StepSecurity vs CRACI

간단한 답변

StepSecurity는 개발자 머신, 패키지 레지스트리, 코드 리포지토리, CI/CD라는 네 가지 통제 지점을 다루는 소프트웨어 공급망 보안 플랫폼입니다. CI/CD 제품인 Harden-Runner는 작업 내 모든 아웃바운드 연결, 프로세스, 파일 쓰기를 감시하고, 각각을 이를 일으킨 워크플로 단계와 연결하며, 허용 목록에 없는 대상으로의 이그레스를 차단할 수 있는 에이전트입니다. Enterprise는 기여 개발자 1인당 월 $16이며, GitHub 호스팅 러너의 공개 리포지토리는 무료입니다.

CRACI는 러너 자체를 대체합니다. 이그레스 정책은 러너 플랫폼이 적용하고 작업 시작 전에 검증하며, 같은 작업에서 패키지 수준 SBOM이 생성됩니다. 두 제품 모두 빌드가 접근할 수 있는 대상을 제한하므로, 이는 CRACI가 보안 공급업체와 겹치는 부분 중 가장 큰 영역입니다. 차이는 통제가 어디에 있느냐입니다. Harden-Runner는 GitHub 호스팅 러너를 포함해 계속 사용하는 러너를 보호합니다. CRACI의 정책은 러너라는 사실에서 비롯되며, 목적지만이 아니라 패키지를 기록합니다.

한눈에 보기

"명시되지 않음"은 StepSecurity의 공개 페이지에서 확인할 수 없었다는 뜻입니다.

StepSecurity의 강점

Harden-Runner

• 단계 수준의 가시성. 모든 아웃바운드 연결, 파일 작업, 프로세스 실행이 발생한 정확한 단계, 작업, 워크플로에 매핑됩니다. Enterprise 등급은 프로세스 인수, 파일 쓰기 경로, 그리고 이메일, Slack, Microsoft Teams, SIEM으로의 알림을 추가합니다.
• 먼저 감사하고, 그다음 차단. egress-policy: audit 모드에서 Harden-Runner는 각 작업의 정상적인 아웃바운드 호출 기준선을 만들고 새로운 호출을 표시합니다. 그런 다음 엔드포인트 허용 목록과 함께 차단 모드로 전환할 수 있습니다. StepSecurity가 관리하는 알려진 악성 도메인 전역 차단 목록은 감사 모드에서도 적용됩니다.
• 변조 탐지. 빌드 중 소스 코드에 예상치 못한 변경이 생기면 알림을 보냅니다.
• 넓은 지원 범위. GitHub 호스팅 Linux 러너는 전체 지원, GitHub 호스팅 Windows와 macOS는 감사 모드를 지원하며, Enterprise 등급에서는 셀프 호스팅 VM, 베어메탈, Actions Runner Controller를 지원합니다. StepSecurity는 GitLab CI, Azure DevOps, 그리고 Blacksmith, Depot, Namespace 같은 서드파티 러너도 지원 목록에 올리고 있습니다. 셀프 호스팅 러너에서는 에이전트가 러너 이미지에 내장되므로 워크플로를 바꿀 필요가 없습니다.
• 실적. StepSecurity에 따르면 Harden-Runner는 tj-actions/changed-files 침해(CVE-2025-30066)와 침해된 axios npm 패키지를 탐지했으며, 매주 2,500만 건이 넘는 워크플로 실행을 보호합니다. Community 등급 에이전트는 Apache 2.0 오픈 소스입니다.

Harden-Runner가 실행되는 곳

2026년 9월 기준 StepSecurity가 공개한 GitHub Actions 지원 매트릭스입니다.

GitHub 호스팅 러너에서 작업 전체가 컨테이너 안에서 실행되는 경우나 ubuntu-slim에서는 지원되지 않습니다. Actions Runner Controller에서는 Linux 작업만 지원됩니다.

플랫폼의 나머지 기능

• Actions 거버넌스: 사용 중인 서드파티 액션과 재사용 가능한 워크플로의 인벤토리, 새 액션에 대한 승인 워크플로, 검토를 거쳐 그대로 교체해 쓸 수 있는 StepSecurity Maintained Actions를 제공합니다.
• Secure Registry: 새 패키지 버전에 대한 쿨다운 기간, 침해가 알려진 버전 차단, 타이포스쿼팅 방지, 조직 전체 차단 목록을 노트북과 CI에 하나의 정책으로 적용합니다.
• Code Repo Security: 풀 리퀘스트 검사와 Orchestrate Security를 제공합니다. Orchestrate Security는 액션을 커밋 SHA로 고정하고, 최소 권한 GITHUB_TOKEN 권한을 설정하며, Dependabot 구성을 배포하는 풀 리퀘스트를 엽니다.
• Dev Machine Guard: 개발자 머신의 AI 코딩 에이전트, MCP 서버, IDE 확장, 패키지에 대한 인벤토리를 제공합니다.

