CRACIとCycodeの比較

結論

Cycodeは自らをエージェント型の開発セキュリティプラットフォームと称しており、アプリケーションセキュリティポスチャ管理（ASPM）から発展しました。コードセキュリティ（SAST、SCA、コンテナとIaCのスキャン）、ソフトウェアサプライチェーンセキュリティ（CI/CDセキュリティ、ビルド実行時の保護、コード漏えいの検出、SBOM、シークレット）、100以上のコネクターを備えたポスチャ管理、開発向けのAIガバナンスを提供しています。ビルド実行時を担うCimonは、CIジョブ内で動作するeBPFエージェントです。

CRACIは同じサプライチェーン予算をめぐって競合し、Cimonとは実際に機能が重なります。どちらもビルドを観測し、どちらもビルドのエグレスを制限でき、どちらもビルドからSBOMを生成します。Cimonは来歴に署名もしますが、CRACIは署名しません。違いは、それがどこで動作するかです。Cycodeは、すでに運用しているCIに、多数のシステムにまたがってエージェントを追加します。CRACIはGitHub Actionsのランナーそのものであるため、記録とポリシーがすべてのジョブに付き、CRACIはそれを監視とCRAのエビデンスへと引き継ぎます。Cycodeははるかに幅広く、CRACIはビルドと出荷したものをより深く扱います。

一覧で比較

Cycodeの強み

SDLC全体にわたる幅広さ

• コードセキュリティ：SASTとAI SAST、到達可能性分析とライセンスコンプライアンスを備えたSCA、コンテナスキャン、Infrastructure as Codeのセキュリティ。
• シークレットと漏えい：Cycodeはソースコード、パイプライン、Jira、Slack、Confluenceなどのツールで露出したシークレットを探し、漏えいしたコードを検出します。
• CI/CDセキュリティ：CI/CDのセキュリティポリシー、設定、ガバナンスを監視し、ポリシーの適用によってNIST SSDFなどの標準への準拠を支援します。
• ポスチャ管理：Context Intelligence Graphがコード、ツールの設定、クラウドインフラ、オーナーシップにわたって脆弱性を追跡し、ConnectorXが他のスキャナーの検出結果を取り込みます。
• SBOM：CycodeはSPDXまたはCycloneDXでSBOMを生成し、Posture ManagementプランにはSBOMの取り込みが含まれています。

ビルド実行時のエージェント、Cimon

CycodeはCimonを、実行時セキュリティ、実行時に観測したSBOM、SLSA来歴を、GitHub ActionsまたはAzure Pipelinesの1ステップで提供するものと説明しています。eBPFを使ってカーネルレベルでプロセスの実行、ネットワークのエグレス、ファイルアクセスを監視します。検出モードではブロックせずに観測し、パイプラインの通常の挙動が確立されるとそれを強制します。GitHub Actionでは許可するホストとIPを指定できます。CimonはSLSA Provenance v1.0仕様に沿って来歴に署名し、Cycodeによれば、GitHub OIDCで署名されたホスト型ランナー上ではSLSA Build Level 2を満たします。Jenkins、GitLab CI、Buildkite、Harnessでも動作し、Cycodeは無料のオープンソースだとしています。

CRACIの違い

ランナー上のエージェントではなく、ランナーそのもの

Cimonは、既存のランナーに追加されます。GitHub Actionsでは、ランナーのプロセス名前空間とネットワーク名前空間に参加する特権コンテナとして動作します。これによりホスト型ランナーや多くのCIシステムで動作できます。CRACIは別の方法を取り、ランナーを置き換えます。runs-onをcraciに変更するだけで、エグレスポリシーはプラットフォームの一部になります。ジョブの開始前に検証され、不明なフィールドは拒否され、フェイルクローズで動作します。

