CRACI vs Cycode

요약

Cycode는 스스로를 에이전틱 개발 보안 플랫폼이라고 부르며, 애플리케이션 보안 태세 관리(ASPM)에서 출발했습니다. 코드 보안(SAST, SCA, 컨테이너 및 IaC 스캔), 소프트웨어 공급망 보안(CI/CD 보안, 빌드 런타임 보호, 코드 유출 탐지, SBOM, 시크릿), 100개 이상의 커넥터를 갖춘 태세 관리, 개발용 AI 거버넌스를 판매합니다. 빌드 런타임 구성 요소인 Cimon은 CI 작업 안에서 실행되는 eBPF 에이전트입니다.

CRACI는 같은 공급망 예산을 두고 경쟁하며, Cimon과는 실제로 겹치는 부분이 있습니다. 둘 다 빌드를 관찰하고, 둘 다 빌드 이그레스를 제한할 수 있으며, 둘 다 빌드에서 SBOM을 생성합니다. Cimon은 출처 증명에도 서명하지만 CRACI는 서명하지 않습니다. 차이는 그 기능이 어디에 있느냐입니다. Cycode는 이미 운영 중인 여러 CI 시스템에 에이전트를 추가합니다. CRACI는 GitHub Actions의 러너이므로 모든 작업에 기록과 정책이 함께 따라오며, CRACI는 이를 모니터링과 CRA 증거로 이어 갑니다. Cycode가 훨씬 넓은 범위를 다루고, CRACI는 빌드와 출시된 제품을 더 깊이 다룹니다.

한눈에 보기

Cycode의 강점

SDLC 전반을 아우르는 범위

• 코드 보안: SAST와 AI SAST, 도달 가능성 분석과 라이선스 컴플라이언스를 갖춘 SCA, 컨테이너 스캔, 코드형 인프라(IaC) 보안.
• 시크릿과 유출: 소스 코드, 파이프라인, Jira, Slack, Confluence 같은 도구에서 노출된 시크릿을 찾고, 유출된 코드를 탐지합니다.
• CI/CD 보안: CI/CD 보안 정책, 구성, 거버넌스를 모니터링하고, 정책 적용으로 팀이 NIST SSDF 같은 표준을 충족하도록 돕습니다.
• 태세 관리: Context Intelligence Graph가 코드, 도구 구성, 클라우드 인프라, 소유권 전반에서 취약점을 추적하며, ConnectorX가 다른 스캐너의 발견 사항을 가져옵니다.
• SBOM: Cycode는 SPDX 또는 CycloneDX 형식으로 SBOM을 생성하며, Posture Management 플랜에는 SBOM 가져오기가 포함되어 있습니다.

빌드 런타임 에이전트 Cimon

Cycode는 Cimon을 GitHub Actions 또는 Azure Pipelines 단계 하나로 런타임 보안, 런타임 관찰 SBOM, SLSA 출처 증명을 제공하는 도구로 설명합니다. eBPF로 커널 수준에서 프로세스 실행, 네트워크 이그레스, 파일 접근을 모니터링합니다. 탐지 모드에서는 차단하지 않고 관찰하며, 파이프라인의 정상 동작이 확립되면 이를 적용합니다. GitHub Action은 허용 호스트와 IP를 받습니다. Cimon은 SLSA Provenance v1.0 사양에 따라 출처 증명에 서명하며, Cycode는 GitHub OIDC로 서명한 호스팅 러너에서 SLSA Build Level 2를 충족한다고 말합니다. Jenkins, GitLab CI, Buildkite, Harness에서도 실행되며, Cycode는 무료 오픈 소스라고 밝힙니다.

CRACI의 차이점

러너 위의 에이전트가 아닌 러너 자체

Cimon은 기존 러너에 추가됩니다. GitHub Actions에서는 러너의 프로세스 및 네트워크 네임스페이스에 합류하는 권한 있는 컨테이너로 실행됩니다. 그래서 호스팅 러너와 여러 CI 시스템에서 작동할 수 있습니다. CRACI는 다른 길을 택해 러너를 대체합니다. runs-on을 craci로 바꾸면 이그레스 정책이 플랫폼의 일부가 됩니다. 작업 시작 전에 검증되고, 알 수 없는 필드를 거부하며, 실패 시 차단합니다.

