CRACI vs Checkmarx One

La risposta breve

Checkmarx One è una piattaforma di sicurezza applicativa: analisi statica, software composition analysis (SCA), rilevamento dei segreti, IaC, sicurezza delle API, sicurezza dei container, protezione dai pacchetti malevoli e gestione della postura in un unico posto. CRACI è un runner CI compatibile con GitHub Actions che registra ogni dipendenza esterna scaricata da una build e produce da quella registrazione la SBOM, la provenance e le evidenze di conformità. Checkmarx One è uno scanner, con molti motori. CRACI è un registratore. Si sovrappongono su SBOM e monitoraggio delle vulnerabilità, e su poco altro.

In sintesi

Che cosa fa bene Checkmarx One

Ampiezza. Checkmarx One copre il codice proprietario (SAST), i segreti, l'infrastructure as code, le API, i container, le dipendenze open source, lo stato dei repository e i componenti AI, e riunisce i risultati nel suo livello ASPM. Se vuole un unico fornitore per i test di sicurezza applicativa, CRACI non è un sostituto. Non testa affatto il Suo codice.

Sapere quali vulnerabilità contano. Checkmarx SCA usa l'analisi exploitable path per determinare quali classi o funzioni vulnerabili delle librerie di terze parti il Suo codice può chiamare. Scansiona le dipendenze dirette e transitive, compresi i pacchetti privati, a profondità illimitata. Le policy su gravità, raggiungibilità, codice malevolo e licenze possono inviare avvisi, bloccare le pull request e interrompere le build.

Pacchetti malevoli. Checkmarx mantiene un ampio database proprietario di pacchetti open source malevoli, che copre typosquatting, dependency confusion e account compromessi, e può bloccare automaticamente una build quando uno di essi compare nel Suo albero delle dipendenze.

SBOM e integrazioni. Checkmarx One esporta report SBOM in CycloneDX 1.7 o SPDX 2.3, con dati di triage VEX opzionali in CycloneDX, e può importare SBOM. Ha plugin per Jenkins, TeamCity, GitHub Actions, Azure DevOps e Maven, e usa la sua CLI per GitLab, Bitbucket Pipelines, CircleCI, Bamboo e AWS CodeBuild. Per i progetti Code Repository Integration può aprire una pull request automatica con versioni dei pacchetti corrette; le sue note di rilascio indicavano al lancio i manifest npm package.json.

In che cosa CRACI è diverso

Ciò che vede lo scanner e ciò che ha fatto la build

La GitHub Action di Checkmarx One incapsula la CLI di Checkmarx, che crea un archivio zip del Suo repository dei sorgenti e lo carica per la scansione. In alternativa, SCA Resolver può estrarre dipendenze e fingerprint on-premise, con i Suoi package manager, e inviarli per l'analisi senza il Suo codice sorgente. In entrambi i casi, l'analisi parte dal progetto: il suo codice, i manifest e l'albero delle dipendenze che ne risulta.

CRACI parte dalla build. È il runner, quindi un proxy che riconosce i pacchetti osserva ciò che il job scarica effettivamente dalle sorgenti dei pacchetti: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download. Questo comprende toolchain, immagini base, download di release e pacchetti ripristinati dalle cache CI. Ogni SBOM indica la propria completezza per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded.

Controllo, non solo rilevamento

Poiché la build gira su CRACI, Lei può impostare una policy di egress: negazione o autorizzazione predefinita, 24 preset integrati di sorgenti software e sorgenti personalizzate tipizzate per npm, PyPI, apt, apk, il proxy Go, Nix, Cargo, registry OCI e Git. Le policy vengono convalidate prima dell'avvio del job e operano in modalità fail closed. Checkmarx giudica i pacchetti per ciò che sono. CRACI limita da dove una build può scaricare. CRACI non rileva i pacchetti malevoli in base alla reputazione, quindi i due livelli si completano a vicenda.

Provenance e monitoraggio

L'API restituisce SBOM, tracce di rete e provenance. CRACI aggrega le vulnerabilità di tutte le build e di tutti i repository e continua a rivalutare le SBOM monitorate.

Un inventario di che cosa è distribuito e dove

La vista inventario di CRACI mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale. Quando emerge una nuova vulnerabilità, Lei vede quali prodotti eseguono la versione interessata invece di ricostruirlo da note di rilascio e fogli di calcolo.

Quando usarli entrambi

• Test di sicurezza più evidenze di release. Checkmarx One nelle pull request per codice, segreti, IaC e rischio delle dipendenze. CRACI come runner per le build di release, con i dati di SBOM e provenance di ogni build.
• Difesa della supply chain a più livelli. La protezione dai pacchetti malevoli di Checkmarx segnala i pacchetti dannosi. La policy di egress di CRACI mantiene le build sulle sorgenti approvate e registra ogni download.
• Pipeline al di fuori di GitHub Actions. Checkmarx One si adatta già oggi a Jenkins, TeamCity, Azure DevOps e GitLab. Oggi CRACI supporta solo GitHub Actions, con GitLab CI e Jenkins in roadmap, quindi quelle pipeline dovrebbero prima essere migrate.

Per il Cyber Resilience Act

Checkmarx offre una valutazione CRA all'interno del suo AppSec Program Maturity Assessment (APMA), che misura le pratiche di security by design e la gestione delle vulnerabilità rispetto ai requisiti del CRA per i prodotti connessi. Il suo blog sostiene che l'AppSec sta diventando il livello di implementazione tecnica della conformità al CRA, con particolare attenzione alla documentazione dei componenti AI tramite AI-BOM.

CRACI aggiunge evidenze dalla build: che cosa è entrato in ogni release, quanto è completa la registrazione e il monitoraggio continuo successivo, con SBOM che si esportano in CycloneDX o SPDX. Automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno per il loro più ampio processo di conformità al CRA. Nessuno dei due strumenti rende conforme un prodotto da solo. Veda la conformità al CRA e le evidenze per il CRA.

Aggiungere CRACI accanto a Checkmarx One

CRACI sostituisce il runner, non GitHub Actions. Cambi runs-on in craci in un workflow e le esecuzioni continuano a comparire nell'interfaccia di GitHub. La GitHub Action di Checkmarx One resta nel workflow come step. Inizi con una pipeline di release e confronti la SBOM di CRACI con il report SBOM di Checkmarx One per lo stesso commit.

Sta valutando più di due strumenti? Alternative a Checkmarx mette a confronto nove opzioni.