CRACI vs Checkmarx One

La réponse courte

Checkmarx One est une plateforme de sécurité applicative : analyse statique, analyse de la composition logicielle (SCA), détection des secrets, IaC, sécurité des API, sécurité des conteneurs, protection contre les paquets malveillants et gestion de la posture, au même endroit. CRACI est un runner CI compatible GitHub Actions qui enregistre chaque dépendance externe récupérée par un build, et produit à partir de cet enregistrement la SBOM, la provenance et les preuves de conformité. Checkmarx One est un scanner, doté de nombreux moteurs. CRACI est un enregistreur. Ils se recoupent sur les SBOM et le suivi des vulnérabilités, et sur peu d'autres choses.

En un coup d'œil

Les points forts de Checkmarx One

L'étendue. Checkmarx One couvre le code propriétaire (SAST), les secrets, l'infrastructure as code, les API, les conteneurs, les dépendances open source, la santé des dépôts et les composants d'IA, et rassemble les résultats dans sa couche ASPM. Si vous voulez un seul fournisseur pour les tests de sécurité applicative, CRACI n'est pas un substitut. Il ne teste pas du tout votre code.

Savoir quelles vulnérabilités comptent. Checkmarx SCA utilise l'analyse des chemins exploitables pour déterminer quelles classes ou fonctions vulnérables des bibliothèques tierces votre code est susceptible d'appeler. Il scanne les dépendances directes et transitives, paquets privés compris, sans limite de profondeur. Des politiques portant sur la sévérité, l'atteignabilité, le code malveillant et les licences peuvent envoyer des alertes, bloquer des pull requests et faire échouer des builds.

Les paquets malveillants. Checkmarx tient une vaste base de données propriétaire de paquets open source malveillants, couvrant le typosquatting, la confusion de dépendances et les comptes compromis, et peut bloquer un build automatiquement lorsque l'un d'eux apparaît dans votre arbre de dépendances.

SBOM et intégrations. Checkmarx One exporte des rapports SBOM en CycloneDX 1.7 ou SPDX 2.3, avec en option des données de tri VEX en CycloneDX, et peut importer des SBOM. Il propose des plugins pour Jenkins, TeamCity, GitHub Actions, Azure DevOps et Maven, et passe par sa CLI pour GitLab, Bitbucket Pipelines, CircleCI, Bamboo et AWS CodeBuild. Pour les projets Code Repository Integration, il peut ouvrir automatiquement une pull request avec des versions de paquets corrigées ; ses notes de version citaient les manifestes npm package.json au lancement.

Ce qui distingue CRACI

Ce que voit le scanner, et ce qu'a fait le build

La GitHub Action Checkmarx One encapsule la CLI Checkmarx, qui crée une archive zip de votre dépôt source et la téléverse pour le scan. SCA Resolver peut à la place extraire les dépendances et les empreintes sur site, avec vos propres gestionnaires de paquets, et les envoyer pour analyse sans votre code source. Dans les deux cas, l'analyse part du projet : son code, ses manifestes et l'arbre de dépendances qui en découle.

CRACI part du build. Il est le runner : un proxy qui comprend les paquets observe donc ce que le job télécharge réellement depuis les sources de paquets npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk et Git, ainsi que les presets de téléchargement. Cela inclut les toolchains, les images de base, les téléchargements de releases et les paquets restaurés depuis les caches CI. Chaque SBOM indique sa complétude par job et par cache : Complete, Complete with connections, Incomplete, Unavailable ou Not recorded.

Du contrôle, pas seulement de la détection

Comme le build s'exécute sur CRACI, vous pouvez lui appliquer une politique de trafic sortant : refus par défaut ou autorisation par défaut, 24 presets de sources logicielles intégrés, et des sources personnalisées typées pour npm, PyPI, apt, apk, le proxy Go, Nix, Cargo, les registres OCI et Git. Les politiques sont validées avant le démarrage du job et bloquent tout en cas d'échec. Checkmarx juge les paquets selon ce qu'ils sont. CRACI limite les sources auprès desquelles un build peut s'approvisionner. CRACI ne détecte pas les paquets malveillants par réputation : les deux couches se complètent donc.

Provenance et surveillance

L'API renvoie les SBOM, les traces réseau et la provenance. CRACI agrège les vulnérabilités de l'ensemble des builds et des dépôts et continue de réévaluer les SBOM surveillées.

Un inventaire de ce qui est déployé, et où

La vue d'inventaire de CRACI montre précisément quelles versions logicielles sont déployées dans quels produits, à l'échelle mondiale. Lorsqu'une nouvelle vulnérabilité apparaît, vous voyez quels produits exécutent la version concernée au lieu de le reconstituer à partir de notes de version et de tableurs.

Quand utiliser les deux

• Tests de sécurité et preuves de release. Checkmarx One dans les pull requests pour le code, les secrets, l'IaC et le risque lié aux dépendances. CRACI comme runner des builds de release, qui conserve la SBOM et les données de provenance de chaque build.
• Une défense de la chaîne d'approvisionnement en couches. La protection contre les paquets malveillants de Checkmarx signale les paquets dangereux. La politique de trafic sortant de CRACI maintient les builds sur des sources approuvées et enregistre chaque récupération.
• Les pipelines hors de GitHub Actions. Checkmarx One s'intègre aujourd'hui à Jenkins, TeamCity, Azure DevOps et GitLab. CRACI ne prend en charge que GitHub Actions aujourd'hui, avec GitLab CI et Jenkins sur la roadmap : ces pipelines devraient donc d'abord migrer.

Pour le Cyber Resilience Act

Checkmarx propose une évaluation CRA dans le cadre de son AppSec Program Maturity Assessment (APMA), qui mesure les pratiques de security by design et la gestion des vulnérabilités au regard des exigences du CRA pour les produits connectés. Son blog avance que l'AppSec devient la couche de mise en œuvre technique de la conformité au CRA, avec une attention particulière à la documentation des composants d'IA au moyen d'AI-BOM.

CRACI ajoute des preuves issues du build : ce qui est entré dans chaque release, le degré de complétude de l'enregistrement et une surveillance continue par la suite, avec des SBOM qui s'exportent en CycloneDX ou SPDX. Il automatise une part importante de la visibilité sur la chaîne d'approvisionnement logicielle et des preuves dont les entreprises ont besoin pour leur démarche plus large de conformité au CRA. Aucun des deux outils ne rend un produit conforme à lui seul. Voir la conformité au CRA et les preuves pour le CRA.

Ajouter CRACI à côté de Checkmarx One

CRACI remplace le runner, pas GitHub Actions. Remplacez runs-on par craci dans un workflow et les exécutions apparaissent toujours dans l'interface GitHub. La GitHub Action Checkmarx One reste une étape du workflow. Commencez par un pipeline de release et comparez la SBOM de CRACI avec le rapport SBOM de Checkmarx One pour le même commit.

Vous comparez plus de deux outils ? Alternatives à Checkmarx compare neuf options côte à côte.