Vaihtoehdot StepSecuritylle

Me kehitämme CRACI:a, joten ota se huomioon; kuvaamme jokaisen vaihtoehdon sen oman dokumentaation perusteella ja kerromme, milloin jokin muu työkalu sopii paremmin.

Miksi tiimit katsovat StepSecurityn ohi

Harden-Runner on agentti, joka lisätään jobin ensimmäiseksi vaiheeksi. Se yhdistää lähtevät yhteydet, prosessit ja tiedostokirjoitukset työnkulun kuhunkin vaiheeseen, muodostaa perustason audit-tilassa ja estää lähtevän liikenteen kaikkeen, mikä ei ole sallittujen listalla. Se tukee täysin GitHubin ylläpitämiä Linux-runnereita ja toimii audit-tilassa Windowsissa ja macOS:ssä.

Tiimit etsivät muualta, kun niiden tilanne muuttuu:

• Näyttö. Se tallentaa kohteet eikä pakettitason SBOM:ia.
• Käyttöönotto. Agentti on vaihe, joka lisätään jokaiseen työnkulkuun.
• Hinta. Syyskuussa 2026 Community-taso on ilmainen julkisille repositorioille, ja Enterprise maksaa $16 kehitykseen osallistuvaa kehittäjää kohden kuukaudessa.

Mitä kannattaa katsoa

• Onko työkalu agentti runnerillasi vai itse runneri.
• Lähtevän liikenteen hallinta, ja voitko tarkkailla ennen estämistä.
• Prosessien ja tiedostojen valvonta, jos tarvitset sitä.
• Buildin näyttö: pakettitason SBOM siitä, mitä kukin jobi haki.
• Mitkä runnerit ja CI-järjestelmät se kattaa.

Vaihtoehdot

1. CRACI (meidän tuotteemme)

CRACI on itse runneri eikä agentti sinun runnerillasi. Egress-käytäntö, oletuksena estävä tai salliva, validoidaan ennen jobin alkua ja noudattaa fail closed -periaatetta. Jobin ajon aikana paketit tunnistava välityspalvelin (proxy) tallentaa, mitä jobi haki, ja tuottaa SBOM:n kattavuustilan kera. API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot.

Sopii parhaiten: tiimeille, jotka haluavat hallita ja tallentaa buildin yhdessä paikassa.

Harkitse, jos: voit siirtää jobit CRACI:n Linux-runnereille GitHub Actionsissa. CRACI ei valvo prosesseja eikä tiedostojen kirjoituksia, ja ennen estämistä käytettävä audit-tila on tiekartalla.

CRACI vs. StepSecurity

2. Cycode Cimon

Cycoden Cimon on eBPF-agentti, joka toimii CI-jobiesi sisällä. Se valvoo prosesseja, lähtevää verkkoliikennettä ja tiedostojen käyttöä, oppii putken normaalin käyttäytymisen ennen täytäntöönpanoa, tuottaa ajonaikaisesti havaitun SBOM:n ja allekirjoittaa SLSA-alkuperätiedot. Cycoden mukaan Cimon on ilmainen ja avointa lähdekoodia, ja se on osa Cycoden laajempaa sovellusten tietoturva-alustaa.

Sopii parhaiten: buildin ajonaikaiseen suojaukseen runnereilla, jotka pidät itse, useissa CI-järjestelmissä.

CRACI vs. Cycode

3. Namespace

Namespace ajaa Linux-, Windows- ja macOS-runnereita itse ylläpitämällään laitteistolla, ja ne valitaan runner-profiilien kautta. Välimuistivolyymit säilyttävät tiedot paikallisella tallennustilalla ajojen välillä. Sen egress-käytännöt toimivat estotilassa tai neuvoa-antavassa tilassa, joka kirjaa päätökset estämättä, jotta voit rakentaa sallittujen listan todellisesta liikenteestä. Syyskuussa 2026 2 vCPU:n ja 4 Gt:n Linux-runneri maksaa $0.002 minuutilta paketin sisällä ja $0.003 ylityksestä.

Sopii parhaiten: Linux-, Windows- ja macOS-runnereihin yhdeltä toimittajalta välimuistivolyymeillä.

Harkitse, jos: haluat kokeilla egress-käytäntöä ennen sen täytäntöönpanoa.

CRACI vs. Namespace

4. Depot

Depot tarjoaa Linux-runnerit 2–64 vCPU:lla sekä Windowsin ja macOS:n kaikissa paketeissa, kytkettyinä hajautettuun välimuistiin. Se kuvaa runneriensa olevan ”jopa 3 kertaa nopeampia kuin GitHubin ylläpitämä runneri”. Sen etäpalveluna toimiva Docker-buildipalvelu säilyttää pysyvän kerrosvälimuistin, Linux-runnerit tukevat lähtevän liikenteen suodatusta, ja Business-tilauksessa runnerit voivat olla omalla AWS-tililläsi. Syyskuussa 2026 2 vCPU maksaa $0.006 minuutilta paketin minuuttien ylittävältä osalta, ja käyttö seurataan sekunneittain.

