CRACI vs. Checkmarx One

Lyhyesti

Checkmarx One on sovellustietoturva-alusta: staattinen analyysi, ohjelmistokoostumuksen analyysi (SCA), salaisuuksien tunnistus, IaC, API-tietoturva, konttien tietoturva, suojaus haitallisilta paketeilta ja tietoturvatilanteen hallinta samassa paikassa. CRACI on GitHub Actions -yhteensopiva CI-runneri, joka tallentaa jokaisen ulkoisen riippuvuuden, jonka buildi hakee, ja tuottaa tästä tallenteesta SBOM:n, alkuperätiedot ja vaatimustenmukaisuuden näytön. Checkmarx One on skanneri, jossa on monta moottoria. CRACI on tallentaja. Ne menevät päällekkäin SBOM:ien ja haavoittuvuuksien seurannan osalta, mutta juuri muuten eivät.

Yhdellä silmäyksellä

Missä Checkmarx One on hyvä

Laajuus. Checkmarx One kattaa oman koodin (SAST), salaisuudet, infrastruktuurin koodina, API:t, kontit, avoimen lähdekoodin riippuvuudet, repositorioiden kunnon ja tekoälykomponentit ja kokoaa löydökset ASPM-kerrokseensa. Jos haluat yhden toimittajan sovellustietoturvan testaukseen, CRACI ei korvaa sitä. Se ei testaa koodiasi lainkaan.

Tieto siitä, mitkä haavoittuvuudet ovat merkityksellisiä. Checkmarx SCA käyttää exploitable path -analyysia selvittääkseen, mitä kolmansien osapuolten kirjastojen haavoittuvia luokkia tai funktioita koodisi saattaa kutsua. Se skannaa suorat ja transitiiviset riippuvuudet, myös yksityiset paketit, rajattomaan syvyyteen. Vakavuuteen, reachability-analyysiin, haitalliseen koodiin ja lisensseihin perustuvat käytännöt voivat lähettää hälytyksiä, estää pull requesteja ja katkaista buildeja.

Haitalliset paketit. Checkmarx ylläpitää laajaa omaa tietokantaa haitallisista avoimen lähdekoodin paketeista, joka kattaa typosquattingin, dependency confusionin ja kaapatut tilit, ja voi estää buildin automaattisesti, kun sellainen ilmestyy riippuvuuspuuhusi.

SBOM:t ja integraatiot. Checkmarx One vie SBOM-raportit CycloneDX 1.7- tai SPDX 2.3 -muodossa, ja CycloneDX:ään voi liittää VEX-triagetiedot. Se voi myös tuoda SBOM:eja. Sillä on lisäosat Jenkinsille, TeamCitylle, GitHub Actionsille, Azure DevOpsille ja Mavenille, ja GitLabissa, Bitbucket Pipelinesissa, CircleCI:ssä, Bamboossa ja AWS CodeBuildissa se käyttää CLI:tään. Code Repository Integration -projekteissa se voi avata automaattisen pull requestin korjatuilla pakettiversioilla; sen julkaisutiedotteissa mainittiin julkaisuhetkellä npm:n package.json-manifestit.

Missä CRACI eroaa

Mitä skanneri näkee ja mitä buildi teki

Checkmarx Onen GitHub Action käyttää Checkmarx CLI:tä, joka luo lähdekoodirepositoriostasi zip-arkiston ja lataa sen skannattavaksi. SCA Resolver voi vaihtoehtoisesti poimia riippuvuudet ja sormenjäljet omissa tiloissasi omilla paketinhallintatyökaluillasi ja lähettää ne analysoitaviksi ilman lähdekoodiasi. Kummassakin tapauksessa analyysi lähtee projektista: sen koodista, manifesteista ja riippuvuuspuusta, johon ne ratkeavat.

CRACI lähtee buildista. Se on runneri, joten paketit tunnistava välityspalvelin havainnoi, mitä jobi todella lataa pakettilähteistä: npm-, PyPI-, RubyGems-, Composer-, Cargo-, Go-, Nix-, OCI-, apt-, apk- ja Git-lähteistä sekä latausesiasetuksista. Tähän kuuluvat työkaluketjut, peruskuvat, julkaisulataukset ja CI-välimuisteista palautetut paketit. Jokainen SBOM ilmoittaa kattavuutensa jobi- ja välimuistikohtaisesti: Complete, Complete with connections, Incomplete, Unavailable tai Not recorded.

