CRACI vs OX Security

結論

OX Securityは、独自のスキャナー（SAST、SCA、シークレット、IaC、コンテナ）、サードパーティの検出結果の集約、CI/CD態勢ポリシー、ランタイムとクラウドのコンテキストを備えたアプリケーションセキュリティ態勢管理（ASPM）プラットフォームです。サプライチェーンセキュリティ向けには、Pipeline Bill of Materials（PBOM）を提供しています。これは、各成果物がコミットからCI/CDを経て本番環境に至るまでどのようにビルドされたかを示す署名付きの記録です。

CRACIは同じサプライチェーン予算をめぐって競合します。違いは視点にあります。OXはすでにお使いのソース管理、CIシステム、レジストリに接続し、そこから全体像を組み立てます。CRACIはGitHub Actions向けのビルドランナーです。各ジョブが実際に取り込んだものを記録し、実行中にエグレスポリシーを適用し、出荷したものを監視し、CRAのエビデンスを生成します。OXははるかに広範囲をカバーし、CRACIはビルドそのものを担います。

概要

OX Securityの強み

• SBOMを超えるビルド記録。OXのPBOMは、パイプライン定義、ランナーの識別情報、ビルド引数、成果物の署名、バージョンの系譜を記録します。OXによれば、各ビルドで解決されたすべてのオープンソースコンポーネントが含まれます。ビルドごとに署名されます。OXはSPDXとCycloneDXでSBOMも生成します。
• CI/CD態勢。OXのポリシーは、安全でないワークフローファイル、固定されていないサードパーティのアクション、非推奨のGitHub Actionsコマンド、過剰なワークフロー権限、平文のシークレット、危険なWebhookを検出し、ビルドに承認されていないCIシステムを検出することもできます。
• パイプライン内での強制。OX Security Scan GitHub Actionはシークレット、SAST、SCA、IaCのスキャンを実行し、OXのポリシーに基づくブロック対象の問題を検出するとワークフローを失敗させます。
• 集約。OXは独自の検出結果に加え、Checkmarx、Veracode、SonarQube、Snyk、Black Duck、JFrog Xrayなどのスキャナーの検出結果を取り込みます。
• 幅広い連携。CI側ではGitHub Actions、GitLab CI/CD、Jenkins、Azure Pipelines、CircleCI、Drone CIに対応し、さらに8つのソース管理システムと10のコンテナレジストリに対応しています。
• AI時代の機能。OX VibeSecはAI Bill of MaterialsによってAI生成のコードと依存関係をカバーし、AIによる修正機能がプルリクエストとIDEでコード修正を提案します。

CRACIの違い

接続ツールから収集するのではなく、ランナーが記録

OXのドキュメントによると、そのSBOMはソース管理、CI/CDパイプライン、コンテナイメージ、インポートしたファイルなど、接続されたソースからデータを収集します。これにより、組織全体を広く見渡せます。CRACIは各ビルドをより狭く、より深く捉えます。パッケージを認識するプロキシが、ジョブの実行中にパッケージソースへの通信を監視します。対象はnpm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk、Gitの各ソースとダウンロードプリセットです。依存関係のエビデンスはCIキャッシュと一緒に引き継がれるため、キャッシュから復元されたパッケージも記録に残ります。

CRACIのすべてのSBOMには、ジョブごと・キャッシュごとに完全性の状態が付与されます。状態はComplete、Complete with connections、Incomplete、Unavailable、Not recordedのいずれかです。記録に欠落がある場合は、そのことが明示されます。

ビルド実行中の制御

OXの態勢ポリシーは、パイプラインの設定方法を検査します。CRACIはビルドがアクセスできる先を制限します。エグレスポリシーはデフォルト拒否またはデフォルト許可で、24種類の組み込みソフトウェアソースプリセット、npm、PyPI、apt、apk、Goプロキシ、Nix、Cargo、OCIレジストリ、Git向けの型付きカスタムソース、明示的なTLS、TCP、UDP、ICMPルールを備えています。ポリシーはジョブの開始前に検証され、フェイルクローズで動作します。違反があればCRACIからアラートを受け取ることもできます。

1つの記録から来歴と監視まで

APIはSBOM、ネットワークトレース、来歴を返します。CRACIは来歴に署名せず、SLSAレベルも主張していません。出荷したもののSBOMを、新たな脆弱性が公開されるたびに再評価し続けます。

どこに何がデプロイされているかのインベントリ

CRACIのインベントリビューでは、どのソフトウェアバージョンがどの製品にデプロイされているかを、グローバルに正確に把握できます。新たな脆弱性が見つかったとき、リリースノートやスプレッドシートからつなぎ合わせることなく、影響を受けるバージョンを使用している製品を確認できます。

OXが優れている点

率直に言えば、CRACIにはSAST、シークレット、IaC、コンテナのスキャンも、CI/CD態勢チェックも、サードパーティ製スキャナーの集約も、ランタイムやクラウドのコンテキストもありません。CRACIのポリシーゲートは検出結果に基づいてビルドをブロックできますが、現在CRACIが対応しているのはGitHub Actionsのみで、GitLab CIとJenkinsはロードマップに掲載されています。お使いのすべてのパイプラインとスキャナーを1つのプラットフォームでカバーする必要がある場合、OXのほうがはるかに広範囲を扱えます。

どちらが適しているか

OX Securityが適している場合

• 多数のスキャナーを集約し、横断的に優先順位を付けるASPMプラットフォームを1つにまとめたい。
• GitLab、Jenkins、Azure Pipelines、CircleCIにまたがるCI/CD態勢ポリシーが必要。
• コード、シークレット、IaCの検出結果に基づくプルリクエストのゲートを今すぐ導入したい。

CRACIが適している場合

• GitHub Actionsでビルドしており、ランナー、エグレスポリシー、依存関係の記録を1か所にまとめたい。
• 各ビルドが取得したもののSBOMを、監査人に提示できる完全性の状態とともに必要としている。
• 出荷したものの監視とCRAのエビデンスを、同じ記録から得たい。

両方を使う場合

CRACIが置き換えるのはランナーであり、GitHub Actionsではありません。そのため、OX Security Scanアクションはほかのステップと同様にCRACIランナー上で実行されます。OXはCycloneDX形式のSBOMをインポートできるため、CRACIがビルドから記録したSBOMをOXに提供して活用できます。

Cyber Resilience Actへの対応

Cyber Resilience Actは、メーカーに対して、各製品のコンポーネントを把握し、その脆弱性に対処し、エビデンスを保持することを求めています。OXのSBOM、PBOM、態勢ポリシーは、セキュアな開発と組織全体のインベントリを支援します。CRACIは、企業がより広範なCRAコンプライアンスのプロセスで必要とするソフトウェアサプライチェーンの可視性とエビデンスのかなりの部分を自動化します。CycloneDXまたはSPDXでエクスポートされるビルド時SBOM、脆弱性トラッキング、APIを通じた来歴がその例です。どちらのツールも、それだけでコンプライアンスを実現するものではありません。CRAのエビデンスとCRAコンプライアンスをご覧ください。

CRACIの導入

組織にCRACI GitHub Appをインストールし、ジョブのランナーラベルをruns-on: craciに変更します。実行結果は引き続きGitHubのUIに表示されます。まずはリリース成果物を生成するワークフローを1つ選び、CRACIのSBOMと、同じリポジトリについてOXが表示するSBOMを比較してください。詳しくはCI/CD連携、ビルド時SBOM生成、料金をご覧ください。

3つ以上のツールを比較検討していますか？OX Securityの代替ツールでは、9つの選択肢を並べて比較しています。