CRACI vs Xygeni

요약

Xygeni는 스페인 바야돌리드에 본사를 둔 애플리케이션 보안 플랫폼입니다. 스스로를 "취약점과 악성코드를 엔드투엔드로 탐지하고 우선순위를 정하며 해결하는 하나의 AI 기반 플랫폼"이라고 소개합니다. 모듈은 SAST, 도달 가능성 분석과 악성코드 탐지를 갖춘 SCA, 시크릿, IaC, 컨테이너, CI/CD 보안, SLSA 및 in-toto 증명을 이용한 빌드 보안, 이상 탐지, DAST, API 보안, ASPM 레이어를 다룹니다. 가격을 공개하며 무료 플랜이 있습니다. 빌드를 실행하지는 않으며, 이미 사용 중인 CI 시스템에 연결됩니다.

CRACI는 같은 공급망 예산을 두고 다른 위치에서 경쟁합니다. CRACI는 GitHub Actions용 러너로, 각 작업이 실제로 가져온 패키지를 기록하고, 작업 실행 중에 이그레스 정책을 적용하며, 출시된 제품을 계속 모니터링합니다. Xygeni는 AppSec 전반에서 훨씬 폭넓고, CRACI는 빌드와 그 결과물을 더 깊이 다룹니다.

한눈에 보기

"명시되지 않음"은 Xygeni의 공개 페이지에서 확인할 수 없었다는 뜻입니다.

Xygeni의 강점

• 하나의 플랫폼에 담긴 폭넓은 기능. AI 자동 수정을 갖춘 SAST, 도달 가능성 분석과 자동 업그레이드 풀 리퀘스트를 갖춘 SCA, 자동 폐기 기능이 있는 시크릿 탐지, IaC 및 컨테이너 이미지 스캔, 그리고 Enterprise에서는 DAST, API 보안, 타사 데이터 수집을 지원하는 ASPM을 제공합니다.
• 오픈 소스 속 악성코드. Xygeni는 매일 수천 개의 새롭거나 업데이트된 오픈 소스 패키지를 분석하고, ML 기반 엔진으로 알려지지 않은 악성코드를 탐지하며, 의심스러운 패키지를 격리하고 종속성 방화벽으로 차단할 수 있다고 밝힙니다. 이는 CVE 대조를 넘어서는 기능입니다.
• CI/CD 보안. 빌드 스크립트와 파이프라인의 구성 오류를 찾고, OWASP Top 10 CI/CD 위험에 대응하며, 브랜치 보호와 다중 인증 같은 설정을 점검하고, 리버스 셸과 악성코드 다운로드 같은 파이프라인의 유해한 명령을 표시합니다.
• 빌드 증명. Build Security는 파이프라인에 한 줄을 추가해 빌드의 각 단계에서 증거를 수집하고 키리스 서명으로 서명된 SLSA 출처 증명과 in-toto 증명을 생성합니다. 증명에는 취약점 스캔 결과, SPDX 또는 CycloneDX 형식의 SBOM, 테스트 결과를 담을 수 있으며, 변조된 아티팩트는 전달 전에 차단할 수 있습니다.
• 이상 탐지. GitHub, GitLab, Jenkins, Azure용 센서가 코드, 종속성, 파이프라인, 빌드 구성의 무단 변경을 감시하고 실시간으로 알립니다.
• 폭넓은 CI 지원과 공개된 가격. Xygeni는 GitHub, GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI, Travis CI와의 연동을 제공하며, Enterprise에서는 온프레미스 배포를 지원합니다.

CRACI의 차이점

디스크립터를 읽는 대신 빌드에서 기록

Xygeni 문서에 따르면 분석기는 종속성 디스크립터를 처리해 직접 및 간접 종속성을 추출하고 버전을 해석합니다. 이는 리포지토리에서 SBOM을 만드는 표준 방식입니다. 반면 CRACI는 각 빌드로 들어오는 트래픽을 봅니다. 패키지를 인식하는 프록시가 npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스와 다운로드 프리셋 전반에서 작업이 다운로드한 모든 패키지를 기록합니다. CI 캐시에서 복원된 패키지도 기록에 남습니다.

