CRACI vs Checkmarx One

간단한 답변

Checkmarx One은 정적 분석, 소프트웨어 구성 분석(SCA), 시크릿 탐지, IaC, API 보안, 컨테이너 보안, 악성 패키지 보호, 보안 태세 관리를 한곳에 모은 애플리케이션 보안 플랫폼입니다. CRACI는 빌드가 가져오는 모든 외부 종속성을 기록하고, 그 기록으로 SBOM, 출처 증명, 컴플라이언스 증거를 생성하는 GitHub Actions 호환 CI 러너입니다. Checkmarx One은 여러 엔진을 갖춘 스캐너이고, CRACI는 기록 도구입니다. 두 도구는 SBOM과 취약점 추적에서 겹치며, 그 밖에는 겹치는 부분이 거의 없습니다.

한눈에 보기

Checkmarx One의 강점

폭넓은 범위. Checkmarx One은 자체 코드(SAST), 시크릿, 코드형 인프라, API, 컨테이너, 오픈 소스 종속성, 리포지토리 상태, AI 구성 요소를 다루며, ASPM 계층에서 탐지 결과를 한데 모읍니다. 애플리케이션 보안 테스트를 하나의 공급업체로 해결하고 싶다면 CRACI는 대안이 될 수 없습니다. CRACI는 코드를 전혀 테스트하지 않습니다.

중요한 취약점 판별. Checkmarx SCA는 Exploitable Path 분석으로 서드파티 라이브러리의 취약한 클래스나 함수 중 코드가 호출할 수 있는 것을 판별합니다. 비공개 패키지를 포함해 직접 종속성과 전이적 종속성을 깊이 제한 없이 스캔합니다. 심각도, 도달 가능성, 악성 코드, 라이선스에 대한 정책으로 알림을 보내고, 풀 리퀘스트를 막고, 빌드를 중단할 수 있습니다.

악성 패키지. Checkmarx는 타이포스쿼팅, 종속성 혼동, 탈취된 계정을 다루는 대규모 독자 악성 오픈 소스 패키지 데이터베이스를 유지하며, 종속성 트리에 악성 패키지가 나타나면 빌드를 자동으로 차단할 수 있습니다.

SBOM과 통합. Checkmarx One은 CycloneDX 1.7 또는 SPDX 2.3으로 SBOM 보고서를 내보내며, CycloneDX에는 선택적으로 VEX 분류 데이터를 포함할 수 있고, SBOM을 가져올 수도 있습니다. Jenkins, TeamCity, GitHub Actions, Azure DevOps, Maven용 플러그인이 있으며, GitLab, Bitbucket Pipelines, CircleCI, Bamboo, AWS CodeBuild에는 CLI를 사용합니다. Code Repository Integration 프로젝트에서는 수정된 패키지 버전으로 자동 풀 리퀘스트를 열 수 있으며, 출시 당시 릴리스 노트에는 npm package.json 매니페스트가 지원 대상으로 나와 있었습니다.

CRACI의 차별점

스캐너가 보는 것과 빌드가 한 일

Checkmarx One GitHub Action은 Checkmarx CLI를 감싸며, CLI는 소스 리포지토리를 zip 아카이브로 만들어 스캔용으로 업로드합니다. 대신 SCA Resolver를 사용하면 자체 패키지 관리자로 온프레미스에서 종속성과 지문을 추출해 소스 코드 없이 분석용으로 보낼 수 있습니다. 어느 쪽이든 분석은 프로젝트에서 시작합니다. 코드, 매니페스트, 그리고 그로부터 해석되는 종속성 트리가 출발점입니다.

CRACI는 빌드에서 시작합니다. CRACI가 러너이므로, 패키지를 인식하는 프록시가 작업이 패키지 소스에서 실제로 내려받는 것을 관찰합니다. 대상은 npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스와 다운로드 프리셋입니다. 툴체인, 베이스 이미지, 릴리스 다운로드, CI 캐시에서 복원된 패키지도 포함됩니다. 각 SBOM은 작업과 캐시마다 Complete, Complete with connections, Incomplete, Unavailable, Not recorded 중 하나로 완전성을 표시합니다.

