CRACI vs Aikido

Consolidatie versus bewijs

Teams kijken meestal naar Aikido omdat ze minder beveiligingstools willen. Aikido dekt open-sourceafhankelijkheden, eigen code, secrets, infrastructure as code, containers, cloudposture, dynamisch testen en runtimebescherming af in één product, met één plek om bevindingen te triëren. Voor een klein team dat snel brede dekking nodig heeft, is dat een sterk aanbod.

Teams kijken naar CRACI om een nauwere reden. Ze moeten weten wat hun builds daadwerkelijk hebben gedaan, bepalen wat de build kan bereiken, en voor elke release bewijs leveren dat standhoudt tegenover een klant of auditor. CRACI doet dat door zelf de CI-runner te zijn.

Waar Aikido goed in is

Breedte staat voorop. Elk Aikido-abonnement noemt SCA, SAST, detectie van secrets, IaC, cloudposture, containerscanning, DAST, licentiescanning en SBOM-generatie. De SCA gebruikt reachability op functieniveau om ruis te verminderen, en AutoFix opent pull requests met gepatchte versies. In CI kan het pull requests met kritieke risico's blokkeren, en het werkt met GitHub, GitLab, Jenkins, Bitbucket, CircleCI en andere. CRACI ondersteunt momenteel alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap.

Aikido levert ook Safe Chain, een gratis tool die een lokale proxy vóór de pakketbeheerders van npm en PyPI draait en pakketten met bekende malware blokkeert voordat ze worden geïnstalleerd, lokaal en in CI. CRACI blokkeert momenteel geen afzonderlijke pakketten. Een blocklist voor pakketten op organisatieniveau staat op de roadmap van CRACI, niet in het product.

Op het gebied van compliance bevatten de hogere abonnementen van Aikido compliancerapporten voor SOC 2 en ISO 27001 en synchronisatie met complianceplatforms zoals Drata en Vanta. Als uw belangrijkste doel is een SOC 2-programma te voeden met bevindingen uit applicatiebeveiliging, is Aikido daarvoor gebouwd.

Waar CRACI verschilt

CRACI is de CI-runtime

De runtimebescherming van Aikido beschermt draaiende applicaties. CRACI werkt in een andere runtime: de buildjob. Uw GitHub Actions-jobs draaien op CRACI in geïsoleerde virtuele machines, op runners van 1 tot 32 rekeneenheden, op x86-64 of ARM64. De installatie bestaat uit het wijzigen van runs-on in craci. Uw workflows blijven hetzelfde, en runs verschijnen nog steeds in de GitHub-interface.

Omdat CRACI de job uitvoert, kan het tijdens de job een egressbeleid afdwingen. Beleid staat standaard op weigeren of standaard op toestaan, met 24 ingebouwde presets voor softwarebronnen en getypeerde eigen bronnen voor npm, PyPI, apt, apk, de Go-proxy, Nix, Cargo, OCI-registries en Git. Het wordt gevalideerd voordat de job start en werkt fail-closed. Een scanner kan u vertellen dat er een riskant pakket bestaat. Een netwerkbeleid voorkomt dat de build plekken bereikt waar hij niet hoort.

Deterministisch bewijs uit de build

Aikido bouwt zijn beeld van afhankelijkheden op uit manifests en lockfiles en voegt daar analyse aan toe, waaronder AI-gestuurde controles op exploiteerbaarheid. Dat is een verstandige manier om werk te prioriteren.

De SBOM van CRACI wordt niet afgeleid. Een proxy die pakketten herkent, legt vast wat de job uit pakketbronnen heeft opgehaald, en het bewijs van afhankelijkheden reist mee met CI-caches, zodat pakketten die uit een cache worden teruggezet nog steeds worden meegeteld. Elke SBOM geeft zijn eigen volledigheid aan per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded. Het is een vastlegging van wat er is gebeurd in plaats van een schatting, en het vertelt u waar het hiaten heeft.

Dat is belangrijk omdat statische SBOM-tools het vaker oneens zijn dan de meeste mensen verwachten, en de reden is structureel. Elke tool leest een andere set bestanden en interpreteert die anders, dus wat een repository zou bevatten, hangt af van welke tool u het vroeg en hoe die was geconfigureerd. Een project dat geen lockfile commit, zoals express 5.2.1, geeft een lockfilelezer helemaal niets om te verwerken. CRACI kan niet op die manier worden vergeleken, omdat het builds vastlegt in plaats van directory's te scannen, en dat is precies het punt: een buildvastlegging hangt niet af van welke bestanden toevallig aanwezig zijn.

Herkomstgegevens via de API

CRACI genereert de SBOM in zijn eigen runner, op basis van wat de job heeft opgehaald. De API levert SBOM's, netwerktraces en herkomstgegevens.

Compliance-uitkomsten op basis van die vastlegging

Voor de EU Cyber Resilience Act is het moeilijke deel aantonen wat er in elke release is gegaan en hoe u de kwetsbaarheden ervan in de loop van de tijd volgt. CRACI bundelt kwetsbaarheden over builds en repositories heen en beoordeelt gemonitorde SBOM's voortdurend opnieuw. SBOM's worden geëxporteerd als CycloneDX of SPDX, inclusief kwetsbaarheden, en de API levert SBOM's, netwerktraces en herkomstgegevens. Het automatiseert een aanzienlijk deel van het inzicht in en bewijs over de softwareketen dat bedrijven nodig hebben voor hun bredere CRA-complianceproces. Zie CRA-compliance en CRA-bewijs.

Een inventaris van wat waar is uitgerold

De inventarisweergave van CRACI toont precies welke softwareversies op welke producten zijn uitgerold, wereldwijd. Wanneer er een nieuwe kwetsbaarheid opduikt, ziet u welke producten de getroffen versie draaien, in plaats van het bij elkaar te puzzelen uit releasenotes en spreadsheets.

Wanneer welke tool past

• Kies Aikido wanneer u één tool wilt voor code, afhankelijkheden, cloud en draaiende apps, u momenteel andere CI-systemen dan GitHub Actions gebruikt, of uw compliancefocus op SOC 2- of ISO 27001-rapportage op basis van bevindingen uit applicatiebeveiliging ligt.
• Kies CRACI wanneer u op GitHub Actions bouwt en precies wilt weten wat elke build heeft opgehaald, de netwerktoegang van builds wilt beheersen, en releasebewijs wilt bewaren voor de CRA en audits door klanten.
• Gebruik beide wanneer u de scanning en pull-request-gating van Aikido wilt, plus de runtimecontroles en het bewijs van CRACI tijdens de build. De CI-checks van Aikido en Safe Chain draaien als stappen in uw workflow, en die stappen kunnen net als alle andere op een CRACI-runner draaien.