Les outils de sécurité CI/CD comparés

Chaque comparatif indique ce que l'autre produit fait bien, en quoi CRACI diffère et quand utiliser les deux. Pour toutes les catégories, consultez tous les comparatifs.

Pourquoi le pipeline a besoin de ses propres outils de sécurité

Un pipeline CI/CD détient des identifiants, récupère du code sur Internet et produit les artefacts qu'exécutent vos clients. Cela en fait une cible à part entière. Un attaquant capable de modifier ce qu'un build télécharge, ou ce qu'il produit, n'a aucun besoin de toucher à votre code source. Les scanners de code n'ont pas été conçus pour cela, car ils lisent le dépôt, pas le build.

Les outils de sécurité CI/CD comblent cette lacune par différents côtés. Certains vérifient la configuration du pipeline, d'autres surveillent ce qui se passe sur le runner pendant l'exécution d'un job, et d'autres contrôlent le runner lui-même. Savoir à quel groupe appartient un outil en dit plus que sa liste de fonctionnalités, car cela détermine ce qu'il peut voir et ce qu'il peut arrêter.

Les types d'outils de sécurité CI/CD

Les scanners qui lisent votre code

L'analyse statique (SAST), le scan de secrets et l'analyse de la composition logicielle (SCA) lisent le dépôt : fichiers source, manifestes et lockfiles. GitHub Advanced Security, par exemple, associe le code scanning CodeQL au scan de secrets avec push protection, et aux alertes Dependabot issues de la GitHub Advisory Database. Ces outils trouvent les problèmes avant l'exécution d'un build. Ils ne voient pas ce que le build a réellement récupéré ni où il s'est connecté.

Les outils qui renforcent le pipeline autour du build

Les outils de posture et de gouvernance vérifient la configuration du pipeline. Cycode surveille les politiques de sécurité, les configurations et la gouvernance CI/CD. StepSecurity tient un inventaire des actions tierces que vous utilisez, avec des workflows d'approbation pour les nouvelles, et ouvre des pull requests qui épinglent les actions sur des SHA de commit et définissent des permissions GITHUB_TOKEN au moindre privilège. Ces outils rendent le pipeline plus difficile à détourner, mais ils agissent sur la définition du build plutôt que sur le build en cours d'exécution.

Les agents qui surveillent le runner

Les agents d'exécution tournent dans le job, sur les runners que vous gardez. StepSecurity Harden-Runner surveille les connexions sortantes, les processus et les écritures de fichiers, rattache chacun à l'étape du workflow qui l'a provoqué et peut bloquer le trafic sortant hors d'une liste d'autorisation. Cimon de Cycode surveille l'exécution des processus, le trafic réseau sortant et l'accès aux fichiers au niveau du noyau avec eBPF, produit une SBOM observée à l'exécution et signe la provenance SLSA. Les agents fonctionnent sur de nombreux systèmes CI et sur des runners hébergés, car ils s'ajoutent à une infrastructure qui existe déjà.

Les runners qui contrôlent et enregistrent le build

CRACI adopte la dernière approche : il remplace le runner. Les jobs s'exécutent sur CRACI avec runs-on: craci, et les exécutions apparaissent toujours dans GitHub. La politique de trafic sortant fait partie du runner, elle est validée avant le démarrage du job et bloque tout en cas d'échec. Un proxy qui comprend les paquets enregistre chaque paquet récupéré par le job, y compris ceux restaurés depuis les caches CI : chaque job produit donc une SBOM avec un état de complétude, une trace réseau et des données de provenance.

Côte à côte

« Non précisé » signifie que nous n'avons pas pu le confirmer sur les pages publiques de l'éditeur. Pour le détail de chaque colonne, consultez CRACI vs StepSecurity, CRACI vs Cycode et CRACI vs GitHub Advanced Security.

Quel outil couvre quel risque CI/CD

L'OWASP Top 10 CI/CD Security Risks est la liste la plus utilisée de ce qui peut mal tourner dans un pipeline. Ses dix risques sont :

1. CICD-SEC-1: Insufficient Flow Control Mechanisms
2. CICD-SEC-2: Inadequate Identity and Access Management
3. CICD-SEC-3: Dependency Chain Abuse
4. CICD-SEC-4: Poisoned Pipeline Execution (PPE)
5. CICD-SEC-5: Insufficient PBAC (Pipeline-Based Access Controls)
6. CICD-SEC-6: Insufficient Credential Hygiene
7. CICD-SEC-7: Insecure System Configuration
8. CICD-SEC-8: Ungoverned Usage of 3rd Party Services
9. CICD-SEC-9: Improper Artifact Integrity Validation
10. CICD-SEC-10: Insufficient Logging and Visibility

Aucun outil ne couvre les dix à lui seul. Voici les quatre auxquels s'appliquent les contrôles de CRACI :

Pour CICD-SEC-7, CRACI couvre le runner. La configuration de vos dépôts et de votre organisation GitHub reste à votre charge. Soyons clairs sur le reste : CRACI ne traite ni la gestion des identités et des accès (CICD-SEC-2) ni l'hygiène des identifiants (CICD-SEC-6), et il ne gouverne ni le contrôle des flux, ni les permissions du pipeline, ni les services tiers (CICD-SEC-1, 5 et 8). Le scan de secrets, comme Secret Protection de GitHub ou la détection de secrets de Cycode, et les outils de posture ci-dessus sont conçus pour cela.

