CRACI vs OX Security

La risposta breve

OX Security è una piattaforma di application security posture management (ASPM) con scanner propri (SAST, SCA, secret, IaC e container), aggregazione di risultati di terze parti, policy di postura CI/CD e contesto di runtime e cloud. Per la sicurezza della supply chain offre la Pipeline Bill of Materials (PBOM): un record firmato di come è stato compilato ogni artefatto, dal commit attraverso la CI/CD fino alla produzione.

CRACI compete per lo stesso budget di supply chain. La differenza è il punto di osservazione. OX si collega ai sistemi di controllo del codice sorgente, ai sistemi CI e ai registry che Lei già usa e costruisce il suo quadro a partire da questi. CRACI è il runner di build per GitHub Actions: registra ciò che ogni job ha effettivamente scaricato, applica una policy di egress durante l'esecuzione, monitora ciò che è stato distribuito e produce evidenze per il CRA. OX è molto più ampio; CRACI è la build stessa.

In sintesi

Che cosa fa bene OX Security

• Un record di build che va oltre la SBOM. La PBOM di OX acquisisce definizioni delle pipeline, identità del runner, argomenti di build, firme degli artefatti e discendenza delle versioni, e OX afferma che contiene ogni componente open source risolto in ciascuna build. È firmata per ogni build. OX genera anche SBOM in SPDX e CycloneDX.
• Postura CI/CD. Le policy di OX segnalano file di workflow non sicuri, action di terze parti non fissate, comandi GitHub Actions deprecati, permessi di workflow eccessivi, secret in chiaro e webhook rischiosi, e possono segnalare i sistemi CI non approvati per le build.
• Applicazione nella pipeline. La GitHub Action OX Security Scan esegue scansioni di secret, SAST, SCA e IaC e fa fallire il workflow quando trova un problema bloccante secondo le Sue policy OX.
• Aggregazione. OX raccoglie i risultati di scanner come Checkmarx, Veracode, SonarQube, Snyk, Black Duck e JFrog Xray, insieme ai propri.
• Ampia copertura delle integrazioni. Sul lato CI elenca GitHub Actions, GitLab CI/CD, Jenkins, Azure Pipelines, CircleCI e Drone CI, oltre a otto sistemi di controllo del codice sorgente e dieci registry di container.
• Funzionalità per l'era dell'AI. OX VibeSec copre il codice e le dipendenze generati dall'AI con un'AI Bill of Materials, e la remediation AI suggerisce correzioni del codice nelle pull request e nell'IDE.

In che cosa CRACI è diverso

Registrato dal runner, non raccolto da strumenti collegati

La documentazione di OX afferma che la sua SBOM raccoglie dati da sorgenti collegate, tra cui controllo del codice sorgente, pipeline CI/CD, immagini container e file importati. Questo offre una vista ampia sul Suo intero parco software. CRACI adotta una vista più ristretta e più profonda di ogni build: un proxy che riconosce i pacchetti osserva il traffico verso le sorgenti dei pacchetti mentre il job è in esecuzione, su npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download. Le evidenze sulle dipendenze viaggiano con le cache CI, quindi anche un pacchetto ripristinato da una cache viene conteggiato.

Ogni SBOM di CRACI riporta uno stato di completezza per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Quando il record ha una lacuna, lo dichiara.

Controllo durante l'esecuzione della build

Le policy di postura di OX verificano come è configurata una pipeline. CRACI limita ciò che la build può raggiungere. Le policy di egress prevedono negazione o autorizzazione predefinita, con 24 preset integrati di sorgenti software, sorgenti personalizzate tipizzate per npm, PyPI, apt, apk, il proxy Go, Nix, Cargo, registry OCI e Git, e regole esplicite per TLS, TCP, UDP e ICMP. Le policy vengono convalidate prima dell'avvio del job e operano in modalità fail closed, e CRACI può avvisarLa in caso di violazione.

Provenance e monitoraggio da un unico record

L'API restituisce SBOM, tracce di rete e provenance. CRACI non firma la provenance e non dichiara alcun livello SLSA. Continua a rivalutare le SBOM di ciò che Lei ha distribuito man mano che vengono pubblicate nuove vulnerabilità.

Un inventario di che cosa è distribuito e dove

La vista inventario di CRACI mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale. Quando arriva una nuova vulnerabilità, può vedere quali prodotti eseguono la versione interessata invece di ricostruirlo da note di rilascio e fogli di calcolo.

Dove OX è più avanti

Per dirlo chiaramente: CRACI non offre scansione SAST, di secret, IaC o di container, né controlli di postura CI/CD, né aggregazione di scanner di terze parti, né contesto di runtime o cloud. I policy gate di CRACI possono bloccare una build in base ai risultati, ma oggi CRACI supporta solo GitHub Actions, con GitLab CI e Jenkins in roadmap. Se Le serve un'unica piattaforma che copra ogni pipeline e scanner che utilizza, OX copre molto di più.

Quale scegliere

OX Security è più adatto quando

• Vuole un'unica piattaforma ASPM che aggreghi molti scanner e dia priorità ai risultati di tutti.
• Le servono policy di postura CI/CD su GitLab, Jenkins, Azure Pipelines o CircleCI.
• Vuole bloccare già oggi le pull request in base ai risultati su codice, secret e IaC.

CRACI è più adatto quando

• Compila su GitHub Actions e vuole runner, policy di egress e record delle dipendenze in un unico posto.
• Le serve una SBOM di ciò che ogni build ha scaricato, con uno stato di completezza da mostrare a un auditor.
• Vuole il monitoraggio di ciò che è stato distribuito e le evidenze per il CRA dallo stesso record.

Usarli entrambi

CRACI sostituisce il runner, non GitHub Actions, quindi l'action OX Security Scan gira su un runner CRACI come qualsiasi altro step. OX può importare SBOM in formato CycloneDX, quindi CRACI può fornire la SBOM registrata dalla build come base di lavoro per OX.

Per il Cyber Resilience Act

Il Cyber Resilience Act chiede ai fabbricanti di conoscere i componenti di ogni prodotto, di gestirne le vulnerabilità e di conservare le evidenze. Le SBOM, la PBOM e le policy di postura di OX supportano lo sviluppo sicuro e un inventario sul Suo intero parco software. CRACI automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno nel loro più ampio processo di conformità al CRA: SBOM in fase di build esportate in CycloneDX o SPDX, tracciamento delle vulnerabilità e provenance tramite l'API. Nessuno dei due strumenti da solo La rende conforme. Veda le evidenze per il CRA e la conformità al CRA.

Aggiungere CRACI

Installi la GitHub App di CRACI nella Sua organizzazione, poi cambi l'etichetta del runner di un job in runs-on: craci. Le esecuzioni continuano a comparire nell'interfaccia di GitHub. Inizi con un workflow che produce un artefatto di release e confronti la SBOM di CRACI con quella che OX mostra per lo stesso repository. Scopra di più sull'integrazione CI/CD, sulla generazione di SBOM in fase di build e sui prezzi.

Sta valutando più di due strumenti? Alternative a OX Security mette a confronto nove opzioni fianco a fianco.