CRACI vs Socket Security

요약

Socket Security는 문제가 있는 오픈 소스 패키지를 유입되기 전에 잡아내는 것으로 가장 잘 알려져 있습니다. 패키지 동작 (설치 스크립트, 네트워크 및 파일 시스템 접근, 난독화 코드, 알려진 악성코드, 타이포스쿼팅)을 분석해 풀 리퀘스트에서 알려 주며, Socket Firewall은 설치 시점에 악성 패키지를 차단할 수 있습니다.

CRACI는 GitHub Actions용 CI 러너입니다. 작업이 CRACI에서 실행되며, 실행되는 동안 작업이 다운로드하는 모든 외부 종속성을 기록하고, 작업에 이그레스 정책을 적용하며, 출시된 제품의 취약점을 계속 추적합니다. Socket은 패키지를 써도 안전한지 묻습니다. CRACI는 빌드가 무엇을 사용했고 어디에 연결했는지 기록해 이를 릴리스 증거로 만듭니다.

• 풀 리퀘스트와 설치 단계에서 악성 및 위험 패키지를 막으려면 Socket을 선택하세요.
• 빌드 시점 SBOM, 출처 증명 데이터, 빌드 이그레스 통제, 출시 제품의 취약점 추적(CRA 취약점 통지 포함)이 필요하다면 CRACI를 선택하세요.
• 두 도구는 상호 보완적입니다. Socket은 들어오는 패키지를 검사하고, CRACI는 빌드가 그 패키지로 무엇을 했는지 기록하고 제한합니다.

한눈에 보기

Socket의 강점

Socket for GitHub는 풀 리퀘스트를 감시합니다. 변경 사항이 종속성을 추가하면 Socket이 패키지의 동작을 분석하고 보안 위험이 있으면 코멘트를 남깁니다. 검사 항목에는 설치 스크립트, 원격 측정, 네이티브 코드, 알려진 악성코드, 타이포스쿼팅, 프로테스트웨어, 난독화 코드, 그리고 셸, 네트워크, 파일 시스템 접근 같은 권한 있는 API 사용이 포함됩니다. 이는 CVE 조회와는 다른 종류의 신호로, 악성이지만 아직 보안 권고가 없는 패키지도 표시할 수 있습니다.

Socket Firewall은 패키지 관리자 명령(sfw npm install)의 래퍼로, 또는 패키지 관리자와 레지스트리 사이의 프록시로 동작합니다. 전이적 종속성을 포함해 어느 깊이에서든 악성 패키지를 차단합니다. 무료 버전은 API 키가 필요 없으며 npm, yarn, pnpm, pip, uv, cargo를 지원합니다. Enterprise 버전은 구성 가능한 정책, 비공개 레지스트리, 그리고 Go, Maven, Gradle, RubyGems, NuGet을 포함한 더 많은 생태계를 추가합니다.

Socket은 3단계의 도달 가능성 분석도 제공합니다. 종속성 도달 가능성, Team 플랜부터 제공되는 사전 계산 도달 가능성, 그리고 Enterprise의 전체 애플리케이션 도달 가능성으로, Socket은 이를 통해 취약점 알림의 최대 90%를 무관한 것으로 표시할 수 있다고 밝힙니다. JavaScript, Python, Java, Go, Ruby, Rust, .NET, PHP, Swift 전반의 매니페스트를 탐지하며, CLI는 GitHub Actions, GitLab, Bitbucket, Jenkins, Azure DevOps에서 실행됩니다. CRACI는 패키지 동작을 분석하지 않고, 풀 리퀘스트에 코멘트를 남기지 않으며, 도달 가능성 분석을 제공하지 않고, 현재 개별 패키지를 차단하지 않습니다.

Socket 요금(2026년 9월 기준)

• Free: 월 1,000회 스캔, 최대 3명의 멤버, 악성코드 탐지 및 차단.
• Team: 개발자 1인당 월 $25, 최소 5명. 우선순위 점수, Slack 알림, 사전 계산 도달 가능성 추가.
• Business: 개발자 1인당 월 $50, 최소 20명. SBOM 가져오기 및 내보내기, 컴플라이언스 연동, SSO, GitHub Actions 스캔 추가.
• Enterprise: 별도 협의 요금. 전체 애플리케이션 도달 가능성과 GitLab, Bitbucket, Azure DevOps용 리포지토리 연동 추가.

연간 결제 시 최대 20% 할인되며, Socket은 오픈 소스 프로젝트에는 항상 무료로 제공하겠다고 밝힙니다. Socket은 개발자 수 기준으로 요금을 매깁니다. CRACI는 빌드 시간에만 요금을 부과합니다. vCPU 분당 $0.002(기본 2 vCPU 러너는 $0.004)이며, 월 요금과 SBOM당 요금은 없습니다. CRACI 요금을 참고하세요.