호스트만이 아닌 패키지와 소스

CRACI의 이그레스 정책은 생태계별로 유형이 지정됩니다. 24개의 기본 제공 소프트웨어 소스 프리셋, npm, PyPI, apt, apk, Go 프록시, Nix, Cargo, OCI 레지스트리, HTTPS 및 SSH를 통한 Git용 사용자 지정 소스, 그리고 명시적인 TLS, TCP, UDP, ICMP 규칙이 있습니다. 패키지를 인식하는 프록시가 각 작업이 가져온 패키지를 기록합니다. 종속성 증거는 CI 캐시와 함께 전달되므로 캐시에서 복원된 패키지도 기록에 남으며, 모든 SBOM에는 작업별 및 캐시별 완전성 상태가 Complete, Complete with connections, Incomplete, Unavailable, Not recorded 중 하나로 담깁니다.

빌드에서 출시된 제품까지

• 출처 증명: API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다.
• 모니터링: CRACI는 새 취약점이 나올 때마다 출시한 제품의 SBOM을 빌드와 리포지토리 전반에 걸쳐 집계해 계속 재평가합니다.
• 내보내기: 취약점을 포함한 CycloneDX 또는 SPDX 형식의 SBOM.

무엇이 어디에 배포되어 있는지에 대한 인벤토리

CRACI의 인벤토리 뷰는 어떤 소프트웨어 버전이 어떤 제품에 배포되어 있는지 전 세계적으로 정확히 보여 줍니다. 새 취약점이 나오면 릴리스 노트와 스프레드시트를 짜 맞추는 대신, 어떤 제품이 영향을 받는 버전을 실행하는지 바로 확인할 수 있습니다.

Cycode가 앞서는 부분

솔직히 말씀드리면, CRACI에는 SAST, 시크릿, IaC, 컨테이너 스캔, ASPM 커넥터, 프로세스 및 파일 모니터링이 없으며, 탐지 또는 모니터 모드도 아직 없습니다(로드맵에 있습니다). CRACI는 출처 증명에 서명하지 않고 SLSA 수준을 내세우지 않으며, 현재 GitHub Actions만 실행하고 GitLab CI와 Jenkins는 로드맵에 있습니다. 모든 코드와 모든 CI 시스템을 아우르는 하나의 플랫폼이 필요하다면 Cycode가 훨씬 많은 것을 다룹니다.

어떤 제품이 적합한가

Cycode가 더 적합한 경우

• 코드 스캔, 시크릿, CI/CD 태세, 우선순위 지정을 위한 하나의 ASPM 플랫폼을 원하는 경우.
• Azure Pipelines, Jenkins, GitLab CI 또는 Buildkite를 사용하며 그곳에서 빌드 런타임 보호를 원하는 경우.
• GitHub 호스팅 러너를 유지하면서 에이전트를 추가하려는 경우.

CRACI가 더 적합한 경우

• GitHub Actions에서 빌드하며 러너, 이그레스 정책, 종속성 기록을 한곳에서 관리하려는 경우.
• 감사인에게 보여 줄 수 있는 완전성 상태가 담긴 패키지 수준의 빌드별 SBOM이 필요한 경우.
• 같은 기록에서 출시된 제품의 모니터링과 CRA 증거를 얻으려는 경우.

함께 사용하기

Cycode의 코드 스캔, 시크릿 탐지, 태세 관리는 CRACI가 다루지 않는 영역이므로 두 제품을 나란히 사용할 수 있습니다. 예외는 Cimon입니다. CRACI 러너에서는 빌드 관찰과 이그레스 통제가 이미 러너의 일부이므로, Cimon의 서명된 출처 증명이 필요하지 않다면 CRACI가 Cimon을 함께 실행하는 대신 대체합니다.

다른 ASPM 플랫폼, 스캐너, 러너 에이전트는 Cycode 대안을 참조하세요.

Cyber Resilience Act 대응

Cycode는 자동화된 SBOM 생성, 취약점 추적, 기술 문서용 증거 수집으로 CRA 적합성을 지원하는 플랫폼으로 자리매김하고 있습니다. CRACI는 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 빌드에서부터 자동화합니다. 완전성 상태가 담긴 SBOM, 출처 증명, 출시된 제품의 모니터링, 그리고 CRA 증거로 활용할 수 있는 SBOM 내보내기입니다. 어느 도구도 그 자체만으로 규정을 준수하게 만들지는 않습니다. CRA의 요구 사항과 CRA 컴플라이언스를 참조하세요.

CRACI 추가하기

조직에 CRACI GitHub App을 설치한 뒤, 작업의 러너 레이블을 runs-on: craci로 바꾸세요. 실행 내역은 계속 GitHub UI에 표시됩니다. CI/CD 통합, 빌드 시점 SBOM 생성, 요금에 대해 자세히 알아보세요.