CRACI vs. OX Security

Lyhyt vastaus

OX Security on sovellusturvallisuuden asetelman hallinnan (ASPM) alusta, jossa on omat skannerit (SAST, SCA, salaisuudet, IaC ja kontit), kolmansien osapuolten löydösten koonti, CI/CD-asetelmakäytännöt sekä ajonaikainen ja pilvikonteksti. Toimitusketjun tietoturvaan se tarjoaa Pipeline Bill of Materialsin (PBOM): allekirjoitetun kirjauksen siitä, miten kukin artefakti on buildattu, commitista CI/CD:n kautta tuotantoon.

CRACI kilpailee samasta toimitusketjun budjetista. Ero on näkökulmassa. OX liittyy jo käyttämiisi versionhallintoihin, CI-järjestelmiin ja rekistereihin ja muodostaa kuvansa niistä. CRACI on GitHub Actionsin build-runneri: se tallentaa, mitä kukin jobi oikeasti haki, valvoo egress-käytäntöä ajon aikana, seuraa toimitettua ja tuottaa CRA-näyttöä. OX on paljon laajempi; CRACI on itse build.

Yhdellä silmäyksellä

Missä OX Security on hyvä

• Buildikirjaus, joka kattaa enemmän kuin SBOM:n. OX:n PBOM tallentaa putkimääritykset, runnerin identiteetin, buildin argumentit, artefaktien allekirjoitukset ja versioiden polveutumisen, ja OX:n mukaan se sisältää jokaisen kuhunkin buildiin ratkaistun avoimen lähdekoodin komponentin. Se allekirjoitetaan jokaisesta buildista. OX generoi myös SBOM:eja SPDX- ja CycloneDX-muodossa.
• CI/CD-asetelma. OX:n käytännöt liputtavat turvattomat työnkulkutiedostot, kiinnittämättömät kolmansien osapuolten actionit, vanhentuneet GitHub Actions -komennot, liian laajat työnkulun oikeudet, selväkieliset salaisuudet ja riskialttiit webhookit, ja ne voivat liputtaa CI-järjestelmät, joita ei ole hyväksytty buildeihin.
• Valvonta putkessa. OX Security Scan -GitHub Action ajaa salaisuus-, SAST-, SCA- ja IaC-skannaukset ja kaataa työnkulun, kun se löytää OX-käytäntöjesi mukaan estävän ongelman.
• Koonti. OX tuo omiensa rinnalle löydöksiä skannereista, kuten Checkmarx, Veracode, SonarQube, Snyk, Black Duck ja JFrog Xray.
• Laaja integraatiokattavuus. CI-puolella se listaa GitHub Actionsin, GitLab CI/CD:n, Jenkinsin, Azure Pipelinesin, CircleCI:n ja Drone CI:n sekä kahdeksan versionhallintajärjestelmää ja kymmenen konttirekisteriä.
• Tekoälyajan ominaisuudet. OX VibeSec kattaa tekoälyn tuottaman koodin ja riippuvuudet AI Bill of Materialsilla, ja tekoälypohjainen korjaaminen ehdottaa koodikorjauksia pull requesteissa ja IDE:ssä.

Missä CRACI eroaa

Runnerin tallentama, ei liitetyistä työkaluista kerätty

OX:n dokumentaation mukaan sen SBOM kerää tietoja liitetyistä lähteistä, kuten versionhallinnasta, CI/CD-putkista, konttikuvista ja tuoduista tiedostoista. Se antaa laajan näkymän koko ympäristöösi. CRACI katsoo jokaista buildia kapeammin ja syvemmin: pakettitietoinen välityspalvelin (proxy) havainnoi liikennettä pakettilähteisiin jobin ajon aikana, kattaen npm:n, PyPI:n, RubyGemsin, Composerin, Cargon, Go:n, Nixin, OCI:n, aptin, apkin ja Git-lähteet sekä latausten esiasetukset. Riippuvuusnäyttö kulkee CI-välimuistien mukana, joten välimuistista palautettukin paketti tulee huomioiduksi.

Jokaisella CRACI:n SBOM:lla on kattavuustila jobia ja välimuistia kohden: Complete, Complete with connections, Incomplete, Unavailable tai Not recorded. Kun kirjauksessa on aukko, se kerrotaan.

