Vertaa
CI/CD-tietoturvatyökalut vertailussa
CI/CD-tietoturvatyökalut jakautuvat neljään ryhmään: skannerit, jotka lukevat koodisi, työkalut, jotka koventavat sitä ympäröivää putkea, agentit, jotka valvovat runneria, ja runnerit, jotka hallitsevat ja tallentavat buildin. Tässä on, mitä kukin ryhmä kattaa ja mihin CRACI sijoittuu.
Päivitetty
Jokainen vertailu kertoo, missä toinen tuote on hyvä, missä CRACI eroaa ja milloin käyttäisit molempia. Kaikki kategoriat: kaikki vertailut.
Miksi putki tarvitsee omat tietoturvatyökalunsa
CI/CD-putkella on hallussaan tunnuksia, se hakee koodia internetistä ja tuottaa artefaktit, joita asiakkaasi ajavat. Siksi se on kohde jo sinänsä. Hyökkääjän, joka voi muuttaa sitä, mitä buildi lataa tai tuottaa, ei tarvitse koskea lähdekoodiisi lainkaan. Koodiskannereita ei rakennettu tähän, koska ne lukevat repositoriota, eivät buildia.
CI/CD-tietoturvatyökalut paikkaavat tätä aukkoa eri suunnista. Jotkin tarkistavat putken konfiguraation, jotkin valvovat, mitä runnerilla tapahtuu jobin aikana, ja jotkin hallitsevat itse runneria. Tieto siitä, mihin ryhmään työkalu kuuluu, kertoo enemmän kuin sen ominaisuuslista, koska se ratkaisee, mitä työkalu näkee ja mitä se voi pysäyttää.
CI/CD-tietoturvatyökalujen tyypit
Koodiasi lukevat skannerit
Staattinen analyysi (SAST), salaisuuksien skannaus ja ohjelmistokoostumuksen analyysi (SCA) lukevat repositoriota: lähdetiedostoja, manifesteja ja lukitustiedostoja. Esimerkiksi GitHub Advanced Security yhdistää CodeQL-koodiskannauksen salaisuuksien skannaukseen ja push protectioniin sekä Dependabot-hälytykset GitHub Advisory Databasesta. Nämä työkalut löytävät ongelmia ennen kuin buildi ajetaan. Ne eivät näe, mitä buildi todella haki tai mihin se otti yhteyttä.
Buildia ympäröivää putkea koventavat työkalut
Tietoturvatilan ja hallinnan työkalut tarkistavat putken konfiguraation. Cycode valvoo CI/CD-tietoturvakäytäntöjä,
konfiguraatioita ja hallintaa. StepSecurity ylläpitää inventaariota käyttämistäsi kolmannen osapuolen actioneista ja hyväksyntätyönkulkuja
uusille actioneille, ja se avaa pull requesteja, jotka kiinnittävät actionit commit-SHA:ihin ja asettavat vähimpien oikeuksien
GITHUB_TOKEN-oikeudet. Nämä työkalut vaikeuttavat putken väärinkäyttöä, mutta ne käsittelevät
buildin määrittelyä eivätkä buildia sen ajon aikana.
Runneria valvovat agentit
Ajonaikaiset agentit toimivat jobin sisällä runnereilla, jotka säilytät. StepSecurity Harden-Runner valvoo lähteviä yhteyksiä, prosesseja ja tiedostokirjoituksia, yhdistää jokaisen niistä sen aiheuttaneeseen työnkulun vaiheeseen ja voi estää lähtevän liikenteen sallittujen listan ulkopuolelle. Cycoden Cimon valvoo prosessien suoritusta, lähtevää verkkoliikennettä ja tiedostojen käyttöä ytimen tasolla eBPF:n avulla, tuottaa ajonaikaisesti havaitun SBOM:n ja allekirjoittaa SLSA-alkuperätiedot. Agentit toimivat monissa CI-järjestelmissä ja palveluntarjoajan runnereilla, koska ne lisätään jo olemassa olevaan infrastruktuuriin.
Buildia hallitsevat ja tallentavat runnerit
CRACI valitsee viimeisen lähestymistavan: se korvaa runnerin. Jobit ajetaan CRACI:ssa määrityksellä runs-on: craci, ja ajot
näkyvät edelleen GitHubissa. Egress-käytäntö on osa runneria, se validoidaan ennen jobin alkua, ja virhetilanteessa liikenne estetään (fail closed).
