StepSecurity vs. CRACI

Lyhyt vastaus

StepSecurity on ohjelmistotoimitusketjun tietoturva-alusta, joka kattaa neljä kontrollipistettä: kehittäjien koneet, pakettirekisterit, koodirepositoriot ja CI/CD:n. Sen CI/CD-tuote Harden-Runner on agentti, joka valvoo jobin jokaista lähtevää yhteyttä, prosessia ja tiedostokirjoitusta, yhdistää jokaisen sen aiheuttaneeseen työnkulun vaiheeseen ja voi estää lähtevän liikenteen kaikkiin kohteisiin, jotka eivät ole sallittujen listalla. Enterprise maksaa $16 kontribuoivaa kehittäjää kohden kuukaudessa, ja julkiset repositoriot GitHubin ylläpitämillä runnereilla ovat ilmaisia.

CRACI korvaa itse runnerin: sen egress-käytäntöä valvoo runnerialusta, ja se validoidaan ennen jobin alkua, ja sama jobi tuottaa pakettitason SBOM:n. Tämä on CRACI:n lähin päällekkäisyys minkään tietoturvatoimittajan kanssa, koska kumpikin rajoittaa, mihin buildi pääsee. Ero on siinä, missä kontrolli sijaitsee. Harden-Runner suojaa säilyttämiäsi runnereita, myös GitHubin ylläpitämiä. CRACI:n käytäntö tulee siitä, että se on runneri, ja se tallentaa paketteja eikä vain kohteita.

Yhdellä silmäyksellä

"Ei ilmoitettu" tarkoittaa, ettemme pystyneet vahvistamaan asiaa StepSecurityn julkisilta sivuilta.

Missä StepSecurity on hyvä

Harden-Runner

• Näkyvyys vaiheen tarkkuudella. Jokainen lähtevä yhteys, tiedosto-operaatio ja prosessin suoritus yhdistetään täsmälleen siihen vaiheeseen, jobiin ja työnkulkuun, jossa se tapahtui. Enterprise-taso lisää prosessien argumentit, tiedostojen kirjoituspolut sekä hälytykset sähköpostiin, Slackiin, Microsoft Teamsiin tai SIEM-järjestelmääsi.
• Ensin audit, sitten esto. egress-policy: audit -tilassa Harden-Runner rakentaa perustason kunkin jobin tavanomaisista lähtevistä kutsuista ja merkitsee kaiken uuden. Sen jälkeen voit siirtyä estotilaan päätepisteiden sallittujen listalla. StepSecurityn ylläpitämä globaali estolista tunnetusti haitallisista verkkotunnuksista on voimassa myös audit-tilassa.
• Peukaloinnin tunnistus. Se hälyttää lähdekoodin odottamattomista muutoksista buildin aikana.
• Laaja kattavuus. Täysi tuki GitHubin ylläpitämillä Linux-runnereilla, audit-tila GitHubin ylläpitämillä Windows- ja macOS-runnereilla sekä Enterprise-tasolla omat virtuaalikoneet, bare metal ja Actions Runner Controller. StepSecurity listaa myös GitLab CI:n, Azure DevOpsin ja kolmansien osapuolten runnerit, kuten Blacksmithin, Depotin ja Namespacen. Itse ylläpidetyillä runnereilla agentti on sisäänrakennettu runnerin levykuvaan, joten työnkulkuja ei tarvitse muuttaa.
• Näytöt. StepSecurityn mukaan Harden-Runner havaitsi tj-actions/changed-files-murron (CVE-2025-30066) ja murretun axios-npm-paketin, ja se suojaa yli 25 miljoonaa työnkulun ajoa viikossa. Community-tason agentti on avointa lähdekoodia Apache 2.0 -lisenssillä.

Missä Harden-Runner toimii

StepSecurityn oma GitHub Actionsin tukimatriisi syyskuussa 2026:

Sitä ei tueta, kun koko jobi ajetaan kontissa GitHubin ylläpitämillä runnereilla, eikä ubuntu-slim-runnerilla. Actions Runner Controllerilla tuetaan vain Linux-jobeja.

