CRACI vs. Renovate

Lyhyt vastaus

Renovate on tehty riippuvuuksien hygieniaan: se löytää pakettitiedostot, avaa päivitys-pull requesteja ja antaa sinun hallita kohinaa aikataulujen, ryhmittelyn ja automergen avulla. CRACI on GitHub Actions -runneri, joka tallentaa, mitä kukin buildi haki, ja valvoo näitä SBOM:ia uusien haavoittuvuuksien varalta. Renovate kysyy ”onko uudempaa versiota?” CRACI kysyy ”onko jokin rakentamassamme ja toimittamassamme haavoittuvaa, ja missä?” Ne eivät kilpaile samasta tehtävästä, ja ne toimivat rinnakkain: Renovate avaa päivitys-pull requestit, CRACI kertoo, mitkä buildit sellaista tarvitsevat.

Missä Renovate on hyvä

Renovaten dokumentaatio alkaa sanoin "Automated dependency updates. Multi-platform and multi-language." Se lunastaa molemmat puolet. Se "looks for references to dependencies (both public and private)" repositoriostasi ja avaa uudempien versioiden ilmestyessä pull requesteja, jotka päivittävät ne ja niiden lukitustiedostot (lockfile).

• Laajuus. Yli 90 paketinhallintaa sekä repositoriot GitHubissa, GitLabissa, Bitbucketissa, Azure DevOpsissa, Giteassa ja Forgejossa; AWS CodeCommit, Gerrit ja SCM-Manager on listattu kokeellisiksi.
• Hallinta. Jaettavat asetusesiasetukset, packageRules pakettikohtaiseen toimintaan, aikataulut rajaamaan, milloin pull requesteja ilmestyy, ja automerge päivityksille, joihin luotat. Sen dokumentaation mukaan useimmat tiimit jättävät pääversiopäivitykset ihmisen hoidettaviksi.
• Näkyvyys. Dependency Dashboard -issue, joka on oletuksena päällä config:recommended-asetuksissa, sekä tietoja päivitysten hyväksymisen tueksi: ikä, käyttöönottoaste, läpäisyprosentit ja merge confidence.
• Ulottuvuus. Mukautetut managerit käsittelevät omia tiedostoformaatteja ja suosittuja formaatteja, joita Renovate ei vielä tue.
• Käyttöönoton vapaus. Avointa lähdekoodia AGPL-3.0-lisenssillä, ylläpitäjänä Mend. Voit ajaa CLI:tä tai Docker-kuvaa itse, käyttää ilmaista Mend Renovate Community -pilvisovellusta GitHub.comissa, Bitbucket Cloudissa ja Azure DevOps Cloudissa tai ajaa itse ylläpidettyä Community- tai maksullista Enterprise-versiota.

Miten Renovate käsittelee haavoittuvuudet

Renovatella on kaksi reittiä tietoturvakorjauksiin. Asetuksella vulnerabilityAlerts se lukee GitHubin haavoittuvuushälytyksiä, mikä edellyttää, että riippuvuusgraafi ja Dependabot-hälytykset ovat käytössä. Nämä pull requestit "skip the line" eli ohittavat aikataulut ja tuntirajat, ja oletuksena ne siirtyvät alimpaan korjattuun versioon. Asetuksella osvVulnerabilityAlerts se tarkistaa riippuvuudet OSV-tietokantaa vasten, jonka se lataa ja jota se kyselee offline-tilassa. Dokumentaatio on tarkka rajoituksesta: "You will only get OSV-based vulnerability alerts for direct dependencies," luetelluille tietolähteille.

CRACI ei korvaa mitään tästä, eikä se avaa pull requesteja. Jos tavoitteesi on pitää satoja repositorioita ajan tasalla mahdollisimman vähällä vaivalla, Renovate on tehty siihen.

