StepSecurity 대안: 러너 및 빌드 보안 2026

저희는 CRACI를 만드는 회사이므로 그 점을 감안해 읽어 주세요. 모든 옵션은 각 제품의 자체 문서를 바탕으로 설명하며, 다른 도구가 더 적합한 경우에는 그렇다고 말씀드립니다.

팀들이 StepSecurity 외의 대안을 찾는 이유

Harden-Runner는 작업의 첫 단계로 추가하는 에이전트입니다. 아웃바운드 연결, 프로세스, 파일 쓰기를 워크플로의 각 단계에 매핑하고, 감사 모드에서 기준선을 만들며, 허용 목록에 없는 대상으로의 이그레스를 차단합니다. GitHub 호스팅 Linux 러너를 완전히 지원하며, Windows와 macOS에서는 감사 모드로 실행됩니다.

상황이 바뀌면 팀들은 다른 선택지를 찾습니다.

증거. 패키지 수준의 SBOM이 아니라 접속 대상을 기록합니다.
설정. 에이전트는 각 워크플로에 직접 추가해야 하는 단계입니다.
가격. 2026년 9월 기준 Community 등급은 공개 리포지토리에서 무료이며, Enterprise는 기여 개발자당 월 $16입니다.

살펴봐야 할 사항

도구가 러너 위의 에이전트인지, 러너 자체인지
이그레스 제어, 그리고 차단하기 전에 관찰할 수 있는지 여부
필요하다면 프로세스 및 파일 모니터링
빌드 증거: 각 작업이 가져온 것에 대한 패키지 수준의 SBOM
지원하는 러너와 CI 시스템

옵션

1. CRACI(당사 제품)

CRACI는 고객의 러너에 설치하는 에이전트가 아니라 러너 그 자체입니다. 기본 거부 또는 허용으로 설정하는 이그레스 정책은 작업 시작 전에 검증되며, 문제가 있으면 차단하는 방식(fail closed)으로 동작합니다. 작업이 실행되는 동안 패키지를 인식하는 프록시가 작업이 가져온 것을 기록하고, 완전성 상태가 담긴 SBOM을 생성합니다. API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다.

적합한 경우: 빌드를 한곳에서 통제하고 기록하려는 팀.

검토할 만한 경우: 작업을 GitHub Actions용 CRACI Linux 러너로 옮길 수 있는 경우. CRACI는 프로세스나 파일 쓰기를 모니터링하지 않으며, 차단 전 감사 모드는 로드맵에 있습니다.

CRACI와 StepSecurity 비교

2. Cycode Cimon

Cycode의 Cimon은 CI 작업 안에서 실행되는 eBPF 에이전트입니다. 프로세스, 네트워크 이그레스, 파일 접근을 모니터링하고, 정책을 적용하기 전에 파이프라인의 정상 동작을 학습하며, 런타임에서 관찰한 SBOM을 생성하고 SLSA 출처 증명에 서명합니다. Cycode는 Cimon이 무료 오픈 소스라고 밝히고 있으며, Cimon은 Cycode의 더 넓은 애플리케이션 보안 플랫폼의 일부입니다.

적합한 경우: 여러 CI 시스템에 걸쳐 유지하는 러너에서의 빌드 런타임 보호.

CRACI와 Cycode 비교

3. Namespace

Namespace는 직접 운영하는 하드웨어에서 Linux, Windows, macOS 러너를 실행하며, 러너 프로필로 선택합니다. 캐시 볼륨은 실행 간에 데이터를 로컬 스토리지에 유지합니다. 이그레스 정책은 차단 모드 또는 권고 모드로 실행되며, 권고 모드는 차단하지 않고 판정만 기록하므로 실제 트래픽을 바탕으로 허용 목록을 만들 수 있습니다. 2026년 9월 기준 2 vCPU, 4 GB Linux 러너는 요금제 내에서 분당 $0.002, 초과 시 $0.003입니다.

적합한 경우: 캐시 볼륨을 갖춘 Linux, Windows, macOS 러너를 하나의 공급업체에서.

검토할 만한 경우: 이그레스 정책을 적용하기 전에 먼저 시험해 보고 싶은 경우.

CRACI와 Namespace 비교

4. Depot

Depot은 2~64 vCPU Linux 러너와 Windows, macOS를 모든 요금제에서 제공하며, 분산 캐시와 연결되어 있습니다. 자사 러너를 "up to 3x faster than a GitHub-hosted runner"(GitHub 호스팅 러너보다 최대 3배 빠름)라고 설명합니다. 원격 Docker 빌드 서비스는 영구 레이어 캐시를 유지하고, Linux 러너는 이그레스 필터링을 지원하며, Business 요금제에서는 러너를 고객의 AWS 계정에 둘 수 있습니다. 2026년 9월 기준 요금제 포함 시간을 넘는 2 vCPU 사용은 분당 $0.006이며 초 단위로 집계됩니다.

적합한 경우: CI 시간의 대부분을 Docker 이미지 빌드가 차지하는 팀.

검토할 만한 경우: Bazel, Gradle, Turborepo용 원격 빌드 캐싱도 원하는 경우.

