CRACI vs Mend.io

La risposta breve

Mend.io è una piattaforma di application security. Mend AppSec abbina Mend SAST per il Suo codice a Mend SCA per dipendenze open source e container, e Mend Renovate mantiene aggiornate le dipendenze con pull request automatizzate. CRACI è un runner CI compatibile con GitHub Actions che registra ogni dipendenza esterna scaricata da una build e produce la SBOM, la provenance e le evidenze di conformità da quella registrazione. Mend è uno scanner. CRACI è un registratore. Se oggi usa Mend, CRACI aggiunge un livello invece di sostituirne uno.

In sintesi

Che cosa fa bene Mend.io

Dare priorità a ciò che è raggiungibile. Mend SCA segue il grafo delle chiamate dal Suo codice attraverso le dipendenze dirette e transitive per stabilire se la Sua applicazione invoca davvero una funzione vulnerabile. Questo riduce l'elenco dei risultati su cui un team deve intervenire. CRACI aggrega le vulnerabilità tra build e repository, ma non esegue analisi di raggiungibilità.

Il codice oltre alle dipendenze. Mend SAST copre più di 30 linguaggi, e la Mend CLI scansiona componenti open source, codice personalizzato, immagini container e infrastructure as code. CRACI non fa nulla di tutto ciò.

Mantenere aggiornate le dipendenze. Mend Renovate apre pull request per i pacchetti obsoleti su 90+ package manager. La Renovate CLI e le edizioni Community sono gratuite; Enterprise aggiunge funzionalità di sicurezza e supporto.

Licenze, pacchetti malevoli e SBOM. Mend SCA rileva le licenze delle dipendenze dirette e transitive e applica policy, come il blocco di AGPL nei prodotti commerciali. Segnala typosquat, dependency confusion e pacchetti con backdoor o codice di esfiltrazione dei dati. Produce SBOM SPDX e CycloneDX, acquisisce SBOM di terze parti e applica dati VEX.

In che cosa CRACI è diverso

Osservazione invece di ricostruzione

La stessa documentazione di Mend raccomanda di scansionare dopo lo step di build, perché è la build a dare allo scanner accesso a registry privati e artefatti esterni, e scansionare senza compilare può dare risultati imprecisi. L'intuizione è giusta. CRACI fa un passo in più: invece di leggere il progetto a build terminata, registra la build stessa.

Un proxy che riconosce i pacchetti, sul runner CRACI, osserva il traffico verso le sorgenti dei pacchetti durante l'esecuzione del job, per npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download. Le evidenze sulle dipendenze viaggiano con le cache CI, quindi anche i pacchetti ripristinati da una cache vengono conteggiati. Ogni SBOM dichiara la propria completezza per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded.

Controllo sulla rete della build

Poiché CRACI esegue il job, può limitare dove il job si collega. Le policy di egress sono a negazione o autorizzazione predefinita, con 24 preset integrati di sorgenti software e sorgenti personalizzate tipizzate per npm, PyPI, apt, apk, il proxy Go, Nix, Cargo, registry OCI e Git. Vengono validate prima dell'avvio del job e operano in modalità fail closed. Mend rileva un pacchetto malevolo una volta che è nel Suo albero delle dipendenze. Una policy di egress limita fin dall'inizio le sorgenti che una build può raggiungere. I due livelli agiscono in momenti diversi.

Evidenze dalla build

L'API restituisce SBOM, tracce di rete e provenance. CRACI non firma la provenance.

Un inventario di ciò che è distribuito e dove

La vista inventario di CRACI mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale. Quando arriva una nuova vulnerabilità, Lei può vedere quali prodotti eseguono la versione interessata, invece di ricostruirlo da note di rilascio e fogli di calcolo.

Quale scegliere

• Il Suo problema principale è un backlog di risultati nel codice e nelle dipendenze. Mend, con SAST, raggiungibilità e Renovate, è costruito per questo.
• Deve dimostrare che cosa è entrato in ogni release. CRACI lo registra per ogni build e dichiara quanto è completa la registrazione.
• Le Sue build fanno più che installare da un lockfile. Download di toolchain, immagini base e download con curl sono i casi in cui l'osservazione aggiunge di più.
• Le Sue pipeline sono su Azure DevOps, Bitbucket o CircleCI. Oggi Mend è adatto, mentre CRACI supporta solo GitHub Actions, con GitLab CI e Jenkins in roadmap.

Per il Cyber Resilience Act

Mend.io pubblica una guida alla conformità al CRA e una pagina sulla conformità che mappa i suoi prodotti sul regolamento: Mend AppSec per le SBOM CycloneDX e SPDX e la prioritizzazione basata sulla raggiungibilità, Mend Renovate per la gestione continua delle vulnerabilità tramite gli aggiornamenti delle dipendenze, e la conformità delle licenze documentata accanto alla postura di sicurezza.

CRACI contribuisce con evidenze dalla build: una SBOM per ogni release con la completezza dichiarata, provenance, monitoraggio continuo ed esportazione delle SBOM in CycloneDX o SPDX. Automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno per il loro più ampio processo di conformità al CRA. Nessun singolo strumento rende conforme un prodotto. Veda la conformità al CRA e che cos'è il CRA.

Aggiungere CRACI accanto a Mend.io

CRACI sostituisce il runner, non GitHub Actions. Cambi runs-on in craci in un workflow e le esecuzioni continuano a comparire nell'interfaccia di GitHub. Il Suo step Mend CLI resta dov'è, dopo la build. Esegua una pipeline di release su CRACI e confronti la sua SBOM con l'inventario di Mend per lo stesso commit.