CRACI는 이렇게 해서 잠금 파일 기반 도구가 놓치는 숨겨진 종속성을 기록합니다. npm 설치 훅이 다운로드하는 코드, 빌드 시점에 다운로드하는 Rust 빌드 스크립트, 컨테이너 빌드의 베이스 이미지 레이어가 그것입니다. 모든 SBOM에는 작업별, 캐시별 완전성 상태(Complete, Complete with connections, Incomplete, Unavailable, Not recorded)가 포함되므로 기록에 공백이 있으면 이를 명시합니다.

빌드 실행 중의 통제

Xygeni의 CI/CD 점검은 파이프라인이 어떻게 구성되어 있고 어떤 명령을 포함하는지 봅니다. CRACI는 빌드가 접근할 수 있는 대상을 제한합니다. 이그레스 정책은 기본 거부 또는 기본 허용이며, 24개의 기본 제공 소프트웨어 소스 프리셋, npm, PyPI, apt, apk, Go 프록시, Nix, Cargo, OCI 레지스트리, Git용 유형별 사용자 지정 소스, 그리고 명시적인 TLS, TCP, UDP, ICMP 규칙을 제공합니다. 정책은 작업 시작 전에 검증되며 실패 시 차단됩니다. 기본 거부 정책은 빌드에 필요한 것만 허용하므로, 손상된 패키지가 시크릿을 알 수 없는 호스트로 보내려 하면 이전에 본 적 없는 공격이라도 차단되며, CRACI는 위반 사실을 알립니다.

하나의 기록에서 나오는 출처 증명과 모니터링

Xygeni는 실행 중인 파이프라인에 추가된 단계에서 증명에 서명합니다. CRACI의 기록은 작업이 실행된 러너에서 나옵니다. API는 SBOM, 네트워크 추적 기록, 출처 증명을 반환합니다. CRACI는 출처 증명에 서명하지 않으며 SLSA 레벨을 주장하지 않습니다. CRACI는 새로운 취약점이 공개될 때마다 출시한 제품의 SBOM을 계속 재평가하고, 취약한 종속성이 포함되었던 과거의 모든 빌드를 보여 주므로 얼마나 오래 노출되었는지 알 수 있습니다.

러너가 제품의 일부

CRACI가 러너이기 때문에 증거와 컴퓨팅이 함께 제공됩니다. 실행은 계속 GitHub에 표시되며, CRACI는 더 빠른 하드웨어, 더 짧은 대기 시간, 캐시 덕분에 GitHub 호스팅 러너보다 빌드를 약 2배 빠르게 실행합니다. CRACI는 빌드 시간에만 요금을 부과합니다. vCPU 분당 $0.002(기본 2 vCPU 러너는 $0.004)이며 초 단위로 측정하고, 월 요금과 SBOM당 요금은 없습니다. CRACI 요금을 참고하세요.

어떤 도구가 맞을까요

Xygeni가 더 적합한 경우

• SAST, SCA, 시크릿, IaC, 컨테이너, 파이프라인 구성을 하나의 AppSec 플랫폼으로 다루고 싶을 때.
• 보안 권고가 나오기 전에 악성 오픈 소스 패키지를 탐지하고 차단하고 싶을 때.
• GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI, Travis CI에서 빌드할 때.
• SLSA 및 in-toto 증명이나 온프레미스 배포가 필요할 때.
• 소규모 팀이 가격이 공개된 무료 플랜으로 시작하고 싶을 때.

CRACI가 더 적합한 경우

• GitHub Actions에서 빌드하며 러너, 이그레스 정책, 종속성 기록을 한곳에서 관리하고 싶을 때.
• 각 빌드가 실제로 다운로드한 것의 SBOM이 감사인에게 보여 줄 수 있는 완전성 상태와 함께 필요할 때.
• 출시한 제품의 모니터링과 빌드 기록을 같은 기록에서 얻고 싶을 때.

빌드 증거를 CRACI로 옮길 때 포기하는 것

GitHub Actions에서 빌드하는 소프트웨어에 대해서는 CRACI가 Xygeni의 SBOM 내보내기 역할을 맡습니다. 기록, 출처 증명 데이터, 모니터링이 러너에서 나옵니다. 그 대가를 분명히 말씀드리면, CRACI에는 도달 가능성 분석이 없고, 새로운 악성 패키지를 동작이나 평판으로 탐지하지 않으며(CVE가 포함된 보안 권고가 공개된 후에 알려진 악성 릴리스를 표시합니다), 업그레이드 풀 리퀘스트를 열지 않고, 출처 증명에 서명하지 않으며, SLSA 레벨을 주장하지 않고, 소스 관리 전반의 이상 탐지가 없으며, 현재 GitHub Actions만 실행하고 GitLab CI와 Jenkins는 로드맵에 있습니다.