Paketit tunnistava välityspalvelin tallentaa jokaisen paketin, jonka jobi haki, myös CI-välimuisteista palautetut, joten jokainen
jobi tuottaa SBOM:n kattavuustilan kanssa, verkkojäljen ja alkuperätiedot.
Rinnakkain
| Ominaisuus | CRACI | StepSecurity Harden-Runner | Cycode (Cimon) | GitHub Advanced Security |
|---|---|---|---|---|
| Missä se toimii | Se on itse runneri | Agentti ylläpitämilläsi runnereilla | Agentti nykyisessä CI:ssäsi | Skannaa repositorioita GitHubissa |
| Buildin lähtevän liikenteen hallinta | Oletuksena esto tai salliminen, estää virhetilanteessa | Sallittujen lista estotilassa | Prevent-tila sallituilla isännillä | |
| Valvontatila ennen estoa | Seuranta- tai dry run -tila | Jobikohtaiset perustasot | Detect-tila | Ei lähtevän liikenteen hallintaa |
| Prosessien ja tiedostojen valvonta | eBPF | Ei ilmoitettu | ||
| Buildista tallennettu SBOM | Jobikohtainen, kattavuustilan kanssa | Tallentaa kohteet, prosessit ja tiedostot | Ajonaikaisesti havaittu SBOM | Graafi manifesteista sekä lähetetty build-data |
| Allekirjoitetut alkuperätiedot | Ei allekirjoitettuja alkuperätietoja | Ei ilmoitettu | SLSA Provenance v1.0 | Artefaktien attestaatiot |
| SAST | Ei ilmoitettu | CodeQL | ||
| Salaisuuksien skannaus | Ei ilmoitettu | Secret Protection | ||
| CI-kattavuus | GitHub Actions tänään; GitLab CI ja Jenkins tiekartalla | GitHub Actions, GitLab CI, Azure DevOps | GitHub Actions, Azure Pipelines, Jenkins, GitLab CI, Buildkite, Harness | GitHub sekä Azure DevOps erillisenä hankintana |
- Sisältyy
- Osittain
- Ei sisälly
- Tiekartalla
"Ei ilmoitettu" tarkoittaa, ettemme pystyneet vahvistamaan asiaa toimittajan julkisilta sivuilta. Sarakkeiden yksityiskohdat löydät sivuilta CRACI vs. StepSecurity, CRACI vs. Cycode ja CRACI vs. GitHub Advanced Security.
Mikä työkalu kattaa minkäkin CI/CD-riskin
OWASP Top 10 CI/CD Security Risks on laajimmin käytetty luettelo siitä, mikä putkessa voi mennä pieleen. Sen kymmenen riskiä ovat:
- CICD-SEC-1: Insufficient Flow Control Mechanisms
- CICD-SEC-2: Inadequate Identity and Access Management
- CICD-SEC-3: Dependency Chain Abuse
- CICD-SEC-4: Poisoned Pipeline Execution (PPE)
- CICD-SEC-5: Insufficient PBAC (Pipeline-Based Access Controls)
- CICD-SEC-6: Insufficient Credential Hygiene
- CICD-SEC-7: Insecure System Configuration
- CICD-SEC-8: Ungoverned Usage of 3rd Party Services
- CICD-SEC-9: Improper Artifact Integrity Validation
- CICD-SEC-10: Insufficient Logging and Visibility
Mikään yksittäinen työkalu ei kata kaikkia kymmentä. Nämä ovat ne neljä, joihin CRACI:n kontrollit pätevät:
| Ominaisuus | Mistä riskissä on kyse | Mitä CRACI tekee |
|---|---|---|
| CICD-SEC-3: Dependency Chain Abuse | Buildi tuo mukanaan haitallisen tai odottamattoman paketin | Egress-käytäntö rajaa lähteet, joista jobi voi hakea, ja jobin SBOM tallentaa jokaisen haetun paketin |
| CICD-SEC-7: Insecure System Configuration | Heikot asetukset putkea ajavissa järjestelmissä | Jobit ajetaan eristetyissä virtuaalikoneissa, ja jos käytäntöä ei voida soveltaa, liikenne estetään (fail closed) |
| CICD-SEC-9: Improper Artifact Integrity Validation | Peukaloitu artefakti kulkee putken läpi kuin se olisi aito | Ei allekirjoitettuja alkuperätietoja; API palauttaa alkuperätiedot jokaisesta buildista |
| CICD-SEC-10: Insufficient Logging and Visibility | Putkeen kohdistuvat hyökkäykset jäävät huomaamatta eikä niitä voi tutkia | Verkkojälki jokaisesta jobista, hälytykset käytäntörikkomuksista ja API, joka palauttaa SBOM:t, verkkojäljet ja alkuperätiedot |
CICD-SEC-7:n osalta CRACI kattaa runnerin. Repositorioidesi ja GitHub-organisaatiosi konfiguraatio jää sinun vastuullesi. Suoraan sanottuna loput: CRACI ei käsittele identiteetin- ja pääsynhallintaa (CICD-SEC-2) eikä tunnusten hygieniaa (CICD-SEC-6), eikä se hallitse kulunohjausta, putken oikeuksia tai kolmannen osapuolen palveluja (CICD-SEC-1, 5 ja 8). Salaisuuksien skannaus, kuten GitHubin Secret Protection tai Cycoden salaisuuksien tunnistus, ja yllä mainitut tietoturvatilan työkalut on rakennettu niitä varten.