Muu alusta

• Actionien hallinta: inventaario käyttämistäsi kolmannen osapuolen actioneista ja uudelleenkäytettävistä työnkuluista, hyväksyntätyönkulut uusille sekä StepSecurity Maintained Actions tarkastettuina suorina korvaajina.
• Secure Registry: odotusajat uusille pakettiversioille, tunnetusti murrettujen versioiden esto, typosquatting-suojaus ja organisaation laajuiset estolistat, yhdellä käytännöllä kannettaville ja CI:lle.
• Code Repo Security: pull request -tarkistukset sekä Orchestrate Security, joka avaa pull requesteja, jotka kiinnittävät actionit commit-SHA:ihin, asettavat vähimpien oikeuksien GITHUB_TOKEN-oikeudet ja ottavat käyttöön Dependabot-konfiguraatioita.
• Dev Machine Guard: inventaario tekoälykoodausagenteista, MCP-palvelimista, IDE-laajennuksista ja paketeista kehittäjien koneilla.

Missä CRACI eroaa

Runneri itse, ei agentti sen päällä

GitHubin ylläpitämillä runnereilla Harden-Runner asennetaan vaiheella, jonka lisäät jokaisen jobin ensimmäiseksi vaiheeksi, ja sen ulottuvuus riippuu siitä, mitä GitHubin infrastruktuuri sallii. Mikään tästä ei ole tuotteen vika; se johtuu siitä, että agentti toimii jonkun muun omistamalla infrastruktuurilla.

CRACI:n käytäntö on osa runneria. Se validoidaan ennen jobin alkua, tuntemattomat kentät hylätään, ja virhetilanteessa liikenne estetään (fail closed), joten käytäntö, jota ei voida soveltaa, ei tuota suojaamatonta ajoa. Ajot näkyvät edelleen GitHubissa, ja jobin siirtäminen on muutos sen runs-on-tunnisteeseen.

Paketteja, ei vain kohteita

Harden-Runnerin sallittujen lista on luettelo päätepisteistä, ja sen verkkonäkymät näyttävät, mihin kohteisiin kukin vaihe otti yhteyttä. CRACI:n lähteet on tyypitetty ekosysteemeittäin: 24 valmista ohjelmistolähteiden esiasetusta, mukautetut lähteet npm:lle, PyPI:lle, apt:lle, apk:lle, Go-proxylle, Nixille, Cargolle, OCI-rekistereille sekä Gitille HTTPS:n ja SSH:n yli, sekä eksplisiittiset TLS-, TCP-, UDP- ja ICMP-säännöt. Paketit tunnistava välityspalvelin tallentaa, mitkä paketit kukin jobi haki, myös CI-välimuisteista palautetut, ja tuottaa CycloneDX- tai SPDX-muotoisen SBOM:n, jossa on kattavuustila jobi- ja välimuistikohtaisesti.

Buildin jälkeen

• Alkuperätiedot palautuvat API:sta yhdessä SBOM:ien ja verkkojälkien kanssa. CRACI ei allekirjoita alkuperätietoja eikä väitä saavuttavansa mitään SLSA-tasoa.
• Valvonta arvioi toimittamiesi ohjelmistojen SBOM:t uudelleen uusien haavoittuvuuksien ilmaantuessa, ja tietoturvatiimit luokittelevat ja priorisoivat (triage) löydökset ja ohjaavat ne korjauksesta vastaaville tiimeille.
• Inventaario näyttää tarkasti, mitkä ohjelmistoversiot on otettu käyttöön missäkin tuotteessa maailmanlaajuisesti, joten uusi haavoittuvuus kohdistuu suoraan tuotteisiin, joissa haavoittuva versio on käytössä.

