CRACI vs Endor Labs | 도달 가능성과 빌드 관찰

간단한 답변

Endor Labs는 도달 가능성을 중심으로 구축된 애플리케이션 보안 플랫폼입니다. 소스 코드와 종속성을 분석해 애플리케이션이 호출할 수 있는 알려진 취약점을 판별하고, 그 취약점부터 수정하도록 돕습니다. 또한 자체 코드, 시크릿, 컨테이너, 악성 패키지도 다룹니다.

CRACI는 GitHub Actions용 CI 러너입니다. 작업이 CRACI에서 실행되고, 실행되는 동안 CRACI는 작업이 가져오는 모든 외부 종속성을 기록하며 작업이 네트워크에서 접근할 수 있는 대상을 제어합니다. Endor Labs는 어떤 발견 사항이 중요한지 알려 줍니다. CRACI는 각 릴리스에 무엇이 들어갔는지에 대한 기록을 제공합니다. 두 제품은 핵심 역할이 겹치지 않으면서 서로 잘 맞물립니다.

한눈에 보기

기능	CRACI	Endor Labs
빌드 실행	CRACI 러너에서 작업 실행	기존 CI 안에서 스캔
빌드에서 기록한 종속성	관찰된 다운로드, CI 캐시의 패키지 포함	소스 코드 분석으로 구축한 인벤토리
빌드 네트워크 이그레스 정책	기본 거부 또는 허용, 실패 시 차단(fail closed)	범위 밖: 빌드를 실행하지 않음
SBOM 내보내기(CycloneDX, SPDX)	모든 빌드, 작업별·캐시별 완전성 포함	SBOM Hub, 도달 가능성 기반 VEX 포함
서명된 아티팩트 출처 증명	서명된 출처 증명 없음	endorctl artifact sign, 출처 증명 포함
지속적인 모니터링	모니터링 중인 SBOM을 지속적으로 재평가	새 취약점이 나타나면 위험도 업데이트
함수 수준 도달 가능성		직접 및 전이적 종속성의 정적 프로그램 분석
SAST, 시크릿, 컨테이너		AI SAST, 시크릿 탐지, 컨테이너 스캔
악성 패키지 차단	조직 전체 패키지 차단 목록	Package Firewall, 레지스트리 앞단의 프록시
CI 시스템	현재 GitHub Actions 지원, GitLab CI와 Jenkins는 로드맵에 포함	GitHub Actions, GitLab, Jenkins, CircleCI, Buildkite, Bitbucket
요금	vCPU 분당 $0.002(2 vCPU는 $0.004), 초 단위 측정. 월 요금 및 SBOM당 요금 없음	무료 Developer 티어. Core와 Pro는 기여 개발자당 요금으로 영업팀을 통해 제공(2026년 9월 기준)

포함
미포함
로드맵에 포함

Endor Labs의 강점

핵심은 도달 가능성입니다. Endor Labs는 정적 프로그램 분석으로 직접 및 전이적 종속성에 대한 함수 수준 도달 가능성 분석을 수행하며, 소스 코드에서 취약한 함수까지의 코드 경로를 추적합니다. 전체 빌드가 불가능한 경우에는 종속성 수준 도달 가능성과 사전 계산된 도달 가능성이 보다 대략적인 대안이 됩니다. Endor Labs에 따르면 코드에서 호출할 수 없는 취약점을 걸러 내어 SCA 발견 사항을 92% 줄여 줍니다. 종속성 알림에 파묻힌 팀에게는 가장 직접적인 해결책입니다.

수정 측면도 강력합니다. 업그레이드 영향 분석은 업그레이드 전에 호환성을 깨는 변경 사항을 찾아 수정 위험도를 매기고, 자동 풀 리퀘스트가 업그레이드를 반영하며, 업그레이드가 현실적이지 않을 때는 Endor Patches가 업스트림 보안 수정을 현재 사용 중인 버전에 백포트합니다.

오픈 소스 종속성 외에도 이 플랫폼에는 AI SAST, 시크릿 탐지, 컨테이너 스캔, 악성 패키지 탐지, 그리고 아티팩트 리포지토리와 공개 레지스트리 사이에서 프록시로 동작하는 Package Firewall이 포함됩니다. SBOM Hub는 CycloneDX 및 SPDX SBOM을 생성하고 가져오며, 도달 가능성 기반 VEX 문서를 만들고, 새 취약점이 공개될 때마다 위험도를 계속 업데이트합니다. Endor Labs는 GitHub Actions, GitLab, Jenkins, CircleCI, Buildkite, Bitbucket과 통합되며, 지원 언어에는 C 및 C++, Java, Go, Rust, Python, JavaScript가 포함됩니다.

CRACI는 도달 가능성 분석, SAST, 시크릿, 컨테이너 스캔 작업을 전혀 하지 않습니다. 이러한 기능이 필요하다면 Endor Labs 또는 유사한 도구를 계속 사용하세요.