Miten valita CI/CD-tietoturvatyökalu
- Korvaa runnerisi tai säilytä ne. Jos haluat säilyttää GitHubin ylläpitämät runnerit, itse ylläpidetyt runnerit tai muun CI-järjestelmän, agentti on tapa lisätä ajonaikaisia kontrolleja. Jos olet valmis vaihtamaan runnerin, CRACI:n kaltainen runneri tuo lähtevän liikenteen hallinnan ja buildin tallenteen ilman käyttöön otettavaa agenttia.
- Audit-tila jo nyt. Harden-Runner ja Cimon voivat tarkkailla liikennettä ennen kuin ne estävät mitään. CRACI:n valvonta- tai kuivaharjoitustila on sen tiekartalla.
- Prosessitason forensiikka. Jos sinun täytyy tietää poikkeaman aikana, mikä prosessi kirjoitti minkäkin tiedoston, prosesseja ja tiedostoja valvova agentti kattaa sen. CRACI ei valvo prosesseja eikä tiedostokirjoituksia.
- SBOM ja CRA-näyttö. Jos tarvitset pakettitason SBOM:n jokaisesta buildista, alkuperätiedot ja näyttöä EU:n kyberkestävyyssäädöstä (Cyber Resilience Act, CRA) varten, katso, mitä kukin työkalu tallentaa ja jatkaako se toimitetun valvontaa. CRACI tallentaa SBOM:n buildin ajon aikana, arvioi valvotut SBOM:t uudelleen uusien haavoittuvuuksien ilmaantuessa ja vie SBOM:t CycloneDX- tai SPDX-muodossa.
- CI-alustat ja käyttöjärjestelmät. CRACI tukee nyt GitHub Actionsia, ja GitLab CI ja Jenkins ovat tiekartalla. Se ajaa Linuxia x86-64:llä ja ARM64:llä, ja Windows ja macOS ovat tiekartalla. Jos buildaat muissa CI-järjestelmissä tai tarvitset Windows- tai macOS-runnereita nyt, tarkista ensin agenttien kattavuus.
- Koodi ja salaisuudet. Lähdekoodin ja salaisuuksien skannerit kattavat alueen, jota mikään runneri ei kata. CRACI:ssa ei ole SAST:ia eikä salaisuuksien skannausta, joten suunnittele ne erikseen.
Agentti runnerilla vai itse runneri
Agentti lisätään infrastruktuuriin, jonka joku muu on suunnitellut. GitHubin ylläpitämillä runnereilla se asennetaan vaiheella jokaisen jobin alussa, ja sen ulottuvuus riippuu siitä, mitä infrastruktuuri sallii. Juuri siksi agentit voivat kattaa palveluntarjoajan runnerit, itse ylläpidetyt runnerikannat ja useita CI-järjestelmiä kerralla, ja se on todellinen etu, kun buildisi jakautuvat niiden kaikkien kesken.
