CRACI vs. Xygeni

Lyhyt vastaus

Xygeni on sovellustietoturva-alusta Valladolidista Espanjasta. Se kuvaa itseään "yhdeksi tekoälypohjaiseksi alustaksi, joka tunnistaa, priorisoi ja korjaa haavoittuvuudet ja haittaohjelmat päästä päähän". Sen moduulit kattavat SAST:n, SCA:n reachability-analyysin ja haittaohjelmien tunnistuksen kera, salaisuudet, IaC:n, kontit, CI/CD-tietoturvan, buildien tietoturvan SLSA- ja in-toto- attestaatioineen, poikkeamien tunnistuksen, DAST:n, API-tietoturvan ja ASPM-kerroksen. Se julkaisee hintansa, ja sillä on ilmainen paketti. Se ei aja buildeja: se kytkeytyy jo käyttämiisi CI-järjestelmiin.

CRACI kilpailee samasta toimitusketjun budjetista eri paikasta. Se on GitHub Actionsin runneri: se tallentaa paketit, jotka kukin jobi todella haki, valvoo egress-käytäntöä jobin aikana ja valvoo jatkuvasti sitä, mitä toimitettiin. Xygeni on AppSecissä paljon laajempi; CRACI menee syvemmälle buildiin ja siihen, mitä siitä syntyi.

Yhdellä silmäyksellä

"Ei mainittu" tarkoittaa, ettemme voineet vahvistaa asiaa Xygenin julkisilta sivuilta.

Missä Xygeni on hyvä

• Laajuus yhdessä alustassa. SAST tekoälypohjaisilla automaattikorjauksilla, SCA reachability-analyysilla ja automaattisilla päivitys-pull requesteilla, salaisuuksien tunnistus automaattisella mitätöinnillä, IaC- ja konttikuvaskannaus sekä Enterprise-tilauksessa DAST, API- tietoturva ja ASPM kolmansien osapuolten datan tuonnilla.
• Haittaohjelmat avoimessa lähdekoodissa. Xygenin mukaan se analysoi tuhansia uusia ja päivitettyjä avoimen lähdekoodin paketteja päivittäin, käyttää koneoppimisavusteista moottoria tuntemattomien haittaohjelmien tunnistamiseen, asettaa epäilyttävät paketit karanteeniin ja voi estää ne riippuvuuspalomuurilla. Se menee pidemmälle kuin CVE:iden täsmäytys.
• CI/CD-tietoturva. Se etsii virhekonfiguraatioita build-skripteistä ja putkista, käsittelee OWASP Top 10 CI/CD -riskit, tarkistaa asetuksia, kuten haarasuojauksen ja monivaiheisen tunnistautumisen, ja merkitsee putkien haitalliset komennot, kuten reverse shellit ja haittaohjelmalataukset.
• Build-attestaatiot. Build Security lisää putkeen yhden rivin, joka kerää näyttöä buildin jokaisesta vaiheesta ja tuottaa SLSA provenance- ja in-toto-attestaatiot avaimettomilla allekirjoituksilla allekirjoitettuina. Attestaatiot voivat sisältää haavoittuvuusskannauksia, SBOM:eja SPDX- tai CycloneDX-muodossa ja testituloksia, ja peukaloidut artefaktit voidaan estää ennen toimitusta.
• Poikkeamien tunnistus. Sensorit GitHubille, GitLabille, Jenkinsille ja Azurelle tarkkailevat luvattomia muutoksia koodiin, riippuvuuksiin, putkiin ja build-konfiguraatioon ja hälyttävät reaaliajassa.
• Laaja CI-kattavuus ja julkiset hinnat. Xygeni listaa integraatiot GitHubiin, GitLabiin, Jenkinsiin, Azure Pipelinesiin, Bitbucketiin, CircleCI:hin ja Travis CI:hin, ja se tarjoaa on-premise-käyttöönoton Enterprise-tilauksessa.

Missä CRACI eroaa

Tallennettu buildista, ei luettu kuvauksista

Xygenin dokumentaation mukaan sen analysaattorit käsittelevät riippuvuuskuvauksia poimiakseen suorat ja epäsuorat riippuvuudet ja selvittääkseen niiden versiot. Se on tavanomainen tapa muodostaa SBOM repositoriosta. CRACI näkee sen sijaan kuhunkin buildiin tulevan liikenteen: paketit tunnistava välityspalvelin tallentaa jokaisen paketin, jonka jobi haki npm-, PyPI-, RubyGems-, Composer-, Cargo-, Go-, Nix-, OCI-, apt-, apk- ja Git-lähteistä sekä latausesiasetuksista. CI-välimuisteista palautetut paketit pysyvät tallenteessa.