Hinta

Syyskuussa 2026 StepSecurityn Community-taso on ilmainen rajattomalle määrälle julkisia repositorioita GitHubin ylläpitämillä runnereilla. Enterprise-taso maksaa $16 kuukaudessa kontribuoivaa kehittäjää kohden, eli kuka tahansa, joka on osallistunut suojattuun repositorioon viimeisten 90 päivän aikana, ja se sisältää Dev Machine Guardin ja Secure Registryn. Pelkkä Dev Machine Guard maksaa $8 laitetta kohden kuukaudessa. Yksityiset repositoriot ja itse ylläpidetyt runnerit vaativat Enterprisen, molemmissa maksullisissa tasoissa on 14 päivän ilmainen kokeilu, ja StepSecurity tarjoaa volyymialennuksia. Harden-Runner suojaa runnereita, joista jo maksat, joten runneriminuutit ovat erillinen kustannus.

CRACI veloittaa vain build-minuuteista: $0.002 vCPU-minuutilta ($0.004 oletuksena olevalle 2 vCPU:n runnerille), mitattuna sekunneittain ja ilman kuukausimaksua. Koska CRACI on runneri, hinta kattaa sekä laskennan että näytön. Voimassa olevat ehdot: CRACI:n hinnoittelu.

Kumpi sopii

StepSecurity sopii paremmin, kun

• Haluat säilyttää GitHubin ylläpitämät runnerit, myös Windowsin ja macOS:n.
• Ajat itse ylläpidettyjä runnereita, GitLab CI:tä tai Azure DevOpsia.
• Haluat tarkkailla liikennettä audit-tilassa ennen kuin estät mitään.
• Tarvitset prosessi- ja tiedostotason näkyvyyttä poikkeamiin reagointiin.
• Avoimen lähdekoodin projektisi toimii GitHubin ylläpitämillä runnereilla ja tarvitsee ilmaisen vaihtoehdon.

CRACI sopii paremmin, kun

• Haluat runnerin ja egress-käytännön samaan paikkaan ilman käyttöön otettavaa agenttia.
• Tarvitset pakettitason SBOM:n jokaisesta buildista kattavuustilan kanssa.
• Haluat toimitettujen ohjelmistojen valvonnan.
• Tarvitset CRA-näyttöä tai datan sijainnin EU:ssa CRACI:n Enterprise-tilauksella.

Mistä luovut siirtäessäsi jobeja CRACI:iin

Suoraan sanottuna: CRACI:ssa ei vielä ole audit- tai valvontatilaa (se on tiekartalla), se ei valvo prosesseja eikä tiedostokirjoituksia, se ei vielä toimi GitHubin ylläpitämillä runnereilla eikä muissa CI-järjestelmissä (GitLab CI ja Jenkins ovat tiekartalla), pakettien estolistat ovat vasta sen tiekartalla, ja sen hälytykset kattavat vain käytäntörikkomukset ilman Slack-, Teams- tai SIEM-integraatiota. Jos nämä ovat prioriteettejasi, StepSecurity kattaa ne jo nyt.

StepSecurityn Secure Registry, Code Repo Security ja Dev Machine Guard suojaavat kohtia, joihin CRACI ei ulotu: rekisteriä, josta pakettisi tulevat, repositorioitasi ja kehittäjien kannettavia. Ne eivät riipu runnerista, joten sillä, missä jobisi ajetaan, ei ole niihin vaikutusta.

Kyberkestävyyssäädöstä varten

EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) edellyttää, että valmistajat tuntevat tuotteidensa komponentit, käsittelevät niiden haavoittuvuudet ja säilyttävät näytön. StepSecurity keskittyy toimitusketjuhyökkäysten estämiseen ja havaitsemiseen, ja sen ajonaikaiset näkymät auttavat, kun tutkit CI:n tietoturvapoikkeamaa. CRACI automatisoi merkittävän osan siitä ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritykset tarvitsevat laajempaan CRA-vaatimustenmukaisuusprosessiinsa: buildin aikana tallennetut SBOM:t CycloneDX- tai SPDX-muodossa, haavoittuvuuksien seurannan ja alkuperätiedot API:n kautta. Katso CRA-näyttö.