Sopii parhaiten: tiimeille, joiden CI-ajasta suurin osa kuluu Docker-kuvien buildaamiseen.

Harkitse, jos: haluat etävälimuistin myös Bazelille, Gradlelle tai Turborepolle.

CRACI vs. Depot

5. Itse ylläpidetyt runnerit Actions Runner Controllerilla

Actions Runner Controller (ARC) on ”Kubernetes-operaattori, joka orkestroi ja skaalaa itse ylläpidettyjä runnereita GitHub Actionsille”. Runner scale setit kasvavat ja pienenevät käynnissä olevien työnkulkujen määrän mukaan, ja runnerit voivat olla lyhytikäisiä kontteja. Syyskuussa 2026 GitHub ei veloita minuuttihintaa itse ylläpidetystä käytöstä, mutta vastaat käyttöjärjestelmästä ja ohjelmistoista itse, ja GitHub varoittaa, että itse ylläpidettyjä runnereita ei pitäisi juuri koskaan käyttää julkisissa repositorioissa.

Sopii parhaiten: jobeille, joiden on ajettava verkossasi tai laitteistollasi.

Harkitse, jos: käytät jo Kubernetesia ja sinulla on aikaa koventaa ja ylläpitää sitä.

Hallinnoidut vs. itse ylläpidetyt runnerit

Rinnakkain

”Ei ilmoitettu” tarkoittaa, ettemme pystyneet vahvistamaan tietoa toimittajan julkisilta sivuilta.

Milloin kannattaa pysyä StepSecurityssa

• Haluat pitää GitHubin ylläpitämät runnerit, myös Windowsin ja macOS:n.
• Haluat seurata liikennettä audit-tilassa ennen estämistä.
• Tarvitset prosessien ja tiedostojen valvontaa, et vain verkon hallintaa.
• Ajat myös GitLab CI:tä tai Azure DevOpsia.

Lue lisää runnerien ja buildien tietoturvasta ja CI/CD-integraatiosta.

Usein kysyttyä StepSecurityn vaihtoehdoista

Lyhyet vastaukset kysymyksiin, joita tiimit kysyvät vertaillessaan

Onko Harden-Runnerille ilmaista vaihtoehtoa?

Cycoden mukaan Cimon on ilmainen ja avointa lähdekoodia. Se on eBPF-agentti, joka valvoo prosesseja, lähtevää liikennettä ja tiedostojen käyttöä CI-jobeissasi. Harden-Runner on itse ilmainen julkisille repositorioille GitHubin ylläpitämillä runnereilla, ja sen community-tason agentti on avointa lähdekoodia Apache 2.0 -lisenssillä. CRACI:lla ei ole ilmaistasoa.

Mikä korvaa StepSecurityn Azure DevOpsissa?

Ei CRACI: se tukee tällä hetkellä vain GitHub Actionsia, ja GitLab CI ja Jenkins ovat tiekartalla. Cycode mainitsee Azure Pipelinesin CI-järjestelmissä, jotka Cimon kattaa, ja Harden-Runner itse tukee Azure DevOpsia.

Tarvitseeko CRACI agentin?

Ei. CRACI on itse runneri, joten työnkulkuihisi ei lisätä agenttia eikä ylläpidettävää ohjainta ole. Asetat runs-on: craci, ja egress-käytäntö validoidaan ennen jobin käynnistymistä ja noudattaa fail closed -periaatetta: virhetilanteessa liikenne estetään.

Paljonko StepSecurity maksaa?

Syyskuussa 2026 Community-taso on ilmainen julkisille repositorioille GitHubin ylläpitämillä runnereilla, ja Enterprise maksaa $16 kehitykseen osallistuvaa kehittäjää kohden kuukaudessa, 14 päivän ilmaisella kokeilujaksolla. Runnerminuutit ovat erillinen kustannus. CRACI veloittaa vain itse runnerista: $0.002 per vCPU-minuutti ($0.004 oletuskokoiselle 2 vCPU:n runnerille), mitattuna sekunneittain, ilman kuukausimaksua ja ilman SBOM-kohtaista maksua.

Voiko CRACI auditoida lähtevää liikennettä ennen estämistä?

Ei vielä. Valvonta- tai dry-run-tila on CRACI:n tiekartalla. Harden-Runner muodostaa perustason audit-tilassa, ja Cimon oppii putken normaalin käyttäytymisen ennen kuin se alkaa valvoa sääntöjä.