CRACI vs. Sonatype

Lyhyt vastaus

Sonatype on parhaimmillaan avoimen lähdekoodin hallinnassa: käytännöt päättävät, mitkä komponentit sallitaan, palomuuri pysäyttää huonot paketit repositoriossa, ja analyysi kertoo, mitä sovellukseesi päätyi. CRACI on GitHub Actions -yhteensopiva CI-runneri, joka tallentaa jokaisen buildin hakeman ulkoisen riippuvuuden ja tuottaa tästä tallenteesta SBOM:n, alkuperätiedot ja vaatimustenmukaisuuden näytön. Sonatype on skanneri ja portinvartija. CRACI on tallentaja, jonka käytäntöportit voivat myös estää buildin löydösten perusteella. Useimmat tiimit, jotka tarvitsevat molempia, käyttäisivät niitä rinnakkain.

Mikä Sonatypen tuote on mikäkin

Sonatype myy useita tuotteita, ja nimillä on merkitystä tässä vertailussa:

• Sonatype Lifecycle on ohjelmistokoostumuksen analyysin (SCA) ja käytäntöjen tuote, jota ajetaan itse ylläpidettynä tai SaaS-palveluna.
• Sonatype Repository Firewall estää ja asettaa karanteeniin komponentit, jotka eivät läpäise käytäntöjäsi, ennen kuin ne päätyvät repositorioihisi. Se on suunniteltu Sonatype Nexus Repositorylle. Sonatype Firewall Pro kattaa muut repositorionhallintatyökalut, kuten JFrog Artifactoryn, Cloudsmithin ja GitHub Packagesin, npm:lle, Mavenille, PyPI:lle ja NuGetille.
• Sonatype SBOM Manager tuo, valvoo ja jakaa SBOM:eja, ja siinä on VEX-työnkulku.

Tuotepaketointi on muuttumassa. Sonatypen hinnoittelusivun mukaan kaikki Lifecyclen ominaisuudet sisältyvät nyt Sonatype Guideen, uudet asiakkaat ostavat Guiden SCA:ta ja hallintaa varten, ja Guide sisältää myös SBOM Managerin vaatimustenmukaisuusominaisuudet.

Yhdellä silmäyksellä

Missä Sonatype on hyvä

Käytännöt laajassa mittakaavassa. Lifecyclen mukana tulee 18 oletuskäytäntöä ja yli 30 muokattavaa rajoitetta, jotka kattavat tietoturva-, lakiasia- ja arkkitehtuurisäännöt. Lisenssikäytännöt kattavat yli 2 000 avoimen lähdekoodin lisenssiä. Se priorisoi löydökset reachability-analyysin, rikkovien muutosten ja saatavilla olevien päivitysten tietojen avulla, ja se voi avata Golden Pull Requesteja ehdotetuilla päivityksillä.

Buildin tuotoksen tarkastelu. Lifecyclen integraatiot käyttävät oletuksena Advanced Binary Fingerprinting -menetelmää, joka tutkii kaiken sovellukseen buildin jälkeen sisältyvän, upotetut riippuvuudet mukaan lukien, ja voi tunnistaa uudelleennimettyjä tai muokattuja komponentteja. Vasta sen jälkeen se turvautuu lukitustiedostoihin ja manifesteihin. Jokaisen skannausraportin voi viedä CycloneDX- tai SPDX-muotoisena SBOM:ina.

Huonojen pakettien pysäyttäminen ovella. Repository Firewall valvoo tietoturva-, lisenssi- ja laatuvaatimuksiasi latauksen hetkellä ja asettaa epäilyttävät komponentit karanteeniin. CRACI:ssa ei ole nyt vastaavaa: pakettien estolista on sen tiekartalla.

Sopii mihin tahansa putkeen. Sonatype integroituu Jenkinsiin, GitHub Actionsiin, GitLab CI:hin, Azure DevOpsiin ja Bambooon sekä Maveniin ja Gradleen, ja muille CI-palvelimille on CLI. CRACI tukee nyt vain GitHub Actionsia, ja GitLab CI ja Jenkins ovat tiekartalla.

Missä CRACI on erilainen

Se tallentaa buildin sen sijaan, että analysoisi sen tuotosta

Binäärien sormenjäljet kertovat, mitä valmiin sovelluksen sisällä on. Ne eivät kerro, mitä buildi latasi matkan varrella: kääntäjiä ja työkaluketjuja, asennusskriptejä, peruskuvia, curlilla haettuja julkaisubinäärejä tai välimuistista palautettuja paketteja. CRACI näkee ne, koska se on runneri. Paketit tunnistava välityspalvelin havainnoi liikennettä pakettilähteisiin jobin ajon aikana ja kattaa npm-, PyPI-, RubyGems-, Composer-, Cargo-, Go-, Nix-, OCI-, apt-, apk- ja Git-lähteet sekä lähde- ja latausesiasetukset. Riippuvuustiedot kulkevat CI-välimuistien mukana, joten välimuistissa olevatkin paketit ovat mukana kirjanpidossa.

