StepSecurityとCRACIの比較

結論から

StepSecurityは、開発者マシン、パッケージレジストリ、コードリポジトリ、CI/CDの4つの制御ポイントをカバーするソフトウェアサプライチェーンセキュリティのプラットフォームです。CI/CD向け製品のHarden-Runnerはエージェントで、ジョブ内のすべての外向き接続、プロセス、ファイル書き込みを監視し、それぞれを引き起こしたワークフローのステップに関連付け、許可リストにない通信先へのエグレスをブロックできます。Enterpriseはコントリビュートする開発者1人あたり月$16で、GitHubホステッドランナー上のパブリックリポジトリは無料です。

CRACIはランナーそのものを置き換えます。エグレスポリシーはランナープラットフォームが適用し、ジョブ開始前に検証され、同じジョブがパッケージ単位のSBOMを生成します。どちらもビルドのアクセス先を制限するため、CRACIとの重なりがセキュリティベンダーの中で最も大きいのがStepSecurityです。違いは、制御がどこにあるかです。Harden-Runnerは、GitHubホステッドを含め、使い続けるランナーを保護します。CRACIのポリシーはランナーであることに伴うもので、通信先だけでなくパッケージを記録します。

概要

「記載なし」は、StepSecurityの公開ページで確認できなかったことを意味します。

StepSecurityの強み

Harden-Runner

• ステップ単位の可視性。外向き接続、ファイル操作、プロセス実行のそれぞれが、発生したステップ、ジョブ、ワークフローに正確に対応付けられます。Enterpriseティアでは、プロセスの引数、ファイルの書き込みパス、メール、Slack、Microsoft Teams、SIEMへのアラートが加わります。
• まず監査し、次にブロック。egress-policy: auditモードでは、Harden-Runnerが各ジョブの通常の外向き通信のベースラインを作り、新しい通信を検知します。その後、エンドポイントの許可リストを指定してブロックモードに切り替えられます。StepSecurityが管理する既知の悪意あるドメインのグローバルブロックリストは、監査モードでも適用されます。
• 改ざん検知。ビルド中のソースコードへの想定外の変更をアラートします。
• 幅広い対応範囲。GitHubホステッドのLinuxランナーでは全機能、GitHubホステッドのWindowsとmacOSでは監査モードに対応し、EnterpriseティアではセルフホストのVM、ベアメタル、Actions Runner Controllerにも対応します。StepSecurityはGitLab CI、Azure DevOps、Blacksmith、Depot、Namespaceなどのサードパーティランナーも対応先として挙げています。セルフホストランナーではエージェントがランナーイメージに組み込まれるため、ワークフローの変更は不要です。
• 実績。StepSecurityは、Harden-Runnerがtj-actions/changed-filesの侵害（CVE-2025-30066）と、侵害されたaxiosのnpmパッケージを検知したこと、そして週に2,500万回以上のワークフロー実行を保護していることを公表しています。CommunityティアのエージェントはApache 2.0のオープンソースです。

Harden-Runnerの対応環境

2026年9月時点の、StepSecurity自身によるGitHub Actions向けの対応表です。

GitHubホステッドランナー上でジョブ全体をコンテナ内で実行する場合と、ubuntu-slimには対応していません。Actions Runner Controllerでは、Linuxのジョブのみに対応しています。

プラットフォームのその他の機能

• Actionsのガバナンス：利用しているサードパーティのアクションと再利用可能なワークフローのインベントリ、新規追加時の承認ワークフロー、そしてレビュー済みの代替品として使えるStepSecurity Maintained Actions。
• Secure Registry：新しいパッケージバージョンのクールダウン期間、既知の侵害済みバージョンのブロック、タイポスクワッティング対策、組織全体のブロックリストを、ノートPCとCIに共通の1つのポリシーで提供。
• Code Repo Security：プルリクエストのチェックと、Orchestrate Security。後者は、アクションをコミットSHAに固定し、最小権限のGITHUB_TOKENパーミッションを設定し、Dependabotの設定を展開するプルリクエストを作成します。
• Dev Machine Guard：開発者マシン上のAIコーディングエージェント、MCPサーバー、IDE拡張機能、パッケージのインベントリ。

CRACIの違い

ランナー上のエージェントではなく、ランナーそのもの

GitHubホステッドランナーでは、Harden-Runnerは各ジョブの最初に追加するステップでインストールされ、その到達範囲はGitHubのインフラが許す範囲に依存します。これは製品の欠陥ではなく、他者が所有するインフラ上で動作することから生じるものです。

