CRACI vs Sonatype

La risposta breve

Il punto di forza di Sonatype è la governance dell'open source: policy che decidono quali componenti sono ammessi, un firewall che ferma i pacchetti dannosi al repository e un'analisi che Le dice che cosa è finito nella Sua applicazione. CRACI è un runner CI compatibile con GitHub Actions che registra ogni dipendenza esterna scaricata da una build e produce da quel record la SBOM, la provenance e le evidenze di conformità. Sonatype è uno scanner e un guardiano. CRACI è un registratore, i cui policy gate possono anche bloccare una build in base ai risultati. La maggior parte dei team che ha bisogno di entrambi li userebbe fianco a fianco.

Che cosa fa ciascun prodotto Sonatype

Sonatype vende diversi prodotti, e i nomi contano per questo confronto:

• Sonatype Lifecycle è il prodotto di software composition analysis (SCA) e policy, disponibile self-hosted o in SaaS.
• Sonatype Repository Firewall blocca e mette in quarantena i componenti che non rispettano le Sue policy prima che entrino nei Suoi repository. È progettato per Sonatype Nexus Repository. Sonatype Firewall Pro copre altri gestori di repository, come JFrog Artifactory, Cloudsmith e GitHub Packages, per npm, Maven, PyPI e NuGet.
• Sonatype SBOM Manager importa, monitora e condivide SBOM, con un workflow VEX.

L'offerta sta cambiando. La pagina dei prezzi di Sonatype afferma che tutte le funzionalità di Lifecycle sono ora incluse in Sonatype Guide, che i nuovi clienti acquistano Guide per SCA e governance e che Guide include anche le funzionalità di conformità di SBOM Manager.

In sintesi

Che cosa fa bene Sonatype

Policy su larga scala. Lifecycle include 18 policy predefinite e più di 30 vincoli personalizzabili che coprono regole di sicurezza, legali e di architettura. Le policy sulle licenze coprono più di 2.000 licenze open source. Prioritizza i risultati con dati su raggiungibilità, breaking change e disponibilità di aggiornamenti, e può aprire Golden Pull Requests con gli aggiornamenti suggeriti.

Esaminare ciò che la build ha prodotto. Le integrazioni di Lifecycle usano per impostazione predefinita Advanced Binary Fingerprinting, che esamina tutto ciò che è incluso nell'applicazione dopo la build, comprese le dipendenze incorporate, e può identificare componenti rinominati o modificati. Solo dopo ripiega su lockfile e manifest. Ogni report di scansione può essere esportato come SBOM CycloneDX o SPDX.

Fermare i pacchetti dannosi all'ingresso. Repository Firewall applica i Suoi standard di sicurezza, licenza e qualità nel momento del download e mette in quarantena i componenti sospetti. Oggi CRACI non ha un equivalente: il blocco dei pacchetti è nella sua roadmap.

Adattarsi a qualsiasi pipeline. Sonatype si integra con Jenkins, GitHub Actions, GitLab CI, Azure DevOps e Bamboo, oltre a Maven, Gradle e una CLI per altri server CI. Oggi CRACI supporta solo GitHub Actions, con GitLab CI e Jenkins in roadmap.

In che cosa CRACI è diverso

Registra la build invece di analizzarne l'output

Il fingerprinting dei binari Le dice che cosa c'è all'interno dell'applicazione finita. Non Le dice che cosa la build ha scaricato lungo il percorso: compilatori e toolchain, script di installazione, immagini base, binari di release recuperati con curl o pacchetti ripristinati da una cache. CRACI li vede perché è il runner. Un proxy che riconosce i pacchetti osserva il traffico verso le sorgenti dei pacchetti durante l'esecuzione del job, su npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di sorgenti o di download. Le evidenze sulle dipendenze viaggiano con le cache CI, quindi anche i pacchetti in cache vengono conteggiati.

Ogni SBOM dichiara la propria completezza, per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Quando il record ha una lacuna, Lei lo sa.

Controlla dove può arrivare la build

Repository Firewall governa ciò che passa attraverso il repository. Una policy di egress di CRACI governa che cosa la build può raggiungere in assoluto. Le policy prevedono negazione o autorizzazione predefinita, con 24 preset integrati di sorgenti software e sorgenti personalizzate tipizzate per npm, PyPI, apt, apk, il proxy Go, Nix, Cargo, registry OCI e Git. Vengono convalidate prima dell'avvio del job e operano in modalità fail closed. Insieme, i due Le consentono di assicurarsi che i job di build scarichino pacchetti solo dalle sorgenti approvate e che quelle sorgenti forniscano solo i pacchetti che Lei ammette.

Continua a sorvegliare ciò che è stato distribuito

L'API restituisce SBOM, tracce di rete e provenance. CRACI non firma la provenance. CRACI aggrega le vulnerabilità tra build e repository e continua a rivalutare le SBOM monitorate.

Un inventario di che cosa è distribuito e dove

La vista inventario di CRACI mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale. Quando arriva una nuova vulnerabilità, può vedere quali prodotti eseguono la versione interessata invece di ricostruirlo da note di rilascio e fogli di calcolo.

Quando usarli entrambi

• Usa già Nexus Repository con Firewall. Lo mantenga come punto di controllo. Aggiunga CRACI così che ogni build abbia un record di ciò che ha scaricato e una policy di egress che mantiene le build sulle sorgenti approvate.
• Il Suo team legale si affida alle policy sulle licenze di Lifecycle. Le mantenga. CRACI include i metadati delle licenze dichiarate nella sua esportazione SBOM e applica anch'esso una policy sulle licenze.
• Raccoglie le SBOM in SBOM Manager. SBOM Manager importa CycloneDX e SPDX, gli stessi formati che CRACI esporta, quindi le SBOM in fase di build possono stare accanto a quelle che già gestisce.
• Le Sue pipeline sono su Jenkins o Azure DevOps. Oggi la scelta adatta è Sonatype. Con CRACI occorrerebbe prima portare quelle pipeline su GitHub Actions; Jenkins è nella roadmap di CRACI.

Per il Cyber Resilience Act

Sonatype pubblica una guida utente al CRA e una checklist CRA, e posiziona SBOM Manager come il suo prodotto per il CRA. La sua guida mette in evidenza la generazione di file VEX per riferire sulle vulnerabilità note nelle SBOM, e Nexus Repository come sito di aggiornamento per distribuire gli aggiornamenti di sicurezza.

CRACI copre il lato delle evidenze a partire dalla build: una SBOM per ogni release con la completezza dichiarata, provenance, monitoraggio continuo delle vulnerabilità ed esportazione delle SBOM in CycloneDX o SPDX. Automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno nel loro più ampio processo di conformità al CRA. Nessuno dei due strumenti da solo rende conforme un prodotto. Veda la conformità al CRA e che cos'è il CRA.

Aggiungere CRACI accanto a Sonatype

CRACI sostituisce il runner, non GitHub Actions. Cambi runs-on in craci in un workflow, e le esecuzioni continuano a comparire nell'interfaccia di GitHub. I Suoi step Sonatype restano nel workflow. Inizi con una pipeline di release, confronti la SBOM di CRACI con il Suo report Lifecycle e osservi ciò che solo uno dei due ha visto.