Näin CRACI tallentaa piilossa olevat riippuvuudet, jotka lukitustiedostoihin perustuvilta työkaluilta jäävät huomaamatta: npm install -koukkujen lataaman koodin, buildin aikana hakevat Rustin build-skriptit ja konttibuildin pohjakuvan kerrokset. Jokaisella SBOM:lla on kattavuustila jobi- ja välimuistikohtaisesti (Complete, Complete with connections, Incomplete, Unavailable tai Not recorded), joten kun tallenteessa on aukko, se kertoo sen.

Hallintaa buildin aikana

Xygenin CI/CD-tarkistukset katsovat, miten putket on konfiguroitu ja mitä komentoja ne sisältävät. CRACI rajaa, mihin buildi pääsee. Egress-käytännöt ovat oletuksena estäviä tai oletuksena sallivia, ja niissä on 24 sisäänrakennettua ohjelmistolähteiden esiasetusta, tyypitetyt omat lähteet npm:lle, PyPI:lle, aptille, apkille, Go-proxylle, Nixille, Cargolle, OCI-rekistereille ja Gitille sekä erilliset TLS-, TCP-, UDP- ja ICMP-säännöt. Ne validoidaan ennen jobin käynnistymistä, ja ne noudattavat fail closed -periaatetta. Koska oletuksena estävä käytäntö sallii vain sen, mitä buildi tarvitsee, vaarantunut paketti, joka yrittää lähettää salaisuutesi tuntemattomalle palvelimelle, estetään, jopa hyökkäyksessä, jota kukaan ei ole ennen nähnyt, ja CRACI hälyttää sinulle rikkomuksesta.

Alkuperätiedot ja valvonta samasta tallenteesta

Xygeni allekirjoittaa attestaatiot ajamaasi putkeen lisätystä vaiheesta. CRACI:n tallenne tulee runnerista, jolla jobi ajettiin: API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot. CRACI ei allekirjoita alkuperätietoja eikä väitä saavuttavansa mitään SLSA- tasoa. CRACI arvioi toimittamiesi tuotteiden SBOM:eja jatkuvasti uudelleen, kun uusia haavoittuvuuksia julkaistaan, ja näyttää jokaisen aiemman buildin, joka sisälsi haavoittuvan riippuvuuden, joten tiedät, kuinka kauan olit altistunut.

Runneri on osa tuotetta

Koska CRACI on runneri, näyttö tulee laskentakapasiteetin mukana: ajot näkyvät edelleen GitHubissa, ja CRACI ajaa buildit noin kaksi kertaa nopeammin kuin GitHubin ylläpitämät runnerit nopeamman laitteiston, lyhyempien jonotusaikojen ja välimuistin ansiosta. CRACI veloittaa vain build-minuuteista, $0.002 vCPU-minuutilta ($0.004 oletusarvoiselta 2 vCPU:n runnerilta), laskutetaan sekunneittain, ei kuukausimaksua eikä SBOM-kohtaista maksua. Katso CRACI:n hinnoittelu.

Kumpi sopii

Xygeni sopii paremmin, kun

• Haluat yhden AppSec-alustan SAST:lle, SCA:lle, salaisuuksille, IaC:lle, konteille ja putkien konfiguraatiolle.
• Haluat haitalliset avoimen lähdekoodin paketit tunnistetuiksi ja estetyiksi ennen kuin tietoturvatiedotetta on olemassa.
• Buildaat GitLabilla, Jenkinsillä, Azure Pipelinesilla, Bitbucketilla, CircleCI:llä tai Travis CI:llä.
• Tarvitset SLSA- ja in-toto-attestaatioita tai on-premise-käyttöönoton.
• Pieni tiimi haluaa aloittaa ilmaisella paketilla, jonka hinnat ovat julkisia.

CRACI sopii paremmin, kun

• Buildaat GitHub Actionsilla ja haluat runnerin, egress-käytännön ja riippuvuustallenteen yhteen paikkaan.
• Tarvitset SBOM:n siitä, mitä kukin buildi todella haki, ja kattavuustilan, jonka voit näyttää auditoijalle.
• Haluat toimitetun ohjelmiston valvonnan ja build-historian samasta tallenteesta.

Mistä luovut siirtäessäsi build-näytön CRACI:lle

GitHub Actionsilla buildaamasi ohjelmiston osalta CRACI ottaa hoitaakseen Xygenin SBOM-viennin tehtävän: tallenne, alkuperätiedot ja valvonta tulevat runnerista. Suoraan sanottuna, mitä se maksaa: CRACI:ssa ei ole reachability-analyysia, se ei tunnista uusia haitallisia paketteja käyttäytymisen tai maineen perusteella (se merkitsee tunnetut haitalliset julkaisut, kun CVE:n sisältävä tietoturvatiedote on julkaistu), se ei avaa päivitys-pull requesteja, ei allekirjoita alkuperätietoja, ei väitä saavuttavansa mitään SLSA-tasoa, siinä ei ole poikkeamien tunnistusta versionhallinnassa, ja se ajaa nyt vain GitHub Actionsia, ja GitLab CI ja Jenkins ovat tiekartalla.