CRACIのポリシーはランナーの一部です。ジョブ開始前に検証され、未知のフィールドを拒否し、フェイルクローズで動作するため、適用できないポリシーが保護されない実行を生むことはありません。実行は引き続きGitHubに表示され、ジョブの移行はruns-onラベルの変更だけです。

通信先だけでなくパッケージを

Harden-Runnerの許可リストはエンドポイントのリストで、ネットワークインサイトは各ステップがどのホストに接続したかを示します。CRACIのソースはエコシステムごとに型付けされており、24種類の組み込みソフトウェアソースプリセット、npm、PyPI、apt、apk、Goプロキシ、Nix、Cargo、OCIレジストリ、HTTPSとSSH経由のGit向けのカスタムソース、そして明示的なTLS、TCP、UDP、ICMPのルールを備えています。パッケージを認識するプロキシが、CIキャッシュから復元されたパッケージを含め、各ジョブが取得したパッケージを記録し、ジョブとキャッシュごとに完全性の状態が付いたCycloneDXまたはSPDXのSBOMを生成します。

ビルドの後

• 来歴データは、SBOMやネットワークトレースとともにAPIから取得できます。CRACIは来歴に署名せず、SLSAレベルもうたっていません。
• モニタリングでは、新たな脆弱性が公開されるたびに出荷したもののSBOMを再評価し、セキュリティチームが検出結果をトリアージして修正担当のチームに送ります。
• インベントリでは、どのソフトウェアバージョンがどの製品にデプロイされているかをグローバルに正確に把握できるため、新たな脆弱性を、影響を受けるバージョンを実行している製品に直接対応付けられます。

料金

2026年9月時点で、StepSecurityのCommunityティアは、GitHubホステッドランナー上のパブリックリポジトリ数無制限で無料です。Enterpriseティアはコントリビュートする開発者1人あたり月$16で、これは過去90日以内に保護対象のリポジトリへ貢献した人を指し、Dev Machine GuardとSecure Registryが含まれます。Dev Machine Guard単体はデバイス1台あたり月$8です。プライベートリポジトリとセルフホストランナーにはEnterpriseが必要で、どちらの有料ティアにも14日間の無料トライアルがあり、StepSecurityはボリュームディスカウントも提供しています。Harden-Runnerはすでに費用を払っているランナーを保護するものなので、ランナーの利用時間は別途費用がかかります。

CRACIはビルド時間に対してのみ課金します。1vCPU分あたり$0.002（デフォルトの2 vCPUランナーでは$0.004）で、秒単位の従量課金、月額料金はありません。CRACIはランナーそのものであるため、この料金にはエビデンスに加えてコンピュートも含まれます。最新の条件はCRACIの料金をご覧ください。

どちらが適しているか

StepSecurityが適している場合

• WindowsやmacOSを含め、GitHubホステッドランナーを使い続けたい。
• セルフホストランナー、GitLab CI、Azure DevOpsを使っている。
• 何かをブロックする前に、監査モードで通信を観察したい。
• インシデント対応のために、プロセスとファイルのレベルの可視性が必要。
• オープンソースプロジェクトをGitHubホステッドランナーで実行しており、無料の選択肢が必要。

CRACIが適している場合

• エージェントを導入せずに、ランナーとエグレスポリシーを1か所にまとめたい。
• 各ビルドから、完全性の状態付きのパッケージ単位のSBOMが必要。
• 出荷したもののモニタリングが必要。
• CRAのエビデンス、またはCRACIのEnterpriseプランでのEUデータレジデンシーが必要。

ジョブをCRACIに移すことで失うもの

率直に言えば、CRACIにはまだ監査モードやモニターモードがなく（ロードマップに掲載）、プロセスやファイル書き込みを監視せず、GitHubホステッドランナーや他のCIシステムではまだ動作せず（GitLab CIとJenkinsはロードマップに掲載）、パッケージのブロックリストはロードマップ上にしかなく、アラートはポリシー違反のみを対象とし、Slack、Teams、SIEMとの連携はありません。これらが優先事項であれば、現時点ではStepSecurityがカバーしています。