CRACI의 차이점

빌드가 정보의 원천

Socket은 프로젝트가 선언한 매니페스트와 잠금 파일을 읽습니다. CRACI는 실행 중인 빌드를 관찰합니다. 러너의 패키지를 인식하는 프록시가 npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스 전반의 패키지 소스 트래픽과 다운로드 프리셋을 확인합니다. 증거가 CI 캐시와 함께 이동하므로 캐시에서 복원된 패키지도 빠짐없이 기록됩니다. 각 SBOM은 작업별, 캐시별 완전성을 Complete, Complete with connections, Incomplete, Unavailable, Not recorded로 명시합니다.

작업 전체에 적용되는 이그레스 정책

Socket Firewall은 패키지 설치를 통과시킬지 결정합니다. CRACI의 이그레스 정책은 작업이 애초에 무엇에 접근할 수 있는지 결정합니다. 기본 거부 또는 기본 허용 방식이며, 24개의 기본 제공 소프트웨어 소스 프리셋과 npm, PyPI, apt, apk, Go 프록시, Nix, Cargo, OCI 레지스트리, Git용 유형별 사용자 지정 소스를 제공합니다. 정책은 작업 시작 전에 검증되며 실패 시 차단되고, CRACI는 위반 시 알림을 보낼 수 있습니다. 외부로 연결을 시도하는 악성 설치 스크립트는 패키지 문제이자 네트워크 문제입니다. 두 통제는 그 문제의 서로 다른 부분을 다룹니다.

출처 증명과 취약점 추적

API는 SBOM, 네트워크 추적 기록, 출처 증명을 반환합니다. CRACI는 출처 증명에 서명하지 않습니다. CRACI는 빌드와 리포지토리 전반의 취약점을 집계하고, 모니터링 중인 SBOM을 계속 재평가하며, 보안팀이 발견 사항을 분류해 수정을 담당하는 팀에 전달할 수 있게 합니다. 공급업체 SBOM은 자사 빌드와 함께 모니터링되며, SBOM은 CycloneDX 또는 SPDX로 내보낼 수 있습니다.

어디에 무엇이 배포되었는지 보여 주는 인벤토리

CRACI의 인벤토리 뷰는 어떤 소프트웨어 버전이 어떤 제품에 배포되었는지 전 세계 범위에서 정확히 보여 줍니다. 새로운 취약점이 발표되면 릴리스 노트와 스프레드시트를 뒤져 짜 맞추는 대신 영향을 받는 버전을 실행하는 제품을 바로 확인할 수 있습니다.

Socket의 무료 SBOM 명령에 대한 참고

Socket CLI는 계정 없이 쓸 수 있는 무료 로컬 SBOM 명령 socket manifest cdxgen을 제공합니다. Socket의 문서에 따르면 이 명령은 기본값을 바꾼 채 호출을 cdxgen에 전달합니다. 종속성 설치를 건너뛰는 사전 빌드 라이프사이클과 기본 프로젝트 유형 JavaScript가 그것입니다. 이 기본값이 찾을 수 있는 범위를 결정하며, expressjs/express처럼 잠금 파일이 없는 리포지토리에서는 해석할 대상이 없습니다.

이는 하나의 무료 로컬 래퍼에 대한 설명이며, Socket의 핵심 제품이나 서버 측 SBOM 내보내기에 대한 설명이 아닙니다.

어떤 도구가 맞을까요

• 악성 패키지를 입구에서 막고 싶다면: 풀 리퀘스트 검사와 Socket Firewall을 갖춘 Socket.
• 도달 가능성 분석으로 무관한 CVE 알림을 줄이고 싶다면: Team 또는 Enterprise의 Socket. CRACI는 도달 가능성 분석을 제공하지 않습니다.
• 각 릴리스에 무엇이 들어갔는지 증거가 필요하다면: CRACI가 빌드에서 이를 기록하고 아티팩트와 연결합니다.
• 빌드가 예상치 못한 호스트에 접근하지 못하게 하려면: CRACI의 이그레스 정책.
• Cyber Resilience Act 적용 대상 제품을 출시한다면: CRACI가 출시한 제품의 취약점을 추적하고 CRA 취약점 통지 내용을 준비합니다(제출은 고객이 직접 합니다).
• GitLab, Jenkins, Azure DevOps를 사용한다면: Socket은 현재 이를 지원합니다. CRACI는 현재 GitHub Actions만 지원하며, GitLab CI와 Jenkins는 로드맵에 있습니다.

Cyber Resilience Act 대응

악성 및 위험 구성 요소를 제품에서 배제하는 것은 제조업체가 보안 의무를 이행하는 데 도움이 되며, Socket은 이를 위해 만들어졌습니다. CRACI는 기업의 더 넓은 CRA 컴플라이언스 프로세스에 필요한 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다. 완전성이 명시된 빌드 시점 SBOM, 출처 증명 데이터, 지속적인 취약점 추적, 그리고 고객이 제출할 CRA 취약점 통지 내용의 준비가 그것입니다. 어느 도구도 그 자체만으로 제품을 규정에 맞게 만들지는 않습니다. CRA란 무엇인가와 CRA 컴플라이언스를 참고하세요.

