Vertailu
CRACI vs. Endor Labs
Endor Labs kysyy, mihin haavoittuvuuksiin koodisi todella ulottuu. CRACI kysyy, mitä buildisi todella toi mukanaan, ja tallentaa vastauksen ajon aikana. Kysymykset ovat eri, ja moni tiimi tarvitsee vastauksen molempiin.
Päivitetty
Lyhyt vastaus
Endor Labs on sovellustietoturva-alusta, jonka ytimessä on reachability-analyysi. Se analysoi lähdekoodisi ja riippuvuutesi päätelläkseen, mitä tunnettuja haavoittuvuuksia sovelluksesi voi kutsua, ja auttaa sitten korjaamaan ne ensin. Se kattaa myös oman koodin, salaisuudet, kontit ja haitalliset paketit.
CRACI on GitHub Actionsin CI-runneri. Jobisi ajetaan sillä, ja ajon aikana se tallentaa jokaisen ulkoisen riippuvuuden, jonka jobit hakevat, ja hallitsee, mihin ne pääsevät verkossa. Endor Labs kertoo, millä havainnoilla on merkitystä. CRACI antaa sinulle kirjauksen siitä, mitä kuhunkin julkaisuun meni. Nämä kaksi sopivat yhteen ilman päällekkäisyyttä ydintehtävissään.
Yhdellä silmäyksellä
| Ominaisuus | CRACI | Endor Labs |
|---|---|---|
| Ajaa buildisi | Jobit ajetaan CRACI:n runnereilla | Skannaa nykyisen CI:si sisältä |
| Riippuvuudet tallennetaan buildista | Havaitut haut, myös CI-välimuistien paketit | Inventaario lähdekoodin analyysin pohjalta |
| Buildiverkon egress-käytäntö | Oletuksena estävä tai salliva, fail closed | Ei sen alaa: se ei aja buildeja |
| SBOM-vienti (CycloneDX, SPDX) | Jokainen buildi, kattavuus jobeittain ja välimuisteittain | SBOM Hub, reachability-analyysiin perustuva VEX |
| Allekirjoitetut artefaktien alkuperätiedot | Ei allekirjoitettuja alkuperätietoja | endorctl artifact sign, alkuperätietojen kera |
| Jatkuva valvonta | Valvotut SBOM:t arvioidaan jatkuvasti uudelleen | Riski päivittyy uusien haavoittuvuuksien myötä |
| Funktiotason reachability-analyysi | Suorien ja transitiivisten riippuvuuksien staattinen ohjelma-analyysi | |
| SAST, salaisuudet ja kontit | AI SAST, salaisuuksien tunnistus, konttiskannaus | |
| Haitallisten pakettien esto | Organisaation laajuiset pakettien estolistat | Package Firewall, välityspalvelin rekisterien edessä |
| CI-järjestelmät | Nyt GitHub Actions; GitLab CI ja Jenkins tiekartalla | GitHub Actions, GitLab, Jenkins, CircleCI, Buildkite, Bitbucket |
| Hinnoittelu | $0.002 vCPU-minuutilta ($0.004 2 vCPU:lla), mitataan sekunneittain; ei kuukausimaksua eikä SBOM-kohtaista maksua | Ilmainen Developer-taso; Core ja Pro hinnoitellaan osallistuvaa kehittäjää kohden myynnin kautta (syyskuu 2026). |
- Sisältyy
- Ei sisälly
- Tiekartalla
Missä Endor Labs on hyvä
Reachability-analyysi on pääasia. Endor Labs tekee staattisen ohjelma-analyysin avulla funktiotason reachability-analyysin suorille ja transitiivisille riippuvuuksille ja jäljittää koodipolut lähdekoodistasi haavoittuvaan funktioon asti. Kun täyttä buildia ei voi tehdä, riippuvuustason ja ennalta lasketut reachability-analyysit tarjoavat karkeammat vaihtoehdot. Endor Labsin mukaan tämä vähentää SCA-havaintoja 92 % suodattamalla pois haavoittuvuudet, joita koodisi ei voi kutsua. Tiimille, joka hukkuu riippuvuushälytyksiin, se on suorin tarjolla oleva helpotus.
Myös korjauspuoli on vahva. Päivityksen vaikutusanalyysi etsii rikkovia muutoksia ennen päivitystä ja antaa korjausriskin, automaattiset pull requestit tuovat päivityksen, ja Endor Patches siirtää ylävirran tietoturvakorjauksen jo käyttämääsi versioon, kun päivittäminen ei ole käytännöllistä.
Avoimen lähdekoodin riippuvuuksien lisäksi alusta sisältää AI SAST:n, salaisuuksien tunnistuksen, konttiskannauksen, haitallisten pakettien tunnistuksen ja Package Firewallin, joka toimii välityspalvelimena artefaktirepositoriosi ja julkisten rekisterien välissä. Sen SBOM Hub generoi ja tuo CycloneDX- ja SPDX-SBOM:eja, tuottaa reachability-analyysiin perustuvia VEX-dokumentteja ja päivittää riskiä jatkuvasti uusien haavoittuvuuksien julkaisun myötä. Endor Labs integroituu GitHub Actionsiin, GitLabiin, Jenkinsiin, CircleCI:hin, Buildkiteen ja Bitbucketiin, ja sen tukemiin kieliin kuuluvat C ja C++, Java, Go, Rust, Python ja JavaScript.
