CRACI frente a Endor Labs

La respuesta corta

Endor Labs es una plataforma de seguridad de aplicaciones construida en torno a la alcanzabilidad. Analiza su código fuente y sus dependencias para decidir a qué vulnerabilidades conocidas puede llamar su aplicación, y después le ayuda a corregir esas primero. También cubre el código propio, los secretos, los contenedores y los paquetes maliciosos.

CRACI es un runner de CI para GitHub Actions. Sus jobs se ejecutan en él y, mientras lo hacen, registra cada dependencia externa que descargan y controla a qué pueden acceder en la red. Endor Labs le dice qué hallazgos importan. CRACI le da un registro de lo que entró en cada versión. Ambos encajan sin solaparse en su función principal.

De un vistazo

Lo que Endor Labs hace bien

La alcanzabilidad es lo más destacado. Endor Labs utiliza el análisis estático de programas para realizar un análisis de alcanzabilidad a nivel de función en las dependencias directas y transitivas, siguiendo las rutas de código desde su código fuente hasta la función vulnerable. Cuando no es posible un build completo, la alcanzabilidad a nivel de dependencia y la precalculada ofrecen alternativas menos precisas. Endor Labs afirma que esto reduce los hallazgos de SCA en un 92 % al filtrar las vulnerabilidades que no se pueden invocar desde su código. Para un equipo desbordado por las alertas de dependencias, es el alivio más directo disponible.

La parte de corrección también es sólida. El análisis del impacto de las actualizaciones busca cambios incompatibles antes de actualizar y asigna un riesgo de corrección, las pull requests automatizadas realizan la actualización y Endor Patches retroporta una corrección de seguridad del proyecto original a la versión que ya utiliza cuando actualizar no es viable.

Más allá de las dependencias de código abierto, la plataforma incluye SAST con IA, detección de secretos, escaneo de contenedores, detección de paquetes maliciosos y un Package Firewall que actúa como proxy entre su repositorio de artefactos y los registros públicos. Su SBOM Hub genera e importa SBOM en CycloneDX y SPDX, produce documentos VEX basados en la alcanzabilidad y sigue actualizando el riesgo a medida que se publican nuevas vulnerabilidades. Endor Labs se integra con GitHub Actions, GitLab, Jenkins, CircleCI, Buildkite y Bitbucket, y entre sus lenguajes compatibles están C y C++, Java, Go, Rust, Python y JavaScript.

CRACI no hace nada de ese trabajo de alcanzabilidad, SAST, secretos o escaneo de contenedores. Si lo necesita, conserve Endor Labs o una herramienta similar.

En qué se diferencia CRACI

El build es la fuente de verdad

Endor Labs trata el código fuente como la verdad de referencia de su inventario, lo que detecta dependencias directas, transitivas y fantasma que un manifiesto por sí solo pasaría por alto. CRACI parte de otro lugar: el propio build. Un proxy en el runner que entiende de paquetes observa el tráfico hacia las fuentes de paquetes mientras se ejecuta el job, en fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de los presets de descarga. La evidencia viaja con las cachés de CI, así que un paquete restaurado desde una caché sigue contando. Como el runner ve el tráfico, también se observan las dependencias que incorporan los scripts de instalación o los pasos de descarga, no solo las que figuran en un manifiesto.

Cada SBOM lleva un estado de completitud por job y por caché: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Cuando el registro tiene una laguna, se lo indica.

Control sobre a qué puede acceder el build

Como CRACI es el runner, puede definir una política de egress para cada job: denegación por defecto o permiso por defecto, con 24 presets de fuentes de software integrados y fuentes personalizadas tipadas para registros y Git. Las políticas se validan antes de que empiece el job y, si fallan, bloquean. El Package Firewall de Endor Labs filtra qué paquetes entran a través de su repositorio de artefactos. La política de CRACI limita cada conexión que hace el build. Son capas distintas y funcionan bien superpuestas.

Procedencia y monitorización de lo distribuido

Endor Labs firma artefactos; CRACI no. Los datos de CRACI proceden del runner que observó el build, y la API devuelve SBOM, trazas de red y procedencia. CRACI agrega las vulnerabilidades de todos los builds y repositorios y sigue reevaluando las SBOM monitorizadas.

Un inventario de qué está desplegado y dónde

La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. Cuando aparece una nueva vulnerabilidad, puede ver qué productos ejecutan la versión afectada en lugar de reconstruirlo a partir de notas de versión y hojas de cálculo.

Cuál le conviene

• Su problema es el volumen de alertas: empiece por Endor Labs. La alcanzabilidad y el análisis del impacto de las actualizaciones apuntan directamente a eso.
• Su problema es demostrar qué hay en una versión: CRACI lo registra desde el build.
• Le preocupa lo que pueden descargar los builds: la política de egress de CRACI limita el runner, y el Package Firewall de Endor Labs examina los paquetes. Use ambos si el riesgo es alto.
• Trabaja con GitLab, Jenkins o CircleCI: Endor Labs los cubre hoy. CRACI solo es compatible con GitHub Actions, así que esos pipelines tendrían que migrar a GitHub Actions para ejecutarse en CRACI. GitLab CI y Jenkins están en la hoja de ruta.

Para el Cyber Resilience Act

Endor Labs incluye el Cyber Resilience Act de la UE entre los requisitos de evidencia que admite SBOM Hub, y su salida VEX ayuda a explicar por qué una vulnerabilidad no afecta a un producto. CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA: SBOM generadas durante el build con su completitud indicada, datos de procedencia, seguimiento continuo de vulnerabilidades y exportación de SBOM en CycloneDX o SPDX. Ninguna de las dos herramientas hace que un producto cumpla por sí sola. Más información sobre qué es el CRA y el cumplimiento del CRA.

Añadir CRACI junto a Endor Labs

No hace falta cambiar nada de su configuración de Endor Labs. Instale la GitHub App de CRACI y cambie runs-on a craci en los workflows que quiera registrar. Las ejecuciones siguen apareciendo en la interfaz de GitHub, y un paso de endorctl se ejecuta en un runner de CRACI como cualquier otro paso. Más información sobre la generación de SBOM durante el build y la integración con CI/CD.