CRACI vs Endor Labs

La risposta breve

Endor Labs è una piattaforma di application security costruita attorno alla raggiungibilità. Analizza il Suo codice sorgente e le Sue dipendenze per stabilire quali vulnerabilità note la Sua applicazione può chiamare, poi La aiuta a correggere prima quelle. Copre anche il codice scritto internamente, i secret, i container e i pacchetti malevoli.

CRACI è un runner CI per GitHub Actions. I Suoi job girano su di esso e, durante l'esecuzione, registra ogni dipendenza esterna che scaricano e controlla che cosa possono raggiungere in rete. Endor Labs Le dice quali risultati contano. CRACI Le fornisce una registrazione di ciò che è entrato in ogni release. I due si integrano senza sovrapporsi nelle loro funzioni principali.

In sintesi

Che cosa fa bene Endor Labs

La raggiungibilità è il punto di forza. Endor Labs usa l'analisi statica del programma per eseguire un'analisi di raggiungibilità a livello di funzione sulle dipendenze dirette e transitive, seguendo i percorsi di codice dai Suoi sorgenti alla funzione vulnerabile. Dove una build completa non è possibile, la raggiungibilità a livello di dipendenza e quella precalcolata offrono alternative meno precise. Endor Labs afferma che questo riduce i risultati SCA del 92%, filtrando le vulnerabilità non richiamabili nel Suo codice. Per un team sommerso dagli avvisi sulle dipendenze, è il sollievo più diretto disponibile.

Anche sul fronte delle correzioni è forte. L'analisi dell'impatto degli aggiornamenti cerca modifiche incompatibili prima dell'aggiornamento e assegna un rischio di remediation, pull request automatizzate portano l'aggiornamento ed Endor Patches esegue il backport di una correzione di sicurezza upstream sulla versione che Lei già usa quando un aggiornamento non è praticabile.

Oltre alle dipendenze open source, la piattaforma include AI SAST, rilevamento di secret, scansione dei container, rilevamento di pacchetti malevoli e un Package Firewall che si colloca come proxy tra il Suo repository di artefatti e i registry pubblici. Il suo SBOM Hub genera e importa SBOM CycloneDX e SPDX, produce documenti VEX basati sulla raggiungibilità e continua ad aggiornare il rischio man mano che vengono pubblicate nuove vulnerabilità. Endor Labs si integra con GitHub Actions, GitLab, Jenkins, CircleCI, Buildkite e Bitbucket, e i linguaggi supportati includono C e C++, Java, Go, Rust, Python e JavaScript.

CRACI non svolge alcuna attività di raggiungibilità, SAST, secret o scansione dei container. Se Le serve, tenga Endor Labs o uno strumento simile.

In che cosa CRACI è diverso

La build è la fonte di verità

Endor Labs considera il codice sorgente la base di verità per il suo inventario, il che intercetta dipendenze dirette, transitive e fantasma che un manifest da solo non vedrebbe. CRACI parte da un altro punto: la build stessa. Un proxy sul runner che riconosce i pacchetti osserva il traffico verso le sorgenti dei pacchetti durante l'esecuzione del job, per npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download. Le evidenze viaggiano con le cache CI, quindi anche un pacchetto ripristinato da una cache viene conteggiato. Poiché il runner vede il traffico, vengono osservate anche le dipendenze scaricate da script di installazione o step di download, non solo quelle indicate in un manifest.

Ogni SBOM riporta uno stato di completezza per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Quando la registrazione ha una lacuna, Lei viene informato.

Controllo su ciò che la build può raggiungere

Poiché CRACI è il runner, Lei può impostare una policy di egress per ogni job: negazione o autorizzazione predefinita, con 24 preset integrati di sorgenti software e sorgenti personalizzate tipizzate per registry e Git. Le policy vengono validate prima dell'avvio del job e operano in modalità fail closed. Il Package Firewall di Endor Labs filtra i pacchetti che entrano attraverso il Suo repository di artefatti. La policy di CRACI limita ogni connessione effettuata dalla build. Sono livelli diversi e funzionano bene insieme.

Provenance e monitoraggio di ciò che è stato distribuito

Endor Labs firma gli artefatti; CRACI no. I dati di CRACI provengono dal runner che ha osservato la build, e l'API restituisce SBOM, tracce di rete e provenance. CRACI aggrega le vulnerabilità tra build e repository e continua a rivalutare le SBOM monitorate.

Un inventario di ciò che è distribuito e dove

La vista inventario di CRACI mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale. Quando arriva una nuova vulnerabilità, Lei può vedere quali prodotti eseguono la versione interessata, invece di ricostruirlo da note di rilascio e fogli di calcolo.

Quale scegliere

• Il Suo problema è il volume degli avvisi: inizi con Endor Labs. La raggiungibilità e l'analisi dell'impatto degli aggiornamenti puntano esattamente a questo.
• Il Suo problema è dimostrare che cosa c'è in una release: CRACI lo registra dalla build.
• La preoccupa ciò che le build possono scaricare: la policy di egress di CRACI limita il runner, e il Package Firewall di Endor Labs filtra i pacchetti. Usi entrambi se il rischio è elevato.
• Usa GitLab, Jenkins o CircleCI: Endor Labs oggi li copre. CRACI supporta solo GitHub Actions, quindi quelle pipeline dovrebbero passare a GitHub Actions per girare su CRACI. GitLab CI e Jenkins sono in roadmap.

Per il Cyber Resilience Act

Endor Labs indica il Cyber Resilience Act dell'UE tra i requisiti di evidenza supportati da SBOM Hub, e il suo output VEX aiuta a spiegare perché una vulnerabilità non riguarda un prodotto. CRACI automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno per il loro più ampio processo di conformità al CRA: SBOM in fase di build con completezza dichiarata, dati di provenance, tracciamento continuo delle vulnerabilità ed esportazione delle SBOM in CycloneDX o SPDX. Nessuno dei due strumenti rende conforme un prodotto da solo. Approfondisca con che cos'è il CRA e la conformità al CRA.

Aggiungere CRACI accanto a Endor Labs

La Sua configurazione di Endor Labs non deve cambiare in alcun modo. Installi la CRACI GitHub App, poi cambi runs-on in craci nei workflow che desidera registrare. Le esecuzioni continuano a comparire nell'interfaccia di GitHub, e uno step endorctl gira su un runner CRACI come qualsiasi altro step. Scopra di più sulla generazione di SBOM in fase di build e sull'integrazione CI/CD.