CRACI vs OX Security

간단한 답변

OX Security는 애플리케이션 보안 태세 관리(ASPM) 플랫폼으로, 자체 스캐너(SAST, SCA, 시크릿, IaC, 컨테이너), 서드파티 탐지 결과 집계, CI/CD 보안 태세 정책, 런타임 및 클라우드 컨텍스트를 제공합니다. 공급망 보안을 위해서는 Pipeline Bill of Materials(PBOM)를 제공합니다. PBOM은 각 아티팩트가 커밋에서 CI/CD를 거쳐 프로덕션에 이르기까지 어떻게 빌드되었는지를 담은 서명된 기록입니다.

CRACI는 같은 공급망 예산을 두고 경쟁합니다. 차이는 관찰 위치입니다. OX는 이미 사용 중인 소스 제어, CI 시스템, 레지스트리에 연결해 그로부터 전체 그림을 구성합니다. CRACI는 GitHub Actions용 빌드 러너입니다. 각 작업이 실제로 가져온 것을 기록하고, 실행 중에 이그레스 정책을 적용하며, 출시된 것을 모니터링하고 CRA 증거를 생성합니다. OX는 훨씬 폭넓고, CRACI는 빌드 그 자체입니다.

한눈에 보기

OX Security의 강점

• SBOM을 넘어서는 빌드 기록. OX의 PBOM은 파이프라인 정의, 러너 식별 정보, 빌드 인수, 아티팩트 서명, 버전 계보를 담으며, OX는 각 빌드에서 해석된 모든 오픈 소스 구성 요소가 포함된다고 밝힙니다. PBOM은 빌드마다 서명됩니다. OX는 SPDX와 CycloneDX 형식의 SBOM도 생성합니다.
• CI/CD 보안 태세. OX 정책은 안전하지 않은 워크플로 파일, 고정되지 않은 서드파티 액션, 더 이상 사용되지 않는 GitHub Actions 명령, 과도한 워크플로 권한, 평문 시크릿, 위험한 웹훅을 표시하며, 빌드용으로 승인되지 않은 CI 시스템도 표시할 수 있습니다.
• 파이프라인 내 적용. OX Security Scan GitHub Action은 시크릿, SAST, SCA, IaC 스캔을 실행하고, OX 정책상 차단 대상 문제를 발견하면 워크플로를 실패 처리합니다.
• 결과 집계. OX는 자체 결과와 함께 Checkmarx, Veracode, SonarQube, Snyk, Black Duck, JFrog Xray 같은 스캐너의 탐지 결과를 가져옵니다.
• 폭넓은 통합 범위. CI 측면에서는 GitHub Actions, GitLab CI/CD, Jenkins, Azure Pipelines, CircleCI, Drone CI를 지원하며, 소스 제어 시스템 8종과 컨테이너 레지스트리 10종도 지원합니다.
• AI 시대에 맞춘 기능. OX VibeSec은 AI Bill of Materials로 AI가 생성한 코드와 종속성을 다루며, AI 수정 기능은 풀 리퀘스트와 IDE에서 코드 수정을 제안합니다.

CRACI의 차별점

연결된 도구에서 수집하지 않고 러너가 기록

OX 문서에 따르면 OX의 SBOM은 소스 제어, CI/CD 파이프라인, 컨테이너 이미지, 가져온 파일 등 연결된 소스에서 데이터를 수집합니다. 이 방식은 전체 환경을 폭넓게 보여 줍니다. CRACI는 각 빌드를 더 좁고 깊게 봅니다. 패키지를 인식하는 프록시가 작업 실행 중 패키지 소스로 가는 트래픽을 관찰하며, 대상은 npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스와 다운로드 프리셋입니다. 종속성 증거는 CI 캐시와 함께 전달되므로, 캐시에서 복원된 패키지도 기록에서 빠지지 않습니다.

모든 CRACI SBOM에는 작업과 캐시마다 Complete, Complete with connections, Incomplete, Unavailable, Not recorded 중 하나의 완전성 상태가 표시됩니다. 기록에 빈틈이 있으면 그 사실을 그대로 알려 줍니다.

빌드 실행 중의 제어

OX의 보안 태세 정책은 파이프라인이 어떻게 구성되었는지를 점검합니다. CRACI는 빌드가 접근할 수 있는 대상을 제한합니다. 이그레스 정책은 기본 거부 또는 기본 허용이며, 24개의 기본 제공 소프트웨어 소스 프리셋, npm, PyPI, apt, apk, Go 프록시, Nix, Cargo, OCI 레지스트리, Git용 유형별 사용자 지정 소스, 명시적인 TLS, TCP, UDP, ICMP 규칙을 제공합니다. 정책은 작업 시작 전에 검증되고 실패 시 차단되며, CRACI는 위반이 발생하면 알림을 보낼 수 있습니다.