CRACI가 다른 점

빌드가 기준입니다

Endor Labs는 소스 코드를 인벤토리의 기준으로 삼으며, 이를 통해 매니페스트만으로는 놓치는 직접, 전이적, 팬텀 종속성을 잡아냅니다. CRACI는 다른 곳에서 출발합니다. 바로 빌드 자체입니다. 러너의 패키지를 인식하는 프록시가 작업이 실행되는 동안 npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스와 다운로드 프리셋 전반에서 패키지 소스로 향하는 트래픽을 관찰합니다. 증거는 CI 캐시와 함께 이동하므로 캐시에서 복원된 패키지도 빠짐없이 기록됩니다. 러너가 트래픽을 직접 보기 때문에 매니페스트에 명시된 종속성뿐 아니라 설치 스크립트나 다운로드 단계로 들어온 종속성도 관찰됩니다.

각 SBOM에는 작업별·캐시별 완전성 상태가 표시됩니다. Complete, Complete with connections, Incomplete, Unavailable, Not recorded 중 하나입니다. 기록에 빈틈이 있으면 그 사실을 알려 드립니다.

빌드가 접근할 수 있는 대상 제어

CRACI가 곧 러너이므로 작업별로 이그레스 정책을 설정할 수 있습니다. 기본 거부 또는 기본 허용 중에서 선택하고, 24개의 내장 소프트웨어 소스 프리셋과 레지스트리 및 Git용 유형별 사용자 지정 소스를 사용할 수 있습니다. 정책은 작업 시작 전에 검증되며 실패 시 차단(fail closed)됩니다. Endor Labs의 Package Firewall은 아티팩트 리포지토리를 통해 들어오는 패키지를 필터링합니다. CRACI의 정책은 빌드가 만드는 모든 연결을 제한합니다. 서로 다른 계층이므로 함께 쌓아 사용하기에 좋습니다.

출시된 것의 출처 증명과 모니터링

Endor Labs는 아티팩트에 서명하지만 CRACI는 서명하지 않습니다. CRACI의 데이터는 빌드를 지켜본 러너에서 나오며, API는 SBOM, 네트워크 트레이스, 출처 증명을 반환합니다. CRACI는 빌드와 리포지토리 전반의 취약점을 집계하고 모니터링 중인 SBOM을 지속적으로 재평가합니다.

어디에 무엇이 배포되었는지에 대한 인벤토리

CRACI의 인벤토리 뷰는 어떤 소프트웨어 버전이 어떤 제품에 배포되었는지 전 세계 범위에서 정확히 보여 줍니다. 새로운 취약점이 발견되면 릴리스 노트와 스프레드시트를 맞춰 보는 대신, 영향을 받는 버전을 실행하는 제품을 바로 확인할 수 있습니다.

어떤 제품이 맞을까

문제가 알림의 양이라면: Endor Labs부터 시작하세요. 도달 가능성과 업그레이드 영향 분석은 바로 그 문제를 겨냥합니다.
문제가 릴리스에 무엇이 들어 있는지 입증하는 것이라면: CRACI가 빌드에서 이를 기록합니다.
빌드가 무엇을 다운로드할 수 있는지가 걱정된다면: CRACI의 이그레스 정책은 러너를 제한하고, Endor Labs의 Package Firewall은 패키지를 선별합니다. 위험이 크다면 둘 다 사용하세요.
GitLab, Jenkins 또는 CircleCI를 사용한다면: Endor Labs는 현재 이를 지원합니다. CRACI는 GitHub Actions만 지원하므로, CRACI에서 실행하려면 해당 파이프라인을 GitHub Actions로 옮겨야 합니다. GitLab CI와 Jenkins는 로드맵에 있습니다.

Cyber Resilience Act 대응

Endor Labs는 SBOM Hub가 지원하는 증거 요구 사항으로 EU Cyber Resilience Act를 꼽으며, VEX 출력은 특정 취약점이 제품에 영향을 주지 않는 이유를 설명하는 데 도움이 됩니다. CRACI는 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다. 완전성이 명시된 빌드 시점 SBOM, 출처 증명 데이터, 지속적인 취약점 추적, CycloneDX 또는 SPDX 형식의 SBOM 내보내기가 그것입니다. 어느 도구도 그 자체로 제품을 규정에 부합하게 만들지는 않습니다. 자세한 내용은 CRA란 무엇인가와 CRA 컴플라이언스를 참고하세요.

Endor Labs와 함께 CRACI 추가하기

Endor Labs 설정은 전혀 바꿀 필요가 없습니다. CRACI GitHub App을 설치한 다음, 기록하려는 워크플로에서 runs-on을 craci로 변경하세요. 실행 내역은 그대로 GitHub UI에 표시되며, endorctl 단계는 다른 단계와 마찬가지로 CRACI 러너에서 실행됩니다. 빌드 시점 SBOM 생성과 CI/CD 통합에 대해 자세히 알아보세요.