Comment choisir un outil de sécurité CI/CD

• Remplacer vos runners ou les garder. Si vous voulez garder des runners hébergés par GitHub, des runners auto-hébergés ou un autre système CI, un agent est le moyen d'ajouter des contrôles à l'exécution. Si vous êtes prêt à changer de runner, un runner tel que CRACI apporte le contrôle du trafic sortant et un enregistrement du build sans agent à déployer.
• Le mode audit dès aujourd'hui. Harden-Runner et Cimon peuvent observer le trafic avant de bloquer quoi que ce soit. Le mode de surveillance ou dry-run de CRACI figure sur sa roadmap.
• Investigation au niveau des processus. Si vous devez savoir quel processus a écrit quel fichier pendant un incident, un agent qui surveille les processus et les fichiers le couvre. CRACI ne surveille ni les processus ni les écritures de fichiers.
• SBOM et preuves pour le CRA. Si vous avez besoin d'une SBOM de chaque build au niveau des paquets, de la provenance et de preuves pour le Cyber Resilience Act, regardez ce que chaque outil enregistre et s'il continue de surveiller ce qui a été livré. CRACI enregistre la SBOM pendant l'exécution du build, réévalue les SBOM surveillées à mesure que de nouvelles vulnérabilités apparaissent et exporte les SBOM en CycloneDX ou SPDX.
• Plateformes CI et systèmes d'exploitation. CRACI prend en charge GitHub Actions aujourd'hui, GitLab CI et Jenkins figurant sur la roadmap, et exécute Linux en x86-64 et ARM64, Windows et macOS figurant sur la roadmap. Si vous construisez sur d'autres systèmes CI ou avez besoin de runners Windows ou macOS dès maintenant, vérifiez d'abord la couverture des agents.
• Code et secrets. Les scanners de code source et de secrets couvrent un terrain qu'aucun runner ne couvre. CRACI ne fait ni SAST ni scan de secrets : prévoyez-les séparément.

Un agent sur le runner, ou le runner lui-même

Un agent s'ajoute à une infrastructure conçue par quelqu'un d'autre. Sur les runners hébergés par GitHub, il est installé par une étape au début de chaque job, et sa portée dépend de ce que cette infrastructure autorise. C'est ce qui permet aux agents de couvrir à la fois des runners hébergés, des parcs auto-hébergés et plusieurs systèmes CI, et c'est un réel avantage lorsque vos builds sont répartis sur tous ces environnements.

Un runner qui applique lui-même la politique fonctionne à l'inverse. Sur CRACI, la politique de trafic sortant est validée avant le démarrage du job, rejette les champs inconnus et bloque tout en cas d'échec : une politique qui ne peut pas être appliquée ne produit donc pas d'exécution non protégée. Ses sources sont typées par écosystème, avec 24 presets intégrés de sources logicielles et des sources personnalisées pour npm, PyPI, apt, apk, le proxy Go, Nix, Cargo, les registres OCI et Git : l'enregistrement porte donc sur des paquets, pas seulement sur des hôtes. Sur les jobs qui s'exécutent sur CRACI, celui-ci remplace les agents d'exécution au lieu de tourner à côté d'eux. Pour en savoir plus, consultez l'intégration CI/CD et la génération de SBOM au build, ou réservez une démo pour voir un job GitHub Actions s'exécuter sous une politique de trafic sortant.

CRACI comparé à chaque outil

• CRACI face à StepSecurity Un agent sur votre runner face au runner lui-même.

Côte à côte

Plusieurs outils sur une même page, lorsque vous choisissez une catégorie plutôt qu'un produit.

• Comparatif Outils de sécurité de la chaîne d'approvisionnement logicielle Apiiro, Cycode, OX, Legit, Socket, Chainguard, StepSecurity et d'autres.

Autres catégories

• Plateformes CI/CD et runners
• Analyse de la composition logicielle
• Sécurité de la chaîne d'approvisionnement logicielle
• Gestion des SBOM
• Conformité au CRA
• Sécurité embarquée et sécurité produit
• PSIRT et sécurité produit
• Open source et fait maison
• IA et sécurité