ホストだけでなく、パッケージとソースも

CRACIのエグレスポリシーは、エコシステムごとに型付けされています。24種類の組み込みソフトウェアソースのプリセット、npm、PyPI、apt、apk、Goプロキシ、Nix、Cargo、OCIレジストリ、HTTPSおよびSSH経由のGit向けのカスタムソース、そしてTLS、TCP、UDP、ICMPの明示的なルールを備えています。パッケージを認識するプロキシが、各ジョブが取得したパッケージを記録します。依存関係のエビデンスはCIキャッシュと一緒に引き継がれるため、キャッシュから復元されたパッケージも記録に残ります。すべてのSBOMにはジョブごと・キャッシュごとの完全性の状態が付きます。状態はComplete、Complete with connections、Incomplete、Unavailable、Not recordedのいずれかです。

ビルドから出荷したものまで

• 来歴：APIはSBOM、ネットワークトレース、来歴を返します。
• 監視：CRACIは新たな脆弱性が現れるたびに、出荷したもののSBOMをビルドとリポジトリをまたいで集約しながら再評価し続けます。
• エクスポート：脆弱性を含め、SBOMをCycloneDXまたはSPDXで出力します。

どこに何がデプロイされているかのインベントリ

CRACIのインベントリビューでは、どのソフトウェアバージョンがどの製品にデプロイされているかを全体にわたって正確に確認できます。新たな脆弱性が公開されたとき、リリースノートやスプレッドシートからつなぎ合わせるのではなく、影響を受けるバージョンを実行している製品をすぐに確認できます。

Cycodeが優れている点

はっきり申し上げると、CRACIにはSAST、シークレット、IaC、コンテナのスキャンも、ASPMのコネクターも、プロセスやファイルの監視もなく、検出モードや監視モードもまだありません（ロードマップに掲載）。CRACIは来歴に署名せず、SLSAレベルもうたっておらず、現在対応しているのはGitHub Actionsのみで、GitLab CIとJenkinsはロードマップに掲載されています。すべてのコードとあらゆるCIシステムを1つのプラットフォームでカバーする必要がある場合、Cycodeのほうがはるかに広い範囲をカバーします。

どちらが適しているか

Cycodeが適している場合

• コードスキャン、シークレット、CI/CDのポスチャ、優先順位付けを1つのASPMプラットフォームで行いたい。
• Azure Pipelines、Jenkins、GitLab CI、Buildkiteを使っており、そこでビルド実行時の保護が必要。
• GitHubホステッドランナーを使い続け、エージェントを追加したい。

CRACIが適している場合

• GitHub Actionsでビルドしており、ランナー、エグレスポリシー、依存関係の記録を1か所にまとめたい。
• 監査人に提示できる完全性の状態付きで、各ビルドからパッケージレベルのSBOMが必要。
• 出荷したものの監視とCRAのエビデンスを同じ記録から得たい。

両方を併用する

Cycodeのコードスキャン、シークレット検出、ポスチャ管理は、CRACIが扱わない領域をカバーするため、両者を並べて使えます。例外はCimonです。CRACIランナーでは、ビルドの観測とエグレス制御がすでにランナーの一部になっているため、Cimonの署名付き来歴が必要な場合を除き、CRACIはCimonと併用するのではなく置き換えます。

他のASPMプラットフォーム、スキャナー、ランナーエージェントについてはCycodeの代替ツールをご覧ください。

Cyber Resilience Actへの対応

Cycodeは、SBOMの自動生成、脆弱性トラッキング、技術文書のためのエビデンス収集によって、自社プラットフォームをCRA適合に向けたものと位置付けています。CRACIは、企業がより広いCRAコンプライアンスプロセスに必要とするソフトウェアサプライチェーンの可視性とエビデンスのかなりの部分を、ビルドを起点に自動化します。完全性の状態付きのSBOM、来歴、出荷したものの監視、そしてCRAのエビデンスとしてのSBOMエクスポートです。どちらのツールも単独でコンプライアンスを実現するものではありません。CRAの要件とCRAコンプライアンスをご覧ください。

CRACIの導入

組織にCRACI GitHub Appをインストールし、ジョブのランナーラベルをruns-on: craciに変更します。実行結果は引き続きGitHubのUIに表示されます。CI/CD連携、ビルド時SBOM生成、料金について詳しくはこちら。