CRACIとXygeniの比較

結論

Xygeniは、スペインのバリャドリッドに拠点を置くアプリケーションセキュリティプラットフォームです。自らを「脆弱性とマルウェアをエンドツーエンドで検出、優先順位付け、修正する、AIを活用した1つのプラットフォーム」と説明しています。モジュールは、SAST、到達可能性分析とマルウェア検出を備えたSCA、シークレット、IaC、コンテナ、CI/CDセキュリティ、SLSAとin-totoのアテステーションによるビルドセキュリティ、異常検知、DAST、APIセキュリティ、ASPMレイヤーをカバーしています。料金を公開しており、無料プランもあります。ビルドは実行せず、すでにお使いのCIシステムに組み込みます。

CRACIは、同じサプライチェーンセキュリティの予算を別の立ち位置から狙う製品です。CRACIはGitHub Actionsのランナーであり、各ジョブが実際に取り込んだパッケージを記録し、ジョブの実行中にエグレスポリシーを適用し、出荷したものを監視し続けます。AppSec全体ではXygeniのほうがはるかに幅広く、CRACIはビルドとそこから生まれたものをより深く扱います。

概要

「記載なし」は、Xygeniの公開ページで確認できなかったことを意味します。

Xygeniの強み

• 1つのプラットフォームでの幅広さ。AIによる自動修正を備えたSAST、到達可能性分析と自動アップグレードのプルリクエストを備えたSCA、自動失効機能付きのシークレット検出、IaCとコンテナイメージのスキャン、そしてEnterpriseではDAST、APIセキュリティ、サードパーティデータを取り込めるASPMを提供します。
• オープンソースのマルウェア。Xygeniによると、新規および更新されたオープンソースパッケージを毎日数千件分析し、機械学習支援のエンジンで未知のマルウェアを検出し、疑わしいパッケージを隔離し、依存関係ファイアウォールでブロックできます。これはCVEとの照合を超えるものです。
• CI/CDセキュリティ。ビルドスクリプトやパイプラインの設定ミスを探し、OWASP Top 10 CI/CDリスクに対応し、ブランチ保護や多要素認証などの設定を確認し、リバースシェルやマルウェアのダウンロードといったパイプライン内の有害なコマンドを指摘します。
• ビルドアテステーション。Build Securityは、パイプラインに1行追加するだけでビルドの各段階からエビデンスを収集し、キーレス署名で署名したSLSA来歴とin-totoのアテステーションを生成します。アテステーションには脆弱性スキャン、SPDXまたはCycloneDXのSBOM、テスト結果を含めることができ、改ざんされた成果物を配信前にブロックできます。
• 異常検知。GitHub、GitLab、Jenkins、Azure向けのセンサーが、コード、依存関係、パイプライン、ビルド設定への不正な変更を監視し、リアルタイムでアラートを出します。
• 幅広いCI対応と公開された料金。XygeniはGitHub、GitLab、Jenkins、Azure Pipelines、Bitbucket、CircleCI、Travis CIとの連携を掲げ、Enterpriseではオンプレミス導入も提供しています。

CRACIの違い

記述ファイルから読み取るのではなく、ビルドから記録

Xygeniのドキュメントによると、アナライザーは依存関係の記述ファイルを処理して直接および間接の依存関係を抽出し、そのバージョンを解決します。これはリポジトリからSBOMを作成する標準的な方法です。CRACIは代わりに、各ビルドに入ってくる通信を観測します。パッケージを認識するプロキシが、npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk、Gitの各ソースとダウンロードプリセットから、ジョブが取得したすべてのパッケージを記録します。CIキャッシュから復元されたパッケージも記録に残ります。

これにより、CRACIはロックファイルベースのツールが見逃す隠れた依存関係を記録します。npmのインストールフックがダウンロードするコード、ビルド時に取得を行うRustのビルドスクリプト、コンテナビルドのベースイメージのレイヤーです。すべてのSBOMには、ジョブごと、キャッシュごとの完全性の状態（Complete、Complete with connections、Incomplete、Unavailable、Not recorded）が付いているため、記録に欠けがあればそれが明示されます。

ビルド実行中の制御

XygeniのCI/CDチェックは、パイプラインの設定内容と含まれるコマンドを確認します。CRACIは、ビルドが接続できる先を制限します。エグレスポリシーはデフォルト拒否またはデフォルト許可で、24種類の組み込みソフトウェアソースプリセット、npm、PyPI、apt、apk、Goプロキシ、Nix、Cargo、OCIレジストリ、Git向けの型付きカスタムソース、そしてTLS、TCP、UDP、ICMPの明示的なルールを備えています。ポリシーはジョブの開始前に検証され、フェイルクローズで動作します。デフォルト拒否のポリシーはビルドに必要なものだけを許可するため、侵害されたパッケージがシークレットを未知のホストに送ろうとしても、これまで誰も見たことのない攻撃であってもブロックされ、CRACIが違反をアラートで知らせます。

1つの記録から来歴と監視を

Xygeniは、お客様が実行するパイプラインに追加したステップからアテステーションに署名します。CRACIの記録は、ジョブが実行されたランナーから得られます。APIからSBOM、ネットワークトレース、来歴を取得できます。CRACIは来歴に署名せず、SLSAレベルも謳っていません。CRACIは、新たな脆弱性が公開されるたびに出荷したもののSBOMを再評価し続け、脆弱な依存関係を含んでいた過去のすべてのビルドを表示するため、どれだけの期間影響を受けていたかがわかります。