Xygenin SAST, salaisuuksien skannaus, IaC ja CI/CD:n tietoturvatilan tarkistukset kattavat alueen, johon CRACI ei tarkoituksella koske, joten ne voivat jäädä paikoilleen. CRACI korvaa runnerin, ei GitHub Actionsia, joten skannausvaihe toimii CRACI-runnerilla kuten mikä tahansa muu vaihe.

Kyberkestävyyssäädöstä varten

EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) on yksi useista säädöksistä, jotka edellyttävät SBOM:ia ja haavoittuvuuksien käsittelyprosessia. Xygeni listaa Business-tilauksessaan ohjelmistotoimitusketjun vaatimustenmukaisuustarkistukset CIS:n ja OpenSSF:n mukaan. CRACI automatisoi merkittävän osan toimitusketjun näkyvyydestä ja näytöstä, jota CRA-prosessi tarvitsee: buildin aikaiset SBOM:t CycloneDX- tai SPDX-muodossa, haavoittuvuuksien seurannan ja alkuperätiedot API:n kautta. Katso CRA-näyttö. Kumpikaan työkalu ei yksinään tee tuotteesta vaatimustenmukaista.

Muita tämän alan alustoja: CRACI vs. Cycode, CRACI vs. OX Security, CRACI vs. Wiz ja ohjelmistotoimitusketjun tietoturvatyökalut.

Kysymyksiä Xygenistä

Mikä Xygeni on?

Xygeni on sovellustietoturva-alusta Valladolidista Espanjasta. Se yhdistää omat skannerinsa (SAST, SCA reachability-analyysin ja haittaohjelmien tunnistuksen kera, salaisuudet, IaC, kontit, CI/CD-tietoturva sekä valinnaisesti DAST ja API-tietoturva) ASPM-kerrokseen sekä buildien tietoturvaan SLSA- ja in-toto-attestaatioineen ja poikkeamien tunnistukseen versionhallinta- ja CI-järjestelmissä.

Paljonko Xygeni maksaa?

Syyskuussa 2026 Xygenin hinnoittelusivulla on ilmainen paketti, jossa on SAST, SCA, salaisuudet ja IDE-liitännäinen enintään 10 repositoriolle, 200 skannausta kuukaudessa ja 5 kontribuuttoria. Team alkaa noin $3,828 (€3,300) vuodessa ja Business noin $6,844 (€5,900) vuodessa, kumpikin 10 kontribuuttorilla, ja Enterprise hinnoitellaan tarjouksen mukaan. Kontribuuttori on kuka tahansa, joka on tehnyt commitin skannattuun repositorioon viimeisen 90 päivän aikana. Build Security ja Anomalies Detection ovat Enterprise-lisäosia.

Tarjoaako Xygeni CI-runnereita?

Ei. Xygeni integroituu käyttämiisi CI-järjestelmiin, kuten GitHubiin, GitLabiin, Jenkinsiin, Azure Pipelinesiin, Bitbucketiin, CircleCI:hin ja Travis CI:hin, ja lisää skannerinsa ja attestaatiovaiheensa putkiisi. CRACI on runneri: GitHub Actions -jobit ajetaan CRACI:lla, joka tallentaa, mitä kukin jobi haki, ja hallitsee, mihin se pääsee.

Mikä ero on Xygenillä ja CRACI:lla?

Xygeni on laaja AppSec-alusta, joka skannaa koodia, riippuvuuksia, salaisuuksia, IaC:ta ja putkien konfiguraatiota monissa CI-järjestelmissä. CRACI on GitHub Actions -runneri, joka tallentaa paketit, jotka kukin buildi todella haki, valvoo egress-käytäntöä ajon aikana ja valvoo jatkuvasti sitä, mitä toimitettiin. Xygeni on paljon laajempi; CRACI tallentaa itse buildin.

Voiko CRACI korvata Xygenin?

GitHub Actionsilla buildaamasi ohjelmiston build-näytön osalta kyllä: CRACI:n tallentama SBOM, alkuperätiedot ja haavoittuvuuksien valvonta kattavat sen tehtävän. CRACI ei korvaa Xygenin SAST:ia, salaisuuksien skannausta, IaC:ta, CI/CD:n tietoturvatilan tarkistuksia, haittaohjelmien tunnistusta tai reachability-analyysia, ja se ajaa nyt vain GitHub Actionsia, ja GitLab CI ja Jenkins ovat tiekartalla.