CRACI vs Endor Labs

En bref

Endor Labs est une plateforme de sécurité applicative construite autour de l'atteignabilité. Elle analyse votre code source et vos dépendances pour déterminer quelles vulnérabilités connues votre application peut appeler, puis vous aide à corriger celles-là en premier. Elle couvre aussi le code propriétaire, les secrets, les conteneurs et les paquets malveillants.

CRACI est un runner CI pour GitHub Actions. Vos jobs s'exécutent dessus et, pendant ce temps, il enregistre chaque dépendance externe qu'ils récupèrent et contrôle ce qu'ils peuvent joindre sur le réseau. Endor Labs vous dit quels résultats comptent. CRACI vous donne un enregistrement de ce qui est entré dans chaque release. Les deux se complètent sans se chevaucher sur leur cœur de métier.

En un coup d'œil

Ce qu'Endor Labs fait bien

L'atteignabilité est son principal argument. Endor Labs utilise l'analyse statique de programme pour réaliser une analyse d'atteignabilité au niveau des fonctions sur les dépendances directes et transitives, en traçant les chemins de code depuis votre source jusqu'à la fonction vulnérable. Lorsqu'un build complet n'est pas possible, l'atteignabilité au niveau des dépendances et l'atteignabilité précalculée offrent des alternatives plus grossières. Endor Labs affirme que cela réduit les résultats SCA de 92 % en écartant les vulnérabilités qui ne peuvent pas être appelées dans votre code. Pour une équipe submergée par les alertes de dépendances, c'est le soulagement le plus direct qui soit.

La correction est aussi un point fort. L'analyse d'impact des mises à niveau recherche les changements cassants avant la mise à niveau et attribue un risque de remédiation, des pull requests automatisées portent la mise à niveau, et les Endor Patches rétroportent un correctif de sécurité amont vers la version que vous utilisez déjà lorsqu'une mise à niveau n'est pas envisageable.

Au-delà des dépendances open source, la plateforme inclut AI SAST, la détection de secrets, le scan de conteneurs, la détection de paquets malveillants et un Package Firewall qui se place comme proxy entre votre dépôt d'artefacts et les registres publics. Son SBOM Hub génère et importe des SBOM CycloneDX et SPDX, produit des documents VEX fondés sur l'atteignabilité et continue de mettre à jour le risque à mesure que de nouvelles vulnérabilités sont publiées. Endor Labs s'intègre à GitHub Actions, GitLab, Jenkins, CircleCI, Buildkite et Bitbucket, et les langages pris en charge incluent C et C++, Java, Go, Rust, Python et JavaScript.

CRACI ne fait rien de ce travail d'atteignabilité, de SAST, de scan de secrets ou de conteneurs. Si vous en avez besoin, gardez Endor Labs ou un outil similaire.

Ce qui distingue CRACI

Le build est la source de vérité

Endor Labs traite le code source comme la référence de son inventaire, ce qui permet de repérer des dépendances directes, transitives et fantômes qu'un manifeste seul manquerait. CRACI part d'un autre endroit : le build lui-même. Un proxy qui comprend les paquets, sur le runner, observe le trafic vers les sources de paquets pendant l'exécution du job, pour npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk et les sources Git, ainsi que les presets de téléchargement. Les preuves suivent les caches CI : un paquet restauré depuis un cache reste donc comptabilisé. Comme le runner voit le trafic, les dépendances amenées par des scripts d'installation ou des étapes de téléchargement sont observées elles aussi, et pas seulement celles que nomme un manifeste.

Chaque SBOM porte un état de complétude par job et par cache : Complete, Complete with connections, Incomplete, Unavailable ou Not recorded. Lorsque l'enregistrement présente une lacune, vous en êtes informé.

Le contrôle de ce que le build peut joindre

Comme CRACI est le runner, vous pouvez définir une politique de trafic sortant pour chaque job : refus ou autorisation par défaut, avec 24 presets de sources logicielles intégrés et des sources personnalisées typées pour les registres et Git. Les politiques sont validées avant le démarrage du job et bloquent tout en cas d'échec. Le Package Firewall d'Endor Labs filtre les paquets qui entrent par votre dépôt d'artefacts. La politique de CRACI limite chaque connexion établie par le build. Ce sont des couches différentes, qui se cumulent bien.

Provenance et surveillance de ce qui a été livré

Endor Labs signe les artefacts ; pas CRACI. Les données de CRACI proviennent du runner qui a observé le build, et l'API renvoie les SBOM, les traces réseau et la provenance. CRACI agrège les vulnérabilités de l'ensemble des builds et des dépôts et continue de réévaluer les SBOM surveillées.

Un inventaire de ce qui est déployé et où

La vue d'inventaire de CRACI montre précisément quelles versions logicielles sont déployées dans quels produits, à l'échelle mondiale. Lorsqu'une nouvelle vulnérabilité apparaît, vous voyez quels produits exécutent la version concernée, au lieu de reconstituer l'information à partir de notes de version et de tableurs.

Lequel choisir

• Votre problème est le volume d'alertes : commencez par Endor Labs. L'atteignabilité et l'analyse d'impact des mises à niveau visent exactement cela.
• Votre problème est de prouver ce que contient une release : CRACI l'enregistre à partir du build.
• Vous vous inquiétez de ce que les builds peuvent télécharger : la politique de trafic sortant de CRACI limite le runner, et le Package Firewall d'Endor Labs filtre les paquets. Utilisez les deux si le risque est élevé.
• Vous utilisez GitLab, Jenkins ou CircleCI : Endor Labs les couvre aujourd'hui. CRACI ne prend en charge que GitHub Actions : ces pipelines devraient donc passer sur GitHub Actions pour s'exécuter sur CRACI. GitLab CI et Jenkins figurent sur la roadmap.

Pour le Cyber Resilience Act

Endor Labs cite le Cyber Resilience Act de l'UE parmi les exigences de preuves prises en charge par SBOM Hub, et sa sortie VEX aide à expliquer pourquoi une vulnérabilité n'affecte pas un produit. CRACI automatise une part importante de la visibilité sur la chaîne d'approvisionnement logicielle et des preuves dont les entreprises ont besoin pour leur démarche plus large de conformité au CRA : SBOM au build avec complétude indiquée, données de provenance, suivi continu des vulnérabilités et export des SBOM en CycloneDX ou SPDX. Aucun des deux outils ne rend un produit conforme à lui seul. En savoir plus sur ce qu'est le CRA et la conformité au CRA.

Ajouter CRACI à côté d'Endor Labs

Rien ne doit changer dans votre configuration Endor Labs. Installez la GitHub App CRACI, puis remplacez runs-on par craci dans les workflows que vous voulez enregistrer. Les exécutions apparaissent toujours dans l'interface GitHub, et une étape endorctl s'exécute sur un runner CRACI comme n'importe quelle autre étape. En savoir plus sur la génération de SBOM au build et l'intégration CI/CD.