CRACI와 Depot 비교

5. Actions Runner Controller를 사용한 셀프 호스팅 러너

Actions Runner Controller(ARC)는 "a Kubernetes operator that orchestrates and scales self-hosted runners for GitHub Actions"(GitHub Actions용 셀프 호스팅 러너를 오케스트레이션하고 확장하는 Kubernetes 오퍼레이터)입니다. 러너 스케일 세트는 실행 중인 워크플로 수에 따라 늘고 줄며, 러너는 임시 컨테이너로 실행할 수 있습니다. 2026년 9월 기준 GitHub는 셀프 호스팅 사용에 분당 요금을 부과하지 않지만, 운영체제와 소프트웨어는 고객이 책임져야 하며, GitHub는 공개 리포지토리에는 셀프 호스팅 러너를 거의 사용하지 말아야 한다고 경고합니다.

적합한 경우: 자체 네트워크나 하드웨어에서 실행해야 하는 작업.

검토할 만한 경우: 이미 Kubernetes를 운영하고 있으며 이를 강화하고 유지 관리할 시간이 있는 경우.

관리형 러너와 셀프 호스팅 러너 비교

나란히 비교

2026년 9월 기준입니다.
기능	CRACI	StepSecurity Harden-Runner	Cycode (Cimon)	GitHub Advanced Security
실행 위치	그 자체가 러너	기존 러너에서 실행되는 에이전트	기존 CI 내부의 에이전트	GitHub의 리포지토리 스캔
빌드 이그레스 통제	기본 거부 또는 허용, 문제 시 차단(fail closed)	차단 모드의 허용 목록	허용 호스트 기반 방지 모드
차단 전 감사 모드	모니터 또는 드라이런 모드	작업별 기준선	탐지 모드	이그레스 통제 없음
프로세스 및 파일 모니터링			eBPF	명시되지 않음
빌드에서 기록한 SBOM	작업별, 완전성 상태 포함	대상, 프로세스, 파일 기록	런타임 관찰 SBOM	매니페스트 기반 그래프와 제출된 빌드 데이터
서명된 빌드 출처 증명	서명된 출처 증명 없음	명시되지 않음	SLSA Provenance v1.0	아티팩트 증명
SAST		명시되지 않음		CodeQL
시크릿 스캔		명시되지 않음		Secret Protection
CI 지원 범위	현재 GitHub Actions 지원, GitLab CI와 Jenkins는 로드맵에 포함	GitHub Actions, GitLab CI, Azure DevOps	GitHub Actions, Azure Pipelines, Jenkins, GitLab CI, Buildkite, Harness	GitHub, Azure DevOps는 별도 구매
가격	vCPU 분당 $0.002(2 vCPU는 $0.004), 러너 포함	공개 리포지토리 무료, Enterprise는 기여 개발자당 월 $16	Cycode에 따르면 무료 오픈 소스	Secret Protection $19, Code Security $30(활성 커미터당 월)

포함
일부 지원
미포함
로드맵에 포함

"명시되지 않음"은 해당 공급업체의 공개 페이지에서 확인할 수 없었다는 뜻입니다.

StepSecurity에 머물러야 하는 경우

Windows와 macOS를 포함해 GitHub 호스팅 러너를 계속 사용하고 싶은 경우
차단하기 전에 감사 모드로 트래픽을 관찰하고 싶은 경우
네트워크 통제뿐 아니라 프로세스 및 파일 모니터링이 필요한 경우
GitLab CI나 Azure DevOps도 함께 운영하는 경우

러너 및 빌드 보안과 CI/CD 통합에 대해 자세히 알아보세요.

StepSecurity 대안 FAQ

비교할 때 팀들이 묻는 질문에 대한 짧은 답변

Harden-Runner의 무료 대안이 있나요?

Cycode는 Cimon이 무료 오픈 소스라고 밝힙니다. Cimon은 CI 작업 안에서 프로세스, 이그레스, 파일 접근을 모니터링하는 eBPF 에이전트입니다. Harden-Runner 자체도 GitHub 호스팅 러너의 공개 리포지토리에서는 무료이며, 커뮤니티 등급 에이전트는 Apache 2.0 라이선스의 오픈 소스입니다. CRACI에는 무료 등급이 없습니다.

Azure DevOps에서 StepSecurity를 대체하는 것은 무엇인가요?

CRACI는 아닙니다. CRACI는 현재 GitHub Actions만 지원하며, GitLab CI와 Jenkins는 로드맵에 있습니다. Cycode는 Cimon이 지원하는 CI 시스템에 Azure Pipelines를 포함하고 있으며, Harden-Runner 자체도 Azure DevOps를 지원합니다.

CRACI에는 에이전트가 필요한가요?

아니요. CRACI가 러너 자체이므로 워크플로에 추가할 에이전트도, 운영할 컨트롤러도 없습니다. runs-on: craci를 설정하면 이그레스 정책이 작업 시작 전에 검증되며 실패 시 차단 방식으로 동작합니다.

StepSecurity의 비용은 얼마인가요?

2026년 9월 기준 Community 등급은 GitHub 호스팅 러너의 공개 리포지토리에서 무료이며, Enterprise는 기여 개발자당 월 $16이고 14일 무료 체험을 제공합니다. 러너 사용 시간은 별도 비용입니다. CRACI는 러너 자체에 대해서만 과금합니다. vCPU 분당 $0.002(기본 2 vCPU 러너는 $0.004)이며, 초 단위로 측정되고, 월 요금과 SBOM당 요금이 없습니다.

CRACI는 차단하기 전에 이그레스를 감사할 수 있나요?

아직은 아닙니다. 모니터 또는 드라이런 모드는 CRACI의 로드맵에 있습니다. Harden-Runner는 감사 모드에서 기준선을 만들고, Cimon은 적용하기 전에 파이프라인의 정상 동작을 학습합니다.