CRACI가 다른 점

러너 위의 에이전트가 아닌 러너 그 자체

GitHub 호스팅 러너에서 Harden-Runner는 각 작업의 맨 앞에 추가하는 단계로 설치되며, 그 범위는 GitHub 인프라가 허용하는 데까지입니다. 이는 제품의 결함이 아니라, 다른 누군가가 소유한 인프라에서 실행되기 때문에 생기는 결과입니다.

CRACI의 정책은 러너의 일부입니다. 작업 시작 전에 검증되고, 알 수 없는 필드는 거부하며, 실패 시 차단(fail closed) 방식이므로 적용할 수 없는 정책 때문에 보호되지 않은 실행이 생기는 일은 없습니다. 실행 내역은 계속 GitHub에 표시되며, 작업을 옮기려면 runs-on 레이블만 바꾸면 됩니다.

목적지만이 아닌 패키지

Harden-Runner의 허용 목록은 엔드포인트 목록이며, 네트워크 인사이트는 각 단계가 어떤 호스트에 접속했는지 보여 줍니다. CRACI의 소스는 생태계별로 유형화되어 있습니다. 24개의 기본 제공 소프트웨어 소스 프리셋, npm, PyPI, apt, apk, Go 프록시, Nix, Cargo, OCI 레지스트리, HTTPS 및 SSH를 통한 Git용 사용자 지정 소스, 그리고 명시적인 TLS, TCP, UDP, ICMP 규칙을 제공합니다. 패키지를 인식하는 프록시가 CI 캐시에서 복원된 패키지를 포함해 각 작업이 가져온 패키지를 기록하고, 작업과 캐시마다 완전성 상태가 포함된 CycloneDX 또는 SPDX SBOM을 생성합니다.

빌드 이후

• 출처 증명 데이터는 SBOM 및 네트워크 추적과 함께 API로 제공됩니다. CRACI는 출처 증명에 서명하지 않으며 어떤 SLSA 레벨도 주장하지 않습니다.
• 모니터링은 새로운 취약점이 나타날 때마다 출시한 소프트웨어의 SBOM을 재평가하며, 보안 팀은 탐지 결과를 분류해 수정을 담당하는 팀에 보냅니다.
• 인벤토리는 어떤 소프트웨어 버전이 어떤 제품에 배포되었는지 전 세계 기준으로 정확히 보여 주므로, 새로운 취약점을 영향받는 버전을 실행하는 제품에 바로 연결할 수 있습니다.

요금

2026년 9월 기준 StepSecurity의 Community 등급은 GitHub 호스팅 러너에서 공개 리포지토리 수 제한 없이 무료입니다. Enterprise 등급은 기여 개발자 1인당 월 $16이며, 기여 개발자란 지난 90일 동안 보호 대상 리포지토리에 기여한 사람을 뜻합니다. Dev Machine Guard와 Secure Registry가 포함됩니다. Dev Machine Guard만 사용하면 기기당 월 $8입니다. 비공개 리포지토리와 셀프 호스팅 러너에는 Enterprise가 필요하고, 두 유료 등급 모두 14일 무료 체험을 제공하며, StepSecurity는 볼륨 할인을 제공합니다. Harden-Runner는 이미 비용을 내고 있는 러너를 보호하므로 러너 사용 시간은 별도 비용입니다.

CRACI는 빌드 시간에 대해서만 요금을 받습니다. vCPU 분당 $0.002(기본 2 vCPU 러너는 $0.004), 초 단위 측정, 월 요금 없음입니다. CRACI가 러너이므로 이 가격에는 증거뿐 아니라 컴퓨팅 비용도 포함됩니다. 현재 조건은 CRACI 요금을 참고하세요.

어떤 도구가 맞을까요

StepSecurity가 더 적합한 경우

• Windows와 macOS를 포함해 GitHub 호스팅 러너를 계속 사용하려는 경우.
• 셀프 호스팅 러너, GitLab CI 또는 Azure DevOps를 운영하는 경우.
• 무언가를 차단하기 전에 감사 모드로 트래픽을 지켜보고 싶은 경우.
• 인시던트 대응을 위해 프로세스 및 파일 수준의 가시성이 필요한 경우.
• 오픈 소스 프로젝트가 GitHub 호스팅 러너에서 실행되며 무료 옵션이 필요한 경우.

CRACI가 더 적합한 경우

• 배포할 에이전트 없이 러너와 이그레스 정책을 한곳에서 관리하려는 경우.
• 각 빌드에서 완전성 상태가 포함된 패키지 수준 SBOM이 필요한 경우.
• 출시한 소프트웨어를 모니터링하려는 경우.
• CRA 증거나, CRACI Enterprise 플랜의 EU 데이터 레지던시가 필요한 경우.

작업을 CRACI로 옮길 때 포기하는 것

솔직히 말씀드리면, CRACI에는 아직 감사 또는 모니터 모드가 없고(로드맵에 있습니다), 프로세스나 파일 쓰기를 모니터링하지 않으며, 아직 GitHub 호스팅 러너나 다른 CI 시스템에서 실행되지 않습니다(GitLab CI와 Jenkins는 로드맵에 있습니다). 패키지 차단 목록은 로드맵에만 있고, 알림은 정책 위반만 다루며 Slack, Teams, SIEM 연동은 없습니다. 이런 기능이 우선이라면 StepSecurity가 현재 이를 제공합니다.