Lue lisää CI/CD-integraatiosta ja buildin aikaisesta SBOM-generoinnista, tai varaa demo ja näe, miten jobi ajetaan egress-käytännön alaisena CRACI:ssa.

StepSecurity: kysymyksiä ja vastauksia

Mikä StepSecurity on?

StepSecurity on ohjelmistotoimitusketjun tietoturva-alusta. Sen tunnetuin tuote, Harden-Runner, on agentti, joka valvoo lähtevää verkkoliikennettä, tiedostojen eheyttä ja prosessien toimintaa CI/CD-runnereilla ja voi estää lähtevän liikenteen sallittujen listan ulkopuolelle. Alusta kattaa myös pakettirekisterit (Secure Registry), koodirepositoriot (Code Repo Security), kehittäjien koneet (Dev Machine Guard) ja uhkatiedustelun.

Paljonko StepSecurity maksaa?

Syyskuussa 2026 Community-taso on ilmainen rajattomalle määrälle julkisia repositorioita. Enterprise maksaa $16 kontribuoivaa kehittäjää kohden kuukaudessa, jolloin kontribuoiva kehittäjä on kuka tahansa, joka on osallistunut suojattuun repositorioon viimeisten 90 päivän aikana, ja se sisältää Dev Machine Guardin ja Secure Registryn. Pelkkä Dev Machine Guard maksaa $8 laitetta kohden kuukaudessa. Molemmissa maksullisissa tasoissa on 14 päivän ilmainen kokeilu, ja runneriminuutit ovat erillinen kustannus.

Onko Harden-Runner ilmainen?

Kyllä, julkisille repositorioille GitHubin ylläpitämillä runnereilla. Yksityiset repositoriot ja itse ylläpidetyt runnerit, myös julkisten repositorioiden omat runnerit, vaativat Enterprise-tason. Community-tason agentti on avointa lähdekoodia Apache 2.0 -lisenssillä.

Mitä runnereita Harden-Runner tukee?

GitHubin ylläpitämiä Linux-runnereita audit- ja estotilassa, GitHubin ylläpitämiä Windows- ja macOS-runnereita audit-tilassa sekä Enterprise-tasolla omia virtuaalikoneita, bare metal -koneita ja Actions Runner Controlleria. StepSecurity listaa myös GitLab CI:n, Azure DevOpsin ja kolmansien osapuolten runnerit, kuten Blacksmithin, Depotin ja Namespacen. Sitä ei tueta, kun koko jobi ajetaan kontissa GitHubin ylläpitämillä runnereilla, eikä ubuntu-slimillä.

Mitä eroa on StepSecuritylla ja CRACI:lla?

Harden-Runner on agentti, jonka lisäät säilyttämillesi runnereille. CRACI on runneri: sen egress-käytäntöä valvoo runnerialusta, se validoidaan ennen jobin alkua ja virhetilanteessa liikenne estetään, ja jokainen jobi tuottaa lisäksi pakettitason SBOM:n kattavuustilan kanssa. StepSecurity on edellä audit-tilassa, prosessien ja tiedostojen valvonnassa sekä runnerien ja CI-järjestelmien kattavuudessa.

Voiko CRACI korvata Harden-Runnerin?

Linuxilla ajettavissa GitHub Actions -jobeissa kyllä: kun jobi siirretään CRACI:iin, se saa lähtevän liikenteen hallinnan suoraan runnerilta, joten jobi ei tarvitse agenttia. Luovut audit-tilasta (CRACI:n tiekartalla), prosessien ja tiedostojen valvonnasta sekä GitHubin ylläpitämien, Windows-, macOS- ja muiden kuin GitHubin runnerien kattavuudesta.

Generoiko StepSecurity SBOM:n?

Harden-Runner tallentaa kohteet, prosessit ja tiedostot, joita jobi käsitteli, ei buildin pakettitason SBOM:ia. CRACI tallentaa, mitkä paketit kukin jobi haki, myös CI-välimuisteista palautetut, ja vie CycloneDX- ja SPDX-muotoon.