Xygeni의 SAST, 시크릿, IaC, CI/CD 보안 태세 점검은 CRACI가 설계상 다루지 않는 영역이므로 그대로 유지할 수 있습니다. CRACI는 GitHub Actions가 아니라 러너를 대체하므로, 스캔 단계는 다른 단계와 마찬가지로 CRACI 러너에서 실행됩니다.

Cyber Resilience Act 대응

Cyber Resilience Act는 SBOM과 취약점 처리 프로세스를 요구하는 여러 프레임워크 중 하나입니다. Xygeni는 Business 플랜에서 CIS와 OpenSSF 기준의 소프트웨어 공급망 컴플라이언스 점검을 제공합니다. CRACI는 CRA 프로세스에 필요한 공급망 가시성과 증거의 상당 부분을 자동화합니다. CycloneDX 또는 SPDX로 내보내는 빌드 시점 SBOM, 취약점 추적, API를 통한 출처 증명이 그것입니다. CRA 증거를 참고하세요. 어느 도구도 그 자체만으로 제품을 규정에 맞게 만들지는 않습니다.

이 분야의 다른 플랫폼은 CRACI vs Cycode, CRACI vs OX Security, CRACI vs Wiz, 소프트웨어 공급망 보안 도구를 참고하세요.

Xygeni에 관한 질문과 답변

Xygeni란 무엇입니까?

Xygeni는 스페인 바야돌리드에 본사를 둔 애플리케이션 보안 플랫폼입니다. 자체 스캐너(SAST, 도달 가능성 분석과 악성코드 탐지를 갖춘 SCA, 시크릿, IaC, 컨테이너, CI/CD 보안, 선택적으로 DAST와 API 보안)와 ASPM 레이어를 결합하고, SLSA 및 in-toto 증명을 이용한 빌드 보안과 소스 관리 및 CI 시스템 전반의 이상 탐지를 제공합니다.

Xygeni의 요금은 얼마입니까?

2026년 9월 기준 Xygeni 요금 페이지에는 최대 10개 리포지토리, 월 200회 스캔, 기여자 5명까지 SAST, SCA, 시크릿, IDE 플러그인을 제공하는 무료 플랜이 있습니다. Team은 연간 약 $3,828(€3,300)부터, Business는 연간 약 $6,844(€5,900)부터 시작하며 각각 기여자 10명을 포함하고, Enterprise는 견적 기반입니다. 기여자는 지난 90일 동안 스캔 대상 리포지토리에 커밋한 모든 사람입니다. Build Security와 Anomalies Detection은 Enterprise 옵션입니다.

Xygeni는 CI 러너를 제공합니까?

아니요. Xygeni는 GitHub, GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI, Travis CI 등 사용 중인 CI 시스템과 연동해 파이프라인에 스캐너와 증명 단계를 추가합니다. CRACI는 러너 자체입니다. GitHub Actions 작업이 CRACI에서 실행되며, CRACI는 각 작업이 다운로드한 것을 기록하고 접근할 수 있는 대상을 통제합니다.

Xygeni와 CRACI의 차이는 무엇입니까?

Xygeni는 여러 CI 시스템에서 코드, 종속성, 시크릿, IaC, 파이프라인 구성을 스캔하는 광범위한 AppSec 플랫폼입니다. CRACI는 각 빌드가 실제로 다운로드한 패키지를 기록하고, 실행 중에 이그레스 정책을 적용하며, 출시된 제품을 계속 모니터링하는 GitHub Actions 러너입니다. Xygeni가 훨씬 폭넓고, CRACI는 빌드 자체를 기록합니다.

CRACI가 Xygeni를 대체할 수 있습니까?

GitHub Actions에서 빌드하는 소프트웨어의 빌드 증거에 대해서는 그렇습니다. CRACI가 기록하는 SBOM, 출처 증명, 취약점 모니터링이 그 역할을 맡습니다. CRACI는 Xygeni의 SAST, 시크릿, IaC, CI/CD 보안 태세 점검, 악성코드 탐지, 도달 가능성 분석을 대체하지 않으며, 현재 GitHub Actions만 실행하고 GitLab CI와 Jenkins는 로드맵에 있습니다.