StepSecurityのSecure Registry、Code Repo Security、Dev Machine Guardは、CRACIが関与しないポイント、つまりパッケージの取得元のレジストリ、リポジトリ、開発者のノートPCを保護します。これらはランナーに依存しないため、ジョブをどこで実行しても影響を受けません。

Cyber Resilience Actへの対応

Cyber Resilience Actは、製造業者に対し、製品に含まれるコンポーネントを把握し、その脆弱性に対処し、エビデンスを保持することを求めています。StepSecurityはサプライチェーン攻撃の防止と検知に注力しており、そのランタイムインサイトはCIでのインシデント調査に役立ちます。CRACIは、企業がより広いCRAコンプライアンスプロセスで必要とするソフトウェアサプライチェーンの可視性とエビデンスのかなりの部分を自動化します。CycloneDXまたはSPDXでエクスポートされるビルド時SBOM、脆弱性トラッキング、APIによる来歴です。CRAのエビデンスをご覧ください。

CI/CD連携とビルド時SBOM生成の詳細もご覧ください。また、デモを予約していただければ、エグレスポリシーの下でCRACI上のジョブが実行される様子をご覧いただけます。

StepSecurityに関するよくあるご質問

StepSecurityとは何ですか？

StepSecurityはソフトウェアサプライチェーンセキュリティのプラットフォームです。最もよく知られた製品であるHarden-Runnerは、CI/CDランナー上でネットワークのエグレス、ファイルの完全性、プロセスの動作を監視し、許可リスト外へのエグレスをブロックできるエージェントです。プラットフォームは、パッケージレジストリ（Secure Registry）、コードリポジトリ（Code Repo Security）、開発者マシン（Dev Machine Guard）、脅威インテリジェンスもカバーしています。

StepSecurityの料金はいくらですか？

2026年9月時点で、Communityティアはパブリックリポジトリ数無制限で無料です。Enterpriseはコントリビュートする開発者1人あたり月$16で、コントリビュートする開発者とは過去90日以内に保護対象のリポジトリへ貢献した人を指します。EnterpriseにはDev Machine GuardとSecure Registryが含まれます。Dev Machine Guard単体はデバイス1台あたり月$8です。どちらの有料ティアにも14日間の無料トライアルがあり、ランナーの利用時間は別途費用がかかります。

Harden-Runnerは無料ですか？

GitHubホステッドランナー上のパブリックリポジトリでは無料です。プライベートリポジトリとセルフホストランナー（パブリックリポジトリ用のセルフホストランナーを含む）には、Enterpriseティアが必要です。Communityティアのエージェントは、Apache 2.0ライセンスのオープンソースです。

Harden-Runnerはどのランナーに対応していますか？

GitHubホステッドのLinuxランナーでは監査モードとブロックモード、GitHubホステッドのWindowsとmacOSランナーでは監査モードに対応し、EnterpriseではセルフホストのVM、ベアメタル、Actions Runner Controllerにも対応します。StepSecurityはGitLab CI、Azure DevOps、Blacksmith、Depot、Namespaceなどのサードパーティランナーも対応先として挙げています。GitHubホステッドランナー上でジョブ全体をコンテナ内で実行する場合と、ubuntu-slimには対応していません。

StepSecurityとCRACIの違いは何ですか？

Harden-Runnerは、使い続けるランナーに追加するエージェントです。CRACIはランナーそのものです。エグレスポリシーはランナープラットフォームが適用し、ジョブ開始前に検証され、フェイルクローズで動作します。さらにすべてのジョブが、完全性の状態付きのパッケージ単位のSBOMを生成します。監査モード、プロセスとファイルの監視、ランナーとCIの対応範囲ではStepSecurityが先行しています。

CRACIはHarden-Runnerの代わりになりますか？

はい、Linux上のGitHub Actionsジョブであれば置き換えられます。ジョブをCRACIに移すと、ランナー自体からエグレス制御が得られるため、そのジョブにエージェントは不要です。その代わり、監査モード（CRACIのロードマップに掲載）、プロセスとファイルの監視、そしてGitHubホステッド、Windows、macOS、GitHub以外のランナーへの対応は失われます。

StepSecurityはSBOMを生成しますか？

Harden-Runnerが記録するのは、ジョブがアクセスした通信先、プロセス、ファイルであり、ビルドのパッケージ単位のSBOMではありません。CRACIは、CIキャッシュから復元されたパッケージを含め、各ジョブが取得したパッケージを記録し、CycloneDXとSPDXでエクスポートします。