StepSecurity의 Secure Registry, Code Repo Security, Dev Machine Guard는 CRACI가 다루지 않는 지점, 즉 패키지가 오는 레지스트리, 리포지토리, 개발자 노트북을 보호합니다. 이들은 러너에 의존하지 않으므로 작업이 어디에서 실행되든 영향을 받지 않습니다.

Cyber Resilience Act 대응

EU Cyber Resilience Act는 제조사에게 제품의 구성 요소를 파악하고, 그 취약점을 처리하며, 증거를 보관하도록 요구합니다. StepSecurity는 공급망 공격을 예방하고 탐지하는 데 집중하며, 런타임 인사이트는 CI에서 발생한 인시던트를 조사할 때 도움이 됩니다. CRACI는 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다. CycloneDX 또는 SPDX로 내보내는 빌드 시점 SBOM, 취약점 추적, API를 통한 출처 증명이 여기에 해당합니다. CRA 증거를 참고하세요.

CI/CD 통합과 빌드 시점 SBOM 생성에 대해 자세히 알아보거나, 데모를 예약해 CRACI에서 이그레스 정책 아래 실행되는 작업을 확인해 보세요.

StepSecurity에 관한 질문과 답변

StepSecurity란 무엇인가요?

StepSecurity는 소프트웨어 공급망 보안 플랫폼입니다. 가장 잘 알려진 제품인 Harden-Runner는 CI/CD 러너에서 네트워크 이그레스, 파일 무결성, 프로세스 활동을 모니터링하고 허용 목록 밖의 이그레스를 차단할 수 있는 에이전트입니다. 플랫폼은 패키지 레지스트리(Secure Registry), 코드 리포지토리(Code Repo Security), 개발자 머신(Dev Machine Guard), 위협 인텔리전스도 다룹니다.

StepSecurity 요금은 얼마인가요?

2026년 9월 기준 Community 등급은 공개 리포지토리 수 제한 없이 무료입니다. Enterprise는 기여 개발자 1인당 월 $16이며, 기여 개발자란 지난 90일 동안 보호 대상 리포지토리에 기여한 사람을 말합니다. Dev Machine Guard와 Secure Registry가 포함됩니다. Dev Machine Guard만 사용하면 기기당 월 $8입니다. 두 유료 등급 모두 14일 무료 체험을 제공하며, 러너 사용 시간은 별도 비용입니다.

Harden-Runner는 무료인가요?

GitHub 호스팅 러너의 공개 리포지토리라면 무료입니다. 비공개 리포지토리와 셀프 호스팅 러너(공개 리포지토리용 셀프 호스팅 러너 포함)에는 Enterprise 등급이 필요합니다. Community 등급 에이전트는 Apache 2.0 라이선스의 오픈 소스입니다.

Harden-Runner는 어떤 러너를 지원하나요?

GitHub 호스팅 Linux 러너는 감사 모드와 차단 모드를, GitHub 호스팅 Windows 및 macOS 러너는 감사 모드를 지원하며, Enterprise에서는 셀프 호스팅 VM, 베어메탈, Actions Runner Controller를 지원합니다. StepSecurity는 GitLab CI, Azure DevOps, 그리고 Blacksmith, Depot, Namespace 같은 서드파티 러너도 지원 목록에 올리고 있습니다. GitHub 호스팅 러너에서 작업 전체가 컨테이너 안에서 실행되는 경우나 ubuntu-slim에서는 지원되지 않습니다.

StepSecurity와 CRACI의 차이는 무엇인가요?

Harden-Runner는 계속 사용하는 러너에 추가하는 에이전트입니다. CRACI는 러너 자체입니다. 이그레스 정책은 러너 플랫폼이 적용하고, 작업 시작 전에 검증되며, 실패 시 차단(fail closed) 방식으로 동작하고, 모든 작업은 완전성 상태가 포함된 패키지 수준 SBOM도 생성합니다. StepSecurity는 감사 모드, 프로세스 및 파일 모니터링, 러너와 CI 지원 범위에서 앞서 있습니다.

CRACI가 Harden-Runner를 대체할 수 있나요?

Linux의 GitHub Actions 작업이라면 그렇습니다. 작업을 CRACI로 옮기면 러너 자체에서 이그레스 제어가 이루어지므로 해당 작업에는 에이전트가 필요 없습니다. 대신 감사 모드(CRACI 로드맵에 포함), 프로세스 및 파일 모니터링, 그리고 GitHub 호스팅, Windows, macOS, GitHub 외 러너에 대한 지원은 포기하게 됩니다.

StepSecurity는 SBOM을 생성하나요?

Harden-Runner는 작업이 접근한 목적지, 프로세스, 파일을 기록하며, 빌드의 패키지 수준 SBOM을 기록하지는 않습니다. CRACI는 CI 캐시에서 복원된 패키지를 포함해 각 작업이 가져온 패키지를 기록하고 CycloneDX와 SPDX로 내보냅니다.