하나의 기록에서 나오는 출처 증명과 모니터링

API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다. CRACI는 출처 증명에 서명하지 않으며 SLSA 레벨을 주장하지 않습니다. 새로운 취약점이 공개되면 출시한 소프트웨어의 SBOM을 계속 재평가합니다.

어디에 무엇이 배포되었는지 보여 주는 인벤토리

CRACI의 인벤토리 뷰는 어떤 소프트웨어 버전이 어떤 제품에 배포되었는지를 전 세계 범위에서 정확히 보여 줍니다. 새로운 취약점이 발표되면 릴리스 노트와 스프레드시트를 뒤져 짜맞출 필요 없이, 영향받는 버전을 실행하는 제품을 바로 확인할 수 있습니다.

OX가 앞서는 부분

분명히 말씀드리면, CRACI에는 SAST, 시크릿, IaC, 컨테이너 스캔이 없고, CI/CD 보안 태세 점검, 서드파티 스캐너 결과 집계, 런타임 및 클라우드 컨텍스트도 없습니다. CRACI의 정책 게이트는 탐지 결과에 따라 빌드를 차단할 수 있지만, CRACI는 현재 GitHub Actions만 지원하며 GitLab CI와 Jenkins는 로드맵에 있습니다. 운영 중인 모든 파이프라인과 스캐너를 아우르는 단일 플랫폼이 필요하다면 OX가 훨씬 많은 범위를 다룹니다.

어떤 도구가 맞을까

OX Security가 더 적합한 경우

• 여러 스캐너의 결과를 집계하고 그 전반에서 우선순위를 정하는 단일 ASPM 플랫폼을 원하는 경우
• GitLab, Jenkins, Azure Pipelines 또는 CircleCI 전반에 CI/CD 보안 태세 정책이 필요한 경우
• 코드, 시크릿, IaC 탐지 결과에 대한 풀 리퀘스트 게이팅이 지금 당장 필요한 경우

CRACI가 더 적합한 경우

• GitHub Actions에서 빌드하며 러너, 이그레스 정책, 종속성 기록을 한곳에서 관리하고 싶은 경우
• 감사인에게 보여 줄 수 있는 완전성 상태와 함께, 각 빌드가 가져온 것을 담은 SBOM이 필요한 경우
• 같은 기록에서 출시된 소프트웨어의 모니터링과 CRA 증거를 얻고 싶은 경우

함께 사용하기

CRACI는 GitHub Actions가 아니라 러너를 대체하므로, OX Security Scan 액션은 다른 단계와 마찬가지로 CRACI 러너에서 실행됩니다. OX는 CycloneDX 형식의 SBOM을 가져올 수 있으므로, CRACI가 빌드에서 기록한 SBOM을 OX에 제공해 활용할 수 있습니다.

Cyber Resilience Act 대응

Cyber Resilience Act는 제조사가 각 제품의 구성 요소를 파악하고, 그 취약점을 처리하며, 증거를 보관하도록 요구합니다. OX의 SBOM, PBOM, 보안 태세 정책은 안전한 개발과 전체 환경의 인벤토리 관리를 지원합니다. CRACI는 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다. CycloneDX 또는 SPDX로 내보내는 빌드 시점 SBOM, 취약점 추적, API를 통한 출처 증명이 여기에 해당합니다. 어느 도구도 그것만으로 컴플라이언스를 충족시켜 주지는 않습니다. CRA 증거와 CRA 컴플라이언스를 참고하세요.

CRACI 도입하기

조직에 CRACI GitHub App을 설치한 다음, 작업의 러너 레이블을 runs-on: craci로 변경하세요. 실행 내역은 계속 GitHub UI에 표시됩니다. 릴리스 아티팩트를 만드는 워크플로 하나로 시작해, CRACI의 SBOM을 같은 리포지토리에 대해 OX가 보여 주는 SBOM과 비교해 보세요. CI/CD 통합, 빌드 시점 SBOM 생성, 요금에 대해 자세히 알아보세요.

두 가지가 넘는 도구를 검토 중이신가요? OX Security 대안에서 9가지 옵션을 나란히 비교합니다.