Hallinta buildin ajon aikana

OX:n asetelmakäytännöt tarkistavat, miten putki on konfiguroitu. CRACI rajaa, mihin build pääsee. Egress-käytännöt ovat oletuksena estäviä tai oletuksena sallivia, ja mukana on 24 valmista ohjelmistolähteiden esiasetusta, tyypitetyt omat lähteet npm:lle, PyPI:lle, aptille, apkille, Go-proxylle, Nixille, Cargolle, OCI-rekistereille ja Gitille sekä eksplisiittiset TLS-, TCP-, UDP- ja ICMP-säännöt. Käytännöt validoidaan ennen jobin alkua ja ne toimivat fail closed -periaatteella, ja CRACI voi hälyttää sinulle rikkomuksesta.

Alkuperätiedot ja seuranta samasta kirjauksesta

API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot. CRACI ei allekirjoita alkuperätietoja eikä väitä saavuttavansa mitään SLSA-tasoa. Se arvioi toimittamiesi versioiden SBOM:t jatkuvasti uudelleen sitä mukaa kuin uusia haavoittuvuuksia julkaistaan.

Inventaario siitä, mitä on käytössä missäkin

CRACI:n inventaarionäkymä näyttää tarkalleen, mitkä ohjelmistoversiot on otettu käyttöön missäkin tuotteessa, maailmanlaajuisesti. Kun uusi haavoittuvuus julkaistaan, näet, missä tuotteissa haavoittuva versio on, sen sijaan että kokoaisit tiedon julkaisutiedotteista ja taulukoista.

Missä OX on edellä

Suoraan sanottuna: CRACI:ssa ei ole SAST-, salaisuus-, IaC- tai konttiskannausta, ei CI/CD-asetelman tarkistuksia, ei kolmansien osapuolten skannereiden koontia eikä ajonaikaista tai pilvikontekstia. CRACI:n käytäntöportit voivat estää buildin löydösten perusteella, mutta CRACI tukee nyt vain GitHub Actionsia, ja GitLab CI ja Jenkins ovat tiekartalla. Jos tarvitset yhden alustan, joka kattaa kaikki ajamasi putket ja skannerit, OX kattaa paljon enemmän.

Kumpi sopii

OX Security sopii paremmin, kun

• Haluat yhden ASPM-alustan, joka kokoaa monta skanneria ja priorisoi niiden yli.
• Tarvitset CI/CD-asetelmakäytäntöjä GitLabissa, Jenkinsissä, Azure Pipelinesissa tai CircleCI:ssä.
• Haluat jo nyt pull requestien portituksen koodin, salaisuuksien ja IaC:n löydösten perusteella.

CRACI sopii paremmin, kun

• Buildaat GitHub Actionsilla ja haluat runnerin, egress-käytännön ja riippuvuuskirjauksen samaan paikkaan.
• Tarvitset SBOM:n siitä, mitä kukin build haki, ja kattavuustilan, jonka voit näyttää auditoijalle.
• Haluat toimitetun seurannan ja CRA-näytön samasta kirjauksesta.

Molempien käyttäminen

CRACI korvaa runnerin, ei GitHub Actionsia, joten OX Security Scan -action ajetaan CRACI-runnerilla kuten mikä tahansa muu vaihe. OX voi tuoda SBOM:eja CycloneDX-muodossa, joten CRACI voi toimittaa buildista tallennetun SBOM:n OX:n käyttöön.

Kyberkestävyyssäädöstä varten

EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) edellyttää, että valmistajat tuntevat kunkin tuotteensa komponentit, käsittelevät niiden haavoittuvuudet ja säilyttävät näytön. OX:n SBOM:t, PBOM ja asetelmakäytännöt tukevat turvallista kehitystä ja koko ympäristön inventaariota. CRACI automatisoi merkittävän osan siitä ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritykset tarvitsevat laajempaan CRA-vaatimustenmukaisuusprosessiinsa: buildin aikana tallennetut SBOM:t CycloneDX- tai SPDX-muodossa, haavoittuvuuksien seurannan ja alkuperätiedot API:n kautta. Kumpikaan työkalu ei yksinään tee sinusta vaatimustenmukaista. Katso CRA-näyttö ja CRA-vaatimustenmukaisuus.

CRACI:n lisääminen

Asenna CRACI GitHub App organisaatioosi ja vaihda sitten jobin runneritunnisteeksi runs-on: craci. Ajot näkyvät edelleen GitHubin käyttöliittymässä. Aloita yhdellä työnkululla, joka tuottaa julkaisuartefaktin, ja vertaa CRACI:n SBOM:ia siihen, jonka OX näyttää samasta reposta. Lue lisää CI/CD-integraatiosta, buildin aikaisesta SBOM-generoinnista ja hinnoittelusta.

Punnitsetko useampaa kuin kahta työkalua? Vaihtoehdot OX Securitylle vertailee yhdeksää vaihtoehtoa rinnakkain.