CRACI ei tee reachability-analyysiä, SAST:ia, salaisuuksien tai konttien skannausta. Jos tarvitset niitä, pidä Endor Labs tai sen kaltainen työkalu.
Missä CRACI on erilainen
Buildi on totuuden lähde
Endor Labs pitää lähdekoodia inventaarionsa perustotuutena, mikä tavoittaa suorat, transitiiviset ja haamuriippuvuudet, jotka pelkkä manifesti jättäisi huomaamatta. CRACI lähtee eri paikasta: itse buildista. Runnerilla toimiva paketit tunnistava välityspalvelin havainnoi liikennettä pakettilähteisiin jobin ajon aikana: npm-, PyPI-, RubyGems-, Composer-, Cargo-, Go-, Nix-, OCI-, apt-, apk- ja Git-lähteet sekä latausesiasetukset. Näyttö kulkee CI-välimuistien mukana, joten välimuistista palautettu paketti on silti kirjattu. Koska runneri näkee liikenteen, myös asennusskriptien tai latausvaiheiden tuomat riippuvuudet havaitaan, eivät vain manifestissa nimetyt.
Jokaisella SBOM:lla on kattavuustila jobeittain ja välimuisteittain: Complete, Complete with connections, Incomplete, Unavailable tai Not recorded. Kun tallenteessa on aukko, saat siitä tiedon.
Hallinta siihen, mihin buildi pääsee
Koska CRACI on runneri, voit asettaa jokaiselle jobille egress-käytännön: oletuksena estävän tai sallivan, 24 valmiilla ohjelmistolähteiden esiasetuksella ja tyypitetyillä omilla lähteillä rekistereille ja Gitille. Käytännöt validoidaan ennen jobin alkua, ja ne noudattavat fail closed -periaatetta. Endor Labsin Package Firewall suodattaa, mitkä paketit tulevat sisään artefaktirepositoriosi kautta. CRACI:n käytäntö rajaa jokaisen buildin muodostaman yhteyden. Ne ovat eri kerroksia ja toimivat hyvin päällekkäin.
Toimitetun ohjelmiston alkuperätiedot ja valvonta
Endor Labs allekirjoittaa artefakteja, CRACI ei. CRACI:n tiedot tulevat runnerilta, joka seurasi buildia, ja API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot. CRACI kokoaa haavoittuvuudet buildien ja repositorioiden yli ja arvioi valvottuja SBOM:eja jatkuvasti uudelleen.
Inventaario siitä, mitä on käytössä missäkin
CRACI:n inventaarionäkymä näyttää tarkasti, mitkä ohjelmistoversiot on otettu käyttöön missäkin tuotteessa maailmanlaajuisesti. Kun uusi haavoittuvuus ilmaantuu, näet, missä tuotteissa haavoittuva versio on, sen sijaan että kokoaisit tiedon julkaisutiedotteista ja taulukoista.
Kumpi sopii
- Ongelmasi on hälytysten määrä: aloita Endor Labsista. Reachability-analyysi ja päivityksen vaikutusanalyysi tähtäävät juuri siihen.
- Ongelmasi on todistaa, mitä julkaisussa on: CRACI tallentaa sen buildista.
- Olet huolissasi siitä, mitä buildit voivat ladata: CRACI:n egress-käytäntö rajaa runneria, ja Endor Labsin Package Firewall seuloo paketteja. Käytä molempia, jos riski on suuri.
- Käytät GitLabia, Jenkinsiä tai CircleCI:tä: Endor Labs tukee niitä tänään. CRACI tukee vain GitHub Actionsia, joten nämä putket pitäisi siirtää GitHub Actionsiin, jotta ne toimisivat CRACI:lla. GitLab CI ja Jenkins ovat tiekartalla.
Kyberkestävyyssäädöstä varten
Endor Labs mainitsee EU:n kyberkestävyyssäädöksen (Cyber Resilience Act, CRA) SBOM Hubin tukemien näyttövaatimusten joukossa, ja sen VEX-tuloste auttaa selittämään, miksi haavoittuvuus ei vaikuta tuotteeseen. CRACI automatisoi merkittävän osan ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritykset tarvitsevat laajemmassa CRA-vaatimustenmukaisuuden prosessissaan: buildin aikaiset SBOM:t ilmoitetulla kattavuudella, alkuperätiedot, jatkuvan haavoittuvuuksien seurannan ja SBOM-viennin CycloneDX- tai SPDX-muodossa. Kumpikaan työkalu ei yksinään tee tuotteesta vaatimustenmukaista. Lue lisää sivuilta mikä CRA on ja CRA-vaatimustenmukaisuus.
CRACI:n lisääminen Endor Labsin rinnalle
Endor Labs -asetuksiisi ei tarvitse koskea. Asenna CRACI GitHub App ja vaihda
runs-on-arvoksi craci niissä työnkuluissa, jotka haluat tallentaa. Ajot näkyvät edelleen GitHubin käyttöliittymässä,
ja endorctl-vaihe toimii CRACI:n runnerilla kuten mikä tahansa muu vaihe. Lue lisää
buildin aikaisesta SBOM-generoinnista ja
CI/CD-integraatiosta.
Aja yksi oikea buildi ja vertaa
Ohjaa yksi GitHub Actions -työnkulku CRACI:lle ja aseta sen buildin tallenne Endor Labsin havaintojen rinnalle.
Varaa demo