Jokainen SBOM ilmoittaa oman kattavuutensa jobikohtaisesti ja välimuistikohtaisesti: Complete, Complete with connections, Incomplete, Unavailable tai Not recorded. Kun tallenteessa on aukko, tiedät sen.

Se määrää, minne buildi voi ottaa yhteyttä

Repository Firewall hallitsee sitä, mitä repositorion kautta tulee. CRACI:n egress-käytäntö hallitsee sitä, mitä buildi ylipäätään voi tavoittaa. Käytännöt ovat oletuksena estäviä tai oletuksena sallivia, ja niissä on 24 valmista ohjelmistolähteiden esiasetusta sekä tyypitetyt mukautetut lähteet npm:lle, PyPI:lle, apt:lle, apk:lle, Go-proxylle, Nixille, Cargolle, OCI-rekistereille ja Gitille. Ne validoidaan ennen jobin alkua ja estävät virhetilanteessa (fail closed). Yhdessä nämä kaksi varmistavat, että build-jobit hakevat paketteja vain hyväksymistäsi lähteistä ja että nuo lähteet tarjoavat vain sallimiasi paketteja.

Se valvoo toimitettua jatkuvasti

API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot. CRACI ei allekirjoita alkuperätietoja. CRACI kokoaa haavoittuvuudet kaikista buildeista ja repositorioista ja arvioi valvotut SBOM:t jatkuvasti uudelleen.

Inventaario siitä, mitä on käytössä missäkin

CRACI:n inventaarionäkymä näyttää tarkasti, mitkä ohjelmistoversiot on otettu käyttöön missäkin tuotteessa, maailmanlaajuisesti. Kun uusi haavoittuvuus julkaistaan, näet, missä tuotteissa haavoittuva versio on, sen sijaan että kokoaisit tiedon julkaisutiedotteista ja taulukoista.

Milloin käyttää molempia

• Käytät jo Nexus Repositorya ja Firewallia. Pidä se porttina. Lisää CRACI, niin jokaisesta buildista jää tallenne siitä, mitä se haki, ja egress-käytäntö pitää buildit hyväksymissäsi lähteissä.
• Lakitiimisi nojaa Lifecyclen lisenssikäytäntöihin. Pidä ne. CRACI sisällyttää ilmoitetut lisenssitiedot SBOM-vientiinsä ja valvoo myös lisenssikäytäntöä.
• Keräät SBOM:eja SBOM Manageriin. SBOM Manager tuo CycloneDX- ja SPDX-muotoja, samoja, joita CRACI vie, joten buildin aikana tallennetut SBOM:t voivat olla jo hallinnoimiesi rinnalla.
• Putkesi ovat Jenkinsissä tai Azure DevOpsissa. Sonatype sopii jo nyt. CRACI edellyttäisi, että putket siirretään ensin GitHub Actionsiin; Jenkins on sen tiekartalla.

EU:n kyberkestävyyssäädöstä varten

Sonatype julkaisee CRA-käyttöoppaan ja CRA-tarkistuslistan ja asemoi SBOM Managerin CRA-tuotteekseen. Sen opas korostaa VEX-tiedostojen generointia SBOM:ien tunnetuista haavoittuvuuksista raportointiin ja Nexus Repositorya päivityspalvelimena tietoturvapäivitysten jakeluun.

CRACI kattaa näyttöpuolen buildista käsin: SBOM:n jokaisesta julkaisusta kattavuus ilmoitettuna, alkuperätiedot, jatkuvan haavoittuvuuksien valvonnan ja SBOM-viennin CycloneDX- tai SPDX-muodossa. Se automatisoi merkittävän osan siitä ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritykset tarvitsevat laajempaan CRA-vaatimustenmukaisuuden prosessiinsa. Kumpikaan työkalu ei yksin tee tuotteesta vaatimustenmukaista. Katso CRA-vaatimustenmukaisuus ja mikä CRA on.

CRACI:n lisääminen Sonatypen rinnalle

CRACI korvaa runnerin, ei GitHub Actionsia. Vaihda työnkulun runs-on arvoksi craci, ja ajot näkyvät edelleen GitHubin käyttöliittymässä. Sonatype-vaiheesi pysyvät työnkulussa. Aloita yhdestä julkaisuputkesta, vertaa CRACI:n SBOM:ia Lifecycle-raporttiisi ja katso, mitä vain toinen niistä näki.