StepSecurityの代替ツール

CRACIを開発しているのは当社ですので、その点を踏まえてお読みください。各選択肢はそれぞれの公式ドキュメントに基づいて説明し、他のツールのほうが適している場合はそうお伝えします。

チームがStepSecurity以外を検討する理由

Harden-Runnerは、ジョブの最初のステップとして追加するエージェントです。外向きの接続、プロセス、ファイル書き込みをワークフローの各ステップに対応付け、監査モードでベースラインを作成し、許可リストにない宛先へのエグレスをブロックします。GitHubホステッドのLinuxランナーに完全対応し、WindowsとmacOSでは監査モードで動作します。

状況が変わったとき、チームは他の選択肢を検討します。

• エビデンス。記録するのは接続先であり、パッケージ単位のSBOMではありません。
• セットアップ。エージェントは、各ワークフローに追加するステップです。
• 料金。2026年9月時点で、Communityティアはパブリックリポジトリでは無料、Enterpriseはコントリビュートする開発者1人あたり月$16です。

選定のポイント

• ツールがランナー上のエージェントなのか、ランナーそのものなのか。
• エグレス制御と、ブロックする前に観察できるかどうか。
• 必要に応じて、プロセスとファイルの監視。
• ビルドのエビデンス：各ジョブが取得したもののパッケージ単位のSBOM。
• 対応するランナーとCIシステム。

選択肢

1. CRACI（当社製品）

CRACIは、お客様のランナー上で動くエージェントではなく、ランナーそのものです。エグレスポリシー（デフォルト拒否または許可）はジョブ開始前に検証され、フェイルクローズで動作します。ジョブの実行中、パッケージを認識するプロキシが取得したものを記録し、完全性の状態を持つSBOMを生成します。APIはSBOM、ネットワークトレース、来歴を返します。

最適な用途： ビルドの制御と記録を1か所で行いたいチーム。

検討すべきケース： ジョブをGitHub Actions向けのCRACIのLinuxランナーに移行できる場合。CRACIはプロセスやファイル書き込みを監視しません。ブロック前の監査モードはロードマップに掲載されています。

CRACIとStepSecurityの比較

2. Cycode Cimon

CycodeのCimonは、CIジョブ内で動作するeBPFエージェントです。プロセス、ネットワークのエグレス、ファイルアクセスを監視し、強制する前にパイプラインの通常の挙動を学習し、実行時に観測したSBOMを生成し、SLSAの来歴に署名します。CycodeはCimonが無料かつオープンソースであるとしており、Cycodeのより広範なアプリケーションセキュリティプラットフォームの一部となっています。

最適な用途： 複数のCIシステムにまたがり、自社で維持するランナー上でのビルド実行時保護。

CRACIとCycodeの比較

3. Namespace

Namespaceは自社で運用するハードウェア上でLinux、Windows、macOSのランナーを実行し、ランナープロファイルで選択します。キャッシュボリュームは実行をまたいでデータをローカルストレージに保持します。エグレスポリシーはブロックモードまたはアドバイザリーモードで動作し、アドバイザリーモードではブロックせずに判定を記録するため、実際のトラフィックから許可リストを作成できます。2026年9月時点で、2 vCPU・4 GBのLinuxランナーはプラン内で1分あたり$0.002、超過分は$0.003です。

最適な用途： キャッシュボリューム付きのLinux、Windows、macOSランナーを1社のベンダーで揃えること。

検討すべきケース： エグレスポリシーを強制する前に試行したい場合。

CRACIとNamespaceの比較

4. Depot

Depotは2〜64 vCPUのLinuxランナーと、全プランでWindowsとmacOSを提供し、分散キャッシュと連携しています。同社はランナーを「GitHubホステッドランナーより最大3倍高速」と説明しています。リモートDockerビルドサービスは永続的なレイヤーキャッシュを保持し、Linuxランナーはエグレスフィルタリングに対応し、Businessプランではランナーを自社のAWSアカウント内に置けます。2026年9月時点で、2 vCPUはプランの分数を超えた分について1分あたり$0.006で、秒単位で計測されます。

最適な用途： CI時間の大半をDockerイメージのビルドが占めるチーム。

検討すべきケース： Bazel、Gradle、Turborepoのリモートビルドキャッシュも必要な場合。

CRACIとDepotの比較

5. Actions Runner Controllerによるセルフホストランナー

Actions Runner Controller（ARC）は「GitHub Actions用のセルフホストランナーをオーケストレーションしスケールするKubernetesオペレーター」です。ランナースケールセットは実行中のワークフロー数に応じて増減し、ランナーをエフェメラルなコンテナにすることもできます。2026年9月時点でGitHubはセルフホスト利用に分単位の課金をしていませんが、OSとソフトウェアの責任はお客様にあり、GitHubはパブリックリポジトリでセルフホストランナーを使うことは原則として避けるべきだと警告しています。

最適な用途： 自社ネットワーク内や自社ハードウェア上で実行する必要があるジョブ。

検討すべきケース： すでにKubernetesを運用しており、その堅牢化と保守に時間を割ける場合。

マネージドランナーとセルフホストランナーの比較

一覧で比較

「記載なし」は、ベンダーの公開ページで確認できなかったことを意味します。

StepSecurityを使い続けるべき場合

• WindowsとmacOSを含め、GitHubホステッドランナーを使い続けたい。
• ブロックする前に、監査モードでトラフィックを観察したい。
• ネットワーク制御だけでなく、プロセスとファイルの監視が必要。
• GitLab CIやAzure DevOpsも運用している。

ランナーとビルドのセキュリティとCI/CD連携について詳しくはこちらをご覧ください。

StepSecurityの代替ツールに関するよくあるご質問

比較検討の際によく寄せられる質問への簡潔な回答

Harden-Runnerの無料の代替ツールはありますか？

CycodeによるとCimonは無料のオープンソースです。CIジョブ内のプロセス、エグレス、ファイルアクセスを監視するeBPFエージェントです。Harden-Runner自体も、GitHubホステッドランナー上のパブリックリポジトリでは無料で、コミュニティティアのエージェントはApache 2.0のオープンソースです。CRACIには無料ティアはありません。

Azure DevOpsでStepSecurityの代わりになるものは何ですか？

CRACIではありません。CRACIは現在GitHub Actionsのみに対応しており、GitLab CIとJenkinsはロードマップに掲載されています。CycodeはCimonが対応するCIシステムとしてAzure Pipelinesを挙げており、Harden-Runner自体もAzure DevOpsに対応しています。

CRACIにはエージェントが必要ですか？

いいえ。CRACIはランナーそのものなので、ワークフローに追加するエージェントも、運用するコントローラーもありません。runs-on: craciを設定するだけで、エグレスポリシーはジョブ開始前に検証され、フェイルクローズで動作します。

StepSecurityの料金はいくらですか？

2026年9月時点で、CommunityティアはGitHubホステッドランナー上のパブリックリポジトリでは無料、Enterpriseはコントリビュートする開発者1人あたり月$16で、14日間の無料トライアルがあります。ランナーの利用時間は別料金です。CRACIが課金するのはランナー自体のみです。1vCPU分あたり$0.002（デフォルトの2 vCPUランナーで$0.004）、秒単位の計測で、月額料金もSBOMごとの料金もありません。

CRACIはブロックする前にエグレスを監査できますか？

まだできません。モニターモードまたはドライランモードはCRACIのロードマップに掲載されています。Harden-Runnerは監査モードでベースラインを作成し、Cimonは適用前にパイプラインの通常の挙動を学習します。