de egress forma parte de la plataforma: se valida antes de que empiece el job, rechaza los campos desconocidos y, si falla, bloquea.

Paquetes y fuentes, no solo hosts

La política de egress de CRACI está tipada por ecosistema. Cuenta con 24 presets de fuentes de software integrados, fuentes personalizadas para npm, PyPI, apt, apk, el proxy de Go, Nix, Cargo, registros OCI y Git sobre HTTPS y SSH, y reglas explícitas de TLS, TCP, UDP e ICMP. Un proxy que entiende de paquetes registra qué paquetes descargó cada job. La evidencia de dependencias viaja con las cachés de CI, así que un paquete restaurado desde una caché sigue en el registro, y cada SBOM lleva un estado de completitud por job y por caché: Complete, Complete with connections, Incomplete, Unavailable o Not recorded.

Del build a lo que se distribuyó

• Procedencia: la API devuelve SBOM, trazas de red y procedencia.
• Monitorización: CRACI sigue reevaluando las SBOM de lo que usted distribuyó a medida que aparecen nuevas vulnerabilidades, de forma agregada para todos los builds y repositorios.
• Exportación: SBOM en CycloneDX o SPDX, vulnerabilidades incluidas.

Un inventario de qué está desplegado y dónde

La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. Cuando aparece una nueva vulnerabilidad, puede ver qué productos ejecutan la versión afectada en lugar de reconstruirlo a partir de notas de versión y hojas de cálculo.

Dónde va por delante Cycode

Para decirlo claramente: CRACI no tiene escaneo SAST, de secretos, de IaC ni de contenedores, ni conectores ASPM, ni monitorización de procesos o archivos, ni todavía un modo de detección o monitorización (está en la hoja de ruta). CRACI no firma la procedencia ni declara un nivel SLSA, y hoy solo ejecuta GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta. Si necesita una sola plataforma para todo su código y todos sus sistemas de CI, Cycode cubre mucho más.

Cuál le conviene

Cycode encaja mejor cuando

• Quiere una sola plataforma ASPM para el escaneo de código, los secretos, la postura de CI/CD y la priorización.
• Usa Azure Pipelines, Jenkins, GitLab CI o Buildkite y quiere protección del build en tiempo de ejecución en ellos.
• Quiere mantener los runners alojados por GitHub y añadirles un agente.

CRACI encaja mejor cuando

• Compila en GitHub Actions y quiere el runner, la política de egress y el registro de dependencias en un solo lugar.
• Necesita una SBOM a nivel de paquete de cada build, con un estado de completitud que pueda mostrar a un auditor.
• Quiere la monitorización de lo que se distribuyó y la evidencia para el CRA a partir del mismo registro.

Usar los dos

El escaneo de código, la detección de secretos y la gestión de la postura de Cycode cubren un terreno que CRACI no toca, así que ambos pueden convivir. Cimon es la excepción: en un runner de CRACI, la observación del build y el control del egress ya forman parte del runner, así que CRACI sustituye a Cimon en lugar de ejecutarse junto a él, salvo que necesite la procedencia firmada de Cimon.

Para otras plataformas ASPM, escáneres y agentes para runners, consulte las alternativas a Cycode.

Para el Cyber Resilience Act

Cycode presenta su plataforma para la conformidad con el CRA con generación automatizada de SBOM, seguimiento de vulnerabilidades y recopilación de evidencia para los expedientes técnicos. CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA, a partir del build: SBOM con estados de completitud, procedencia, monitorización de lo que se distribuyó y exportación de SBOM como evidencia para el CRA. Ninguna de las dos herramientas basta por sí sola para cumplir. Consulte qué exige el CRA y el cumplimiento del CRA.

Añadir CRACI

Instale la GitHub App de CRACI en su organización y cambie la etiqueta del runner de un job a runs-on: craci. Las ejecuciones siguen apareciendo en la interfaz de GitHub. Más información sobre la integración con CI/CD, la generación de SBOM durante el build y los precios.