Missä CRACI on erilainen

Se lähtee buildista, ei pakettitiedostoista

Renovate toimii sen pohjalta, mitä repositoriosi ilmoittaa. Buildi tekee usein enemmän: se ratkaisee versiot asennushetkellä, palauttaa paketteja välimuisteista ja lataa työkaluja, käyttöjärjestelmäpaketteja ja konttikuvia, joita mikään manifesti ei listaa. expressjs/express 5.2.1 näyttää eron selvimmillään: siinä ei ole commitoitua lukitustiedostoa, joten puhtaaseen checkoutiin kohdistetulla generaattorilla ei ole mitään ratkaistavaa, eikä se raportoi yhtäkään npm-riippuvuuksista, oli työkalu kuinka hyvä tahansa. CRACI:a ei voi verrata tällä tavalla, koska se tallentaa buildeja eikä skannaa hakemistoja. Repositorion tiedostot ja buildin paketit eivät ole sama lista.

CRACI ajaa buildin. Vaihdat runs-on-arvoksi craci, ja pakettitietoinen välityspalvelin (proxy) tallentaa, mitä kukin jobi hakee npm-, PyPI-, RubyGems-, Composer-, Cargo-, Go-, Nix-, OCI-, apt-, apk- ja Git-lähteistä sekä latausesiasetusten kautta. Jokainen jobi ja välimuisti saa kattavuustilan: Complete, Complete with connections, Incomplete, Unavailable tai Not recorded.

Toimittamasi ohjelmiston valvonta

CRACI kokoaa haavoittuvuudet buildien ja repositorioiden yli ja arvioi valvottuja SBOM:ia jatkuvasti uudelleen uusien tietoturvatiedotteiden ilmestyessä. Kun sellainen tulee, näet, mitkä buildit ja repositoriot oikeasti käyttivät haavoittuvaa pakettia, myös paketit, joita mikään manifesti ei listaa, ja tietoturvatiimit voivat tehdä löydökselle triagen ja ohjata sen korjauksesta vastaavalle tiimille. Laukaisija on haavoittuvuus jossakin, mitä buildi oikeasti käytti, ei uuden version ilmestyminen.

Enemmän kuin valvontaa

Koska CRACI on runneri, se myös valvoo jobikohtaista egress-käytäntöä (oletuksena estävä tai salliva, validoidaan ennen jobin alkua, fail closed), palauttaa SBOM:t, verkkojäljet ja alkuperätiedot API:nsa kautta ja vie SBOM:t CycloneDX- tai SPDX-muodossa. Mikään tästä ei ole Renovaten tehtävä.

Inventaario siitä, mitä on käytössä missäkin

CRACI:n inventaarionäkymä näyttää tarkalleen, mitkä ohjelmistoversiot ovat käytössä missäkin tuotteessa maailmanlaajuisesti. Kun uusi haavoittuvuus tulee, näet, missä tuotteissa haavoittuva versio on, sen sijaan että kokoaisit tiedon julkaisutiedoista ja taulukoista.

Molemmat käytössä

• Renovate pitää jokaisen riippuvuuden ajan tasalla aikataulun mukaan kaikilla alustoillasi ja paketinhallinnoissasi, ja automerge hoitaa vähäriskiset päivitykset.
• CRACI tallentaa jokaisen GitHub Actions -buildin, valvoo toimitettua ohjelmistoa ja kertoo, mihin buildeihin ja tiimeihin uusi haavoittuvuus vaikuttaa, joten tiedät, mitkä päivitys-pull requestit yhdistää ensin.

Mitään ei tarvitse migroida. Renovate lukee edelleen repositorioitasi, ja työnkulkusi ajetaan edelleen GitHub Actionsissa, vain eri runnerilla.

Punnitsetko useampaa kuin kahta työkalua? Renovaten vaihtoehdot vertailee seitsemää vaihtoehtoa Dependabotista Mend Renovate Enterpriseen.

Kyberkestävyyssäädöstä varten

EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) edellyttää, että valmistajat tietävät, mitä kussakin julkaisussa on, ja käsittelevät siinä olevat haavoittuvuudet. Renovate auttaa pitämällä riippuvuudet paikattuina ja ajan tasalla. CRACI tallentaa kunkin buildin SBOM:n, valvoo sitä uusien haavoittuvuuksien varalta ja säilyttää näytön. Se automatisoi merkittävän osan siitä ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritykset tarvitsevat laajemmassa CRA-vaatimustenmukaisuusprosessissaan. Katso mikä CRA on ja haavoittuvuuksien seuranta.