ランナーも製品の一部

CRACIはランナーであるため、エビデンスとビルドの実行環境がセットで提供されます。実行結果は引き続きGitHubに表示され、CRACIはより高速なハードウェア、短いキュー待ち時間、キャッシュにより、GitHubホステッドランナーの約2倍の速さでビルドを実行します。CRACIの課金はビルド時間のみで、1vCPU分あたり$0.002（デフォルトの2 vCPUランナーでは$0.004）、秒単位の従量課金で、月額料金もSBOMごとの課金もありません。CRACIの料金をご覧ください。

どちらが適しているか

Xygeniが適している場合

• SAST、SCA、シークレット、IaC、コンテナ、パイプライン設定を1つのAppSecプラットフォームで扱いたい。
• アドバイザリが出る前に、悪意あるオープンソースパッケージを検出してブロックしたい。
• GitLab、Jenkins、Azure Pipelines、Bitbucket、CircleCI、Travis CIでビルドしている。
• SLSAとin-totoのアテステーション、またはオンプレミス導入が必要。
• 小規模なチームで、料金が公開された無料プランから始めたい。

CRACIが適している場合

• GitHub Actionsでビルドしており、ランナー、エグレスポリシー、依存関係の記録を1か所にまとめたい。
• 各ビルドが実際に取得したもののSBOMが必要で、監査人に示せる完全性の状態も欲しい。
• 出荷したものの監視とビルド履歴を同じ記録から得たい。

ビルドエビデンスをCRACIに移すことで失うもの

GitHub Actionsでビルドするソフトウェアについては、CRACIがXygeniのSBOMエクスポートの役割を引き継ぎます。記録、来歴データ、監視はランナーから得られます。その代償をはっきり述べておきます。CRACIには到達可能性分析がなく、挙動や評判に基づいて新しい悪意あるパッケージを検出しません（CVE付きのアドバイザリが公開されれば既知の悪意あるリリースとして指摘します）。アップグレードのプルリクエストを作成せず、来歴に署名せず、SLSAレベルを謳わず、ソース管理全体の異常検知もありません。また、現在はGitHub Actionsのみに対応しており、GitLab CIとJenkinsはロードマップに掲載されています。

XygeniのSAST、シークレット、IaC、CI/CDのポスチャーチェックは、CRACIが設計上扱わない領域をカバーしているため、そのまま使い続けられます。CRACIが置き換えるのはランナーであり、GitHub Actionsではないため、スキャンのステップも他のステップと同様にCRACIのランナー上で実行されます。

Cyber Resilience Actへの対応

Cyber Resilience Actは、SBOMと脆弱性対応プロセスを求める複数のフレームワークの1つです。Xygeniは、BusinessプランでCISとOpenSSFに対するソフトウェアサプライチェーンのコンプライアンスチェックを掲げています。CRACIは、CRAプロセスに必要なサプライチェーンの可視性とエビデンスのかなりの部分を自動化します。CycloneDXまたはSPDXでエクスポートするビルド時SBOM、脆弱性トラッキング、APIを通じた来歴です。CRAエビデンスをご覧ください。どちらのツールも、それだけで製品を準拠させるものではありません。

この分野の他のプラットフォームについては、CRACIとCycodeの比較、CRACIとOX Securityの比較、CRACIとWizの比較、ソフトウェアサプライチェーンセキュリティツールをご覧ください。

Xygeniに関するよくあるご質問

Xygeniとは何ですか？

Xygeniは、スペインのバリャドリッドに拠点を置くアプリケーションセキュリティプラットフォームです。独自のスキャナー（SAST、到達可能性分析とマルウェア検出を備えたSCA、シークレット、IaC、コンテナ、CI/CDセキュリティ、オプションでDASTとAPIセキュリティ）とASPMレイヤーを組み合わせ、さらにSLSAとin-totoのアテステーションによるビルドセキュリティと、ソース管理およびCIシステム全体の異常検知を提供します。

Xygeniの料金はいくらですか？

2026年9月時点で、Xygeniの料金ページには、最大10リポジトリ、月200回のスキャン、コントリビューター5人までのSAST、SCA、シークレット、IDEプラグインを含む無料プランが記載されています。Teamは年額約$3,828（€3,300）から、Businessは年額約$6,844（€5,900）からで、いずれもコントリビューター10人を含み、Enterpriseは個別見積もりです。コントリビューターとは、過去90日間にスキャン対象のリポジトリにコミットしたすべての人を指します。Build SecurityとAnomalies DetectionはEnterpriseのオプションです。

XygeniはCIランナーを提供していますか？

いいえ。XygeniはGitHub、GitLab、Jenkins、Azure Pipelines、Bitbucket、CircleCI、Travis CIなど、お使いのCIシステムと連携し、パイプラインにスキャナーとアテステーションのステップを追加します。CRACIはランナーそのものです。GitHub ActionsのジョブはCRACI上で実行され、CRACIは各ジョブが取得したものを記録し、接続先を制御します。

XygeniとCRACIの違いは何ですか？

Xygeniは、多数のCIシステムにわたってコード、依存関係、シークレット、IaC、パイプラインの設定をスキャンする幅広いAppSecプラットフォームです。CRACIはGitHub Actionsのランナーで、各ビルドが実際に取得したパッケージを記録し、実行中にエグレスポリシーを適用し、出荷したものを監視し続けます。Xygeniのほうがはるかに幅広く、CRACIはビルドそのものを記録します。

CRACIはXygeniの代わりになりますか？

GitHub Actionsでビルドするソフトウェアのビルドエビデンスについては、代わりになります。CRACIが記録するSBOM、来歴、脆弱性監視がその役割を担います。ただし、XygeniのSAST、シークレット、IaC、CI/CDのポスチャーチェック、マルウェア検出、到達可能性分析の代わりにはならず、現在はGitHub Actionsのみに対応しており、GitLab CIとJenkinsはロードマップに掲載されています。