탐지만이 아닌 제어

빌드가 CRACI에서 실행되므로 이그레스 정책을 설정할 수 있습니다. 기본 거부 또는 기본 허용이며, 24개의 기본 제공 소프트웨어 소스 프리셋과 npm, PyPI, apt, apk, Go 프록시, Nix, Cargo, OCI 레지스트리, Git용 유형별 사용자 지정 소스를 제공합니다. 정책은 작업 시작 전에 검증되고 실패 시 차단됩니다. Checkmarx는 패키지가 무엇인지로 판단하고, CRACI는 빌드가 어디서 가져올 수 있는지를 제한합니다. CRACI는 평판 기반으로 악성 패키지를 탐지하지 않으므로, 두 계층은 서로를 보완합니다.

출처 증명과 모니터링

API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다. CRACI는 빌드와 리포지토리 전반의 취약점을 집계하고, 모니터링 중인 SBOM을 계속 재평가합니다.

어디에 무엇이 배포되었는지 보여 주는 인벤토리

CRACI의 인벤토리 뷰는 어떤 소프트웨어 버전이 어떤 제품에 배포되었는지를 전 세계 범위에서 정확히 보여 줍니다. 새로운 취약점이 발표되면 릴리스 노트와 스프레드시트를 뒤져 짜맞출 필요 없이, 영향받는 버전을 실행하는 제품을 바로 확인할 수 있습니다.

둘 다 사용해야 하는 경우

• 보안 테스트와 릴리스 증거. 풀 리퀘스트에서는 Checkmarx One으로 코드, 시크릿, IaC, 종속성 위험을 점검합니다. 릴리스 빌드의 러너로는 CRACI를 사용해 각 빌드의 SBOM과 출처 증명 데이터를 보관합니다.
• 계층화된 공급망 방어. Checkmarx의 악성 패키지 보호가 위험한 패키지를 표시합니다. CRACI의 이그레스 정책은 빌드가 승인된 소스만 사용하게 하고 각 가져오기를 기록합니다.
• GitHub Actions 외부의 파이프라인. Checkmarx One은 현재 Jenkins, TeamCity, Azure DevOps, GitLab에 적합합니다. CRACI는 현재 GitHub Actions만 지원하며 GitLab CI와 Jenkins는 로드맵에 있으므로, 그런 파이프라인은 먼저 옮겨야 합니다.

Cyber Resilience Act 대응

Checkmarx는 AppSec Program Maturity Assessment(APMA)의 일부로 CRA 평가를 제공합니다. 이 평가는 커넥티드 제품에 대한 CRA 요구 사항을 기준으로 보안 중심 설계 관행과 취약점 관리를 측정합니다. Checkmarx 블로그는 AppSec이 CRA 컴플라이언스의 기술적 구현 계층이 되어 가고 있다고 주장하며, 특히 AI-BOM을 통한 AI 구성 요소 문서화에 주목합니다.

CRACI는 빌드에서 나온 증거를 더합니다. 각 릴리스에 무엇이 들어갔는지, 기록이 얼마나 완전한지, 그리고 이후의 지속적인 모니터링이며, SBOM은 CycloneDX 또는 SPDX로 내보낼 수 있습니다. CRACI는 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다. 어느 도구도 그것만으로 제품의 컴플라이언스를 충족시켜 주지는 않습니다. CRA 컴플라이언스와 CRA 증거를 참고하세요.

Checkmarx One과 함께 CRACI 도입하기

CRACI는 GitHub Actions가 아니라 러너를 대체합니다. 워크플로에서 runs-on을 craci로 바꾸면 실행 내역은 계속 GitHub UI에 표시됩니다. Checkmarx One GitHub Action은 워크플로에 단계로 그대로 남습니다. 릴리스 파이프라인 하나로 시작해, 같은 커밋에 대한 CRACI의 SBOM과 Checkmarx One SBOM 보고서를 비교해 보세요.

두 가지보다 많은 도구를 비교하고 계신가요? Checkmarx 대안에서 9가지 옵션을 나란히 비교합니다.