Runneri, joka valvoo käytäntöä itse, toimii päinvastoin. CRACI:ssa egress-käytäntö validoidaan ennen jobin alkua, tuntemattomat kentät hylätään ja virhetilanteessa liikenne estetään, joten käytäntö, jota ei voida soveltaa, ei tuota suojaamatonta ajoa. Sen lähteet on tyypitetty ekosysteemeittäin: 24 valmista ohjelmistolähteiden esiasetusta sekä mukautetut lähteet npm:lle, PyPI:lle, apt:lle, apk:lle, Go-proxylle, Nixille, Cargolle, OCI-rekistereille ja Gitille, joten tallenne koskee paketteja eikä vain kohteita. CRACI:ssa ajettavissa jobeissa se korvaa ajonaikaiset agentit sen sijaan, että toimisi niiden rinnalla. Lue lisää CI/CD-integraatiosta ja buildin aikaisesta SBOM-generoinnista, tai varaa demo ja näe GitHub Actions -jobi ajettuna egress-käytännön alaisena.
CRACI verrattuna kuhunkin työkaluun
Rinnakkain
Useita työkaluja yhdellä sivulla silloin, kun valitset kategoriaa etkä yksittäistä tuotetta.
CI/CD-tietoturvatyökalut: vastauksia
Mitä CI/CD-tietoturvatyökalut ovat?
CI/CD-tietoturvatyökalut suojaavat putkea, joka tekee lähdekoodista julkaistun ohjelmiston. Ne jakautuvat neljään ryhmään: skannerit, jotka lukevat koodisi ja riippuvuutesi (SAST, salaisuuksien skannaus, SCA), työkalut, jotka koventavat buildia ympäröivän putken konfiguraatiota, agentit, jotka valvovat runneria jobin aikana, sekä runnerit, jotka itse hallitsevat ja tallentavat buildin. OWASP Top 10 CI/CD Security Risks on yleinen tapa tarkistaa, mihin riskeihin työkalu vastaa.
Mitä eroa on CI/CD-tietoturvalla ja SCA:lla?
Ohjelmistokoostumuksen analyysi (SCA) lukee manifestisi ja lukitustiedostosi (lockfile) ja kertoo, missä ilmoitetuissa riippuvuuksissa on tunnettuja haavoittuvuuksia. CI/CD-tietoturva suojaa itse putkea: kuka voi muuttaa sitä, mihin buildi pääsee ja onko toimittamasi artefakti sama, joka buildattiin. CRACI toimii buildin pohjalta: se tallentaa paketit, jotka kukin jobi todella haki, myös CI-välimuisteista palautetut, ja valvoo niitä uusien haavoittuvuuksien varalta julkaisun jälkeenkin.
Tarvitsenko ajonaikaisen agentin, jos käytän CRACI:a?
Et lähtevän liikenteen hallintaan tai buildin tallenteeseen. CRACI:ssa egress-käytäntö on osa runneria, se validoidaan ennen jobin alkua ja virhetilanteessa liikenne estetään, joten CRACI korvaa Harden-Runnerin ja Cimonin kaltaiset agentit siinä ajettavissa jobeissa. Luovut prosessien ja tiedostojen valvonnasta, jota CRACI ei tarjoa, sekä audit-tilasta, joka on CRACI:n tiekartalla. Jos prosessitason forensiikka on ehdoton vaatimus, säilyttämiesi runnerien runneriagentti kattaa sen jo nyt.
Voivatko CI/CD-tietoturvatyökalut estää haitallisia paketteja?
Jotkin voivat, eri tavoin. Lähtevän liikenteen hallinta estää buildia tavoittamasta käytännön ulkopuolisia lähteitä, joten lataus odottamattomasta kohteesta epäonnistuu. Pakettien estolistat ja rekisterikontrollit estävät tunnetusti haitallisen version asentamisen kokonaan. CRACI valvoo jo nyt jobikohtaista egress-käytäntöä, jonka lähteet on tyypitetty ekosysteemeittäin; organisaation laajuiset pakettien estolistat ovat CRACI:n tiekartalla.
Mitkä CI/CD-tietoturvatyökalut toimivat GitHub Actionsin ulkopuolella?
Syyskuussa 2026 StepSecurity listaa GitHub Actionsin rinnalla GitLab CI:n ja Azure DevOpsin, ja Cycoden Cimon toimii myös Azure Pipelinesissa, Jenkinsissä, GitLab CI:ssä, Buildkitessa ja Harnessissa. GitHub Advanced Securitya myydään myös Azure DevOpsiin. CRACI tukee nyt GitHub Actionsia, ja GitLab CI ja Jenkins ovat tiekartalla.
Muut kategoriat
Näe CRACI omassa putkessasi
Varaa demo, niin käymme läpi buildisi, SBOM:isi ja vaatimustenmukaisuuden näyttösi.
Varaa demo