CRACI와 Socket 함께 사용하기

CRACI는 GitHub Actions가 아니라 러너를 대체합니다. 실행은 계속 GitHub에 표시되고, Socket은 계속 풀 리퀘스트를 검사합니다. Socket은 패키지가 추가되기 전과 설치될 때 이를 검사하고, CRACI는 각 빌드가 무엇을 다운로드했는지 기록하며, 연결할 수 있는 대상을 제한하고, 출시된 제품의 취약점을 계속 추적합니다. 빌드 시점 SBOM 생성과 취약점 추적에 대해 자세히 알아보세요.

다른 패키지 보안 도구도 검토 중이라면 Socket 대안을 참고하세요.

Socket Security와 CRACI: 자주 묻는 질문

요금, SBOM, 각 도구가 적합한 경우

Socket Security란 무엇입니까?

Socket(socket.dev)은 오픈 소스 종속성을 위한 소프트웨어 공급망 보안 플랫폼입니다. 설치 스크립트, 네트워크 및 파일 시스템 접근, 난독화 코드, 알려진 악성코드, 타이포스쿼팅 등 패키지가 실제로 하는 일을 분석하고, 위험한 패키지를 풀 리퀘스트와 CI에서, 그리고 Socket Firewall을 사용하면 설치 시점에 표시하거나 차단합니다.

Socket Security는 무료입니까?

Socket에는 월 1,000회 스캔과 최대 3명의 멤버를 지원하는 무료 플랜이 있으며, Socket은 오픈 소스 프로젝트에는 항상 무료로 제공하겠다고 밝히고 있습니다. Socket Firewall에도 API 키가 필요 없는 무료 버전이 있으며 npm, yarn, pnpm, pip, uv, cargo를 지원합니다. 유료 플랜에는 도달 가능성 분석, SBOM 내보내기, 추가 연동 기능이 더해집니다.

Socket의 요금은 얼마입니까?

2026년 9월 기준 Socket 요금 페이지에는 Team이 개발자 1인당 월 $25(최소 5명), Business가 개발자 1인당 월 $50(최소 20명), Enterprise는 별도 협의로 나와 있으며, 연간 결제 시 최대 20% 할인됩니다. SBOM 내보내기는 Business부터 제공되며, GitLab, Bitbucket, Azure DevOps 리포지토리 연동은 Enterprise에서 제공됩니다.

Socket은 SBOM을 생성합니까?

예. SBOM 가져오기와 내보내기는 Socket의 Business 플랜 이상에서 제공되며, CycloneDX 내보내기 API는 베타로 표시되어 있습니다. Socket은 탐지한 매니페스트와 잠금 파일에서 SBOM을 만듭니다. CRACI는 빌드가 실행되는 동안 작업이 실제로 다운로드한 패키지로 SBOM을 기록하고, 각 작업의 기록이 완전한지 명시합니다.

CRACI도 Socket처럼 악성 패키지를 탐지합니까?

Socket과 같은 방식은 아닙니다. CRACI는 악성 릴리스에 CVE가 공개되면 다른 취약점과 마찬가지로 이를 표시하지만, 패키지 동작을 분석하거나 패키지에 점수를 매기지는 않으므로 새로운 악성 패키지는 보안 권고가 나올 때까지 표시되지 않습니다. CRACI는 실패 시 차단되는 러너 수준의 이그레스 정책으로 빌드가 연결할 수 있는 대상을 통제하고, 빌드가 다운로드한 모든 패키지를 기록하며, 출시된 제품을 취약점 데이터와 대조해 계속 재평가합니다. 조직 전체 패키지 차단 목록은 로드맵에 있습니다.

CRACI는 Socket의 대안입니까?

패키지를 추가하기 전에 검사하는 용도로는 아닙니다. 이는 Socket의 핵심 기능이며 CRACI는 이를 제공하지 않습니다. CRACI는 각 릴리스에 무엇이 들어갔는지에 대한 증거가 필요할 때 선택하는 도구입니다. 빌드 시점 SBOM, 출처 증명 데이터, 빌드용 이그레스 정책, 지속적인 취약점 추적, CRA 취약점 통지를 제공합니다. 악성 패키지가 우려되는 팀은 풀 리퀘스트에는 Socket을 사용하고 빌드는 CRACI에서 실행할 수 있습니다.

Socket과 CRACI는 어떤 CI 시스템을 지원합니까?

Socket의 CLI는 GitHub Actions, GitLab, Bitbucket, Jenkins, Azure DevOps에서 실행됩니다. CRACI는 현재 GitHub Actions용 러너이며, GitLab CI와 Jenkins는 로드맵에 있습니다.