Hallintaa, ei vain havaitsemista

Koska buildi ajetaan CRACI:lla, voit asettaa sille egress-käytännön: oletuksena estävä tai oletuksena salliva, 24 valmista ohjelmistolähteiden esiasetusta ja tyypitetyt omat lähteet npm:lle, PyPI:lle, apt:lle, apk:lle, Go-proxylle, Nixille, Cargolle, OCI-rekistereille ja Gitille. Käytännöt validoidaan ennen jobin alkua, ja virhetilanteessa liikenne estetään (fail closed). Checkmarx arvioi paketteja sen mukaan, mitä ne ovat. CRACI rajaa, mistä buildi voi hakea. CRACI ei tunnista haitallisia paketteja maineen perusteella, joten nämä kaksi kerrosta täydentävät toisiaan.

Alkuperätiedot ja valvonta

API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot. CRACI kokoaa haavoittuvuudet kaikista buildeista ja repositorioista ja arvioi valvottuja SBOM:eja jatkuvasti uudelleen.

Inventaario siitä, mitä on käytössä missäkin

CRACI:n inventaarionäkymä näyttää tarkasti, mitkä ohjelmistoversiot ovat käytössä missäkin tuotteessa maailmanlaajuisesti. Kun uusi haavoittuvuus julkaistaan, näet, missä tuotteissa haavoittuvaa versiota ajetaan, eikä sinun tarvitse koota tietoa julkaisutiedotteista ja taulukoista.

Milloin käyttää molempia

• Tietoturvatestaus ja julkaisujen näyttö. Checkmarx One pull requesteissa koodin, salaisuuksien, IaC:n ja riippuvuusriskien osalta. CRACI julkaisubuildien runnerina, joka säilyttää kunkin buildin SBOM- ja alkuperätiedot.
• Kerroksellinen toimitusketjun suojaus. Checkmarxin suojaus haitallisilta paketeilta merkitsee huonot paketit. CRACI:n egress-käytäntö pitää buildit hyväksytyissä lähteissä ja tallentaa jokaisen haun.
• CI/CD-putket GitHub Actionsin ulkopuolella. Checkmarx One sopii jo nyt Jenkinsiin, TeamCityyn, Azure DevOpsiin ja GitLabiin. CRACI tukee tällä hetkellä vain GitHub Actionsia, ja GitLab CI ja Jenkins ovat tiekartalla, joten nämä putket pitäisi siirtää ensin.

Kyberkestävyyssäädöstä varten

Checkmarx tarjoaa CRA-arvioinnin osana AppSec Program Maturity Assessment (APMA) -arviointiaan, joka mittaa security by design -käytäntöjä ja haavoittuvuuksien hallintaa verkkoon liitettyjä tuotteita koskevia CRA:n vaatimuksia vasten. Sen blogi esittää, että AppSecistä on tulossa CRA-vaatimustenmukaisuuden tekninen toteutuskerros, ja kiinnittää erityistä huomiota tekoälykomponenttien dokumentointiin AI-BOMien avulla.

CRACI tuo lisäksi näytön buildista: mitä kuhunkin julkaisuun meni, kuinka kattava tallenne on ja jatkuvan valvonnan sen jälkeen, ja SBOM:t voi viedä CycloneDX- tai SPDX-muodossa. Se automatisoi merkittävän osan siitä ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritykset tarvitsevat laajempaan CRA-vaatimustenmukaisuuden prosessiinsa. Kumpikaan työkalu ei yksinään tee tuotteesta vaatimusten mukaista. Katso CRA-vaatimustenmukaisuus ja CRA-näyttö.

CRACI:n lisääminen Checkmarx Onen rinnalle

CRACI korvaa runnerin, ei GitHub Actionsia. Vaihda työnkulun runs-on-arvoksi craci, niin ajot näkyvät edelleen GitHubin käyttöliittymässä. Checkmarx Onen GitHub Action pysyy työnkulussa vaiheena. Aloita yhdestä julkaisuputkesta ja vertaa CRACI:n SBOM:ia saman commitin Checkmarx One -SBOM-raporttiin.

Punnitsetko useampaa kuin kahta työkalua? Vaihtoehdot Checkmarxille vertailee yhdeksää vaihtoehtoa rinnakkain.