CRACI vs Mend.io

요약

Mend.io는 애플리케이션 보안 플랫폼입니다. Mend AppSec는 자체 코드용 Mend SAST와 오픈 소스 종속성 및 컨테이너용 Mend SCA를 결합하고, Mend Renovate는 자동화된 풀 리퀘스트로 종속성을 최신 상태로 유지합니다. CRACI는 빌드가 가져오는 모든 외부 종속성을 기록하고, 그 기록으로 SBOM, 출처 증명, 컴플라이언스 증거를 생성하는 GitHub Actions 호환 CI 러너입니다. Mend는 스캐너이고 CRACI는 기록기입니다. 현재 Mend를 사용하고 있다면 CRACI는 기존 계층을 대체하는 것이 아니라 새로운 계층을 더합니다.

한눈에 보기

Mend.io의 강점

도달 가능한 항목 우선 처리. Mend SCA는 코드에서 직접 및 전이적 종속성으로 이어지는 호출 그래프를 추적해, 애플리케이션이 취약한 함수를 실제로 호출하는지 판단합니다. 이를 통해 팀이 조치해야 할 발견 사항 목록이 줄어듭니다. CRACI는 빌드와 리포지토리 전반의 취약점을 집계하지만, 도달 가능성 분석은 하지 않습니다.

종속성뿐 아니라 코드까지. Mend SAST는 30개가 넘는 언어를 지원하며, Mend CLI는 오픈 소스 구성 요소, 자체 코드, 컨테이너 이미지, 코드형 인프라를 스캔합니다. CRACI는 이 중 어느 것도 하지 않습니다.

종속성을 최신 상태로 유지. Mend Renovate는 90개 이상의 패키지 관리자에서 오래된 패키지에 대한 풀 리퀘스트를 엽니다. Renovate CLI와 Community 에디션은 무료이며, Enterprise는 보안 기능과 지원을 추가합니다.

라이선스, 악성 패키지, SBOM. Mend SCA는 직접 및 전이적 종속성의 라이선스를 탐지하고, 상용 제품에서 AGPL을 차단하는 등의 정책을 적용합니다. 타이포스쿼팅, 종속성 혼동, 백도어나 데이터 유출 코드가 있는 패키지를 표시합니다. SPDX와 CycloneDX SBOM을 생성하고, 서드파티 SBOM을 수집하며, VEX 데이터를 적용합니다.

CRACI가 다른 점

재구성 대신 관찰

Mend의 문서는 빌드 단계 이후에 스캔할 것을 권장합니다. 빌드가 있어야 스캐너가 비공개 레지스트리와 외부 아티팩트에 접근할 수 있고, 빌드 없이 스캔하면 결과가 부정확할 수 있기 때문입니다. 좋은 판단입니다. CRACI는 한 걸음 더 나아갑니다. 빌드가 끝난 뒤 프로젝트를 읽는 대신 빌드 자체를 기록합니다.

CRACI 러너의 패키지를 인식하는 프록시가 작업 실행 중 패키지 소스로 가는 트래픽을 관찰하며, npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스와 다운로드 프리셋을 지원합니다. 종속성 증거가 CI 캐시와 함께 전달되므로, 캐시에서 복원된 패키지도 빠짐없이 반영됩니다. 각 SBOM은 작업별, 캐시별 완전성을 Complete, Complete with connections, Incomplete, Unavailable, Not recorded 중 하나로 명시합니다.

빌드 네트워크에 대한 통제

CRACI는 작업을 직접 실행하므로 작업이 접근하는 대상을 제한할 수 있습니다. 이그레스 정책은 기본 거부 또는 기본 허용이며, 24개의 기본 제공 소프트웨어 소스 프리셋과 npm, PyPI, apt, apk, Go 프록시, Nix, Cargo, OCI 레지스트리, Git용 유형별 사용자 지정 소스를 지원합니다. 정책은 작업 시작 전에 검증되고 실패 시 차단됩니다. Mend는 악성 패키지가 종속성 트리에 들어온 뒤에 탐지합니다. 이그레스 정책은 애초에 빌드가 접근할 수 있는 소스를 제한합니다. 두 계층은 서로 다른 시점에 작동합니다.

빌드에서 나온 증거

API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다. CRACI는 출처 증명에 서명하지 않습니다.

어디에 무엇이 배포되어 있는지 보여 주는 인벤토리

CRACI의 인벤토리 뷰는 어떤 소프트웨어 버전이 어떤 제품에 배포되어 있는지 전 세계 범위로 정확히 보여 줍니다. 새로운 취약점이 공개되면 릴리스 노트와 스프레드시트를 짜 맞추는 대신, 영향을 받는 버전을 실행하는 제품을 바로 확인할 수 있습니다.

어느 쪽이 맞을까

• 주된 문제가 코드와 종속성에 쌓인 발견 사항인 경우. SAST, 도달 가능성 분석, Renovate를 갖춘 Mend가 바로 그 용도로 만들어졌습니다.
• 각 릴리스에 무엇이 들어갔는지 증명해야 하는 경우. CRACI가 빌드별로 기록하고 기록이 얼마나 완전한지 명시합니다.
• 빌드가 잠금 파일에서 설치하는 것 이상을 하는 경우. 툴체인 다운로드, 베이스 이미지, curl로 가져오는 파일이 관찰이 가장 큰 가치를 더하는 지점입니다.
• 파이프라인이 Azure DevOps, Bitbucket 또는 CircleCI에 있는 경우. 현재는 Mend가 맞습니다. CRACI는 현재 GitHub Actions만 지원하며, GitLab CI와 Jenkins는 로드맵에 있습니다.

Cyber Resilience Act 대응

Mend.io는 CRA 컴플라이언스 가이드와 자사 제품을 규정에 매핑한 컴플라이언스 페이지를 공개하고 있습니다. CycloneDX 및 SPDX SBOM과 도달 가능성 기반 우선순위에는 Mend AppSec, 종속성 업데이트를 통한 지속적인 취약점 처리에는 Mend Renovate를 연결하고, 라이선스 컴플라이언스를 보안 태세와 함께 문서화합니다.

CRACI는 빌드에서 나온 증거를 제공합니다. 완전성이 명시된 릴리스별 SBOM, 출처 증명, 지속적인 모니터링, CycloneDX 또는 SPDX 형식 SBOM 내보내기입니다. 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다. 어떤 단일 도구도 제품을 규정 준수 상태로 만들지는 못합니다. CRA 컴플라이언스와 CRA란 무엇인가를 참고하세요.

Mend.io와 함께 CRACI 도입하기

CRACI는 GitHub Actions가 아니라 러너를 대체합니다. 워크플로에서 runs-on을 craci로 바꾸면 실행은 계속 GitHub UI에 표시됩니다. Mend CLI 단계는 빌드 뒤 그 자리에 그대로 둡니다. 릴리스 파이프라인 하나를 CRACI에서 실행하고, 같은 커밋에 대한 Mend의 인벤토리와 SBOM을 비교해 보세요.