CRACI frente a Sonatype

La respuesta corta

Lo mejor de Sonatype es la gobernanza del código abierto: políticas que deciden qué componentes se permiten, un firewall que detiene los paquetes malos en el repositorio y un análisis que le dice qué acabó en su aplicación. CRACI es un runner de CI compatible con GitHub Actions que registra cada dependencia externa que incorpora un build, y genera la SBOM, la procedencia y la evidencia de cumplimiento a partir de ese registro. Sonatype es un escáner y un guardián. CRACI es un registrador, cuyos controles de política también pueden bloquear un build por sus hallazgos. La mayoría de los equipos que necesitan ambos los ejecutarían en paralelo.

Qué es cada producto de Sonatype

Sonatype vende varios productos, y los nombres importan en esta comparativa:

• Sonatype Lifecycle es el producto de análisis de composición de software (SCA) y de políticas, que funciona autoalojado o como SaaS.
• Sonatype Repository Firewall bloquea y pone en cuarentena los componentes que no cumplen las políticas de su organización antes de que entren en sus repositorios. Está diseñado para Sonatype Nexus Repository. Sonatype Firewall Pro cubre otros gestores de repositorios, como JFrog Artifactory, Cloudsmith y GitHub Packages, para npm, Maven, PyPI y NuGet.
• Sonatype SBOM Manager importa, monitoriza y comparte SBOM, con un workflow de VEX.

La oferta está cambiando. La página de precios de Sonatype dice que todas las capacidades de Lifecycle están ahora incluidas en Sonatype Guide, que los nuevos clientes compran Guide para SCA y gobernanza, y que Guide también incluye las capacidades de cumplimiento de SBOM Manager.

De un vistazo

Lo que Sonatype hace bien

Políticas a escala. Lifecycle incluye 18 políticas predeterminadas y más de 30 restricciones personalizables que cubren reglas de seguridad, legales y de arquitectura. Las políticas de licencias abarcan más de 2.000 licencias de código abierto. Prioriza los hallazgos con datos de alcanzabilidad, de cambios incompatibles y de disponibilidad de actualizaciones, y puede abrir Golden Pull Requests con las actualizaciones sugeridas.

Examinar lo que generó el build. Las integraciones de Lifecycle usan por defecto Advanced Binary Fingerprinting, que examina todo lo incluido en la aplicación tras el build, incluidas las dependencias embebidas, y puede identificar componentes renombrados o modificados. Solo entonces recurre a lockfiles y manifiestos. Cada informe de escaneo se puede exportar como SBOM en CycloneDX o SPDX.

Detener los paquetes malos en la entrada. Repository Firewall aplica las normas de seguridad, licencias y calidad de su organización en el momento de la descarga y pone en cuarentena los componentes sospechosos. CRACI no tiene hoy un equivalente: el bloqueo de paquetes está en su hoja de ruta.

Encaja en cualquier pipeline. Sonatype se integra con Jenkins, GitHub Actions, GitLab CI, Azure DevOps y Bamboo, además de Maven, Gradle y una CLI para otros servidores de CI. CRACI solo es compatible hoy con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta.

En qué se diferencia CRACI

Registra el build en lugar de analizar su salida

La huella binaria le dice qué hay dentro de la aplicación terminada. No le dice qué descargó el build por el camino: compiladores y toolchains, scripts de instalación, imágenes base, binarios de versiones descargados con curl o paquetes restaurados desde una caché. CRACI los ve porque es el runner. Un proxy que entiende de paquetes observa el tráfico hacia las fuentes de paquetes mientras se ejecuta el job, y cubre fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de los presets de fuentes o de descarga. La evidencia de dependencias viaja con las cachés de CI, de modo que los paquetes en caché se siguen contabilizando.

Cada SBOM indica su propia completitud, por job y por caché: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Cuando el registro tiene una laguna, usted lo sabe.

Controla a dónde puede ir el build

Repository Firewall gobierna lo que pasa por el repositorio. Una política de egress de CRACI gobierna todo lo que el build puede alcanzar. Las políticas son de denegación o permiso por defecto, con 24 presets integrados de fuentes de software y fuentes personalizadas tipadas para npm, PyPI, apt, apk, el proxy de Go, Nix, Cargo, registros OCI y Git. Se validan antes de que empiece el job y, si fallan, bloquean. Juntos, ambos le permiten asegurarse de que los jobs de build solo descargan paquetes de las fuentes que usted aprueba, y de que esas fuentes solo sirven paquetes que usted permite.

Sigue vigilando lo distribuido

La API devuelve SBOM, trazas de red y procedencia. CRACI no firma la procedencia. CRACI agrega las vulnerabilidades de todos los builds y repositorios y sigue reevaluando las SBOM monitorizadas.

Un inventario de qué está desplegado y dónde

La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. Cuando aparece una nueva vulnerabilidad, puede ver qué productos ejecutan la versión afectada en lugar de reconstruirlo a partir de notas de versión y hojas de cálculo.

Cuándo usar los dos

• Ya utiliza Nexus Repository con Firewall. Consérvelo como barrera. Añada CRACI para que cada build tenga un registro de lo que descargó y una política de egress que mantenga los builds en sus fuentes aprobadas.
• Su equipo legal se apoya en las políticas de licencias de Lifecycle. Consérvelas. CRACI incluye metadatos de licencias declaradas en su exportación de SBOM y también aplica una política de licencias.
• Reúne SBOM en SBOM Manager. SBOM Manager importa CycloneDX y SPDX, los mismos formatos que exporta CRACI, de modo que las SBOM generadas durante el build pueden estar junto a las que ya gestiona.
• Sus pipelines están en Jenkins o Azure DevOps. Sonatype encaja hoy. CRACI necesitaría primero esos pipelines en GitHub Actions; Jenkins está en su hoja de ruta.

Para el Cyber Resilience Act

Sonatype publica una guía de usuario del CRA y una lista de comprobación del CRA, y posiciona SBOM Manager como su producto para el CRA. Su guía destaca la generación de archivos VEX para informar sobre vulnerabilidades conocidas en las SBOM, y Nexus Repository como sitio de actualización para distribuir actualizaciones de seguridad.

CRACI cubre la parte de la evidencia desde el build: una SBOM para cada versión con su completitud indicada, procedencia, monitorización continua de vulnerabilidades y exportación de SBOM en CycloneDX o SPDX. Automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA. Ninguna de las dos herramientas hace que un producto cumpla por sí sola. Consulte cumplimiento del CRA y qué es el CRA.

Añadir CRACI junto a Sonatype

CRACI sustituye el runner, no GitHub Actions. Cambie runs-on a craci en un workflow, y las ejecuciones seguirán apareciendo en la interfaz de GitHub. Sus pasos de Sonatype se quedan en el workflow. Empiece por un pipeline de lanzamiento, compare la SBOM de CRACI con su informe de Lifecycle y examine lo que solo vio uno de los dos.