CRACI vs Checkmarx One

Het korte antwoord

Checkmarx One is een platform voor applicatiebeveiliging: statische analyse, software composition analysis (SCA), detectie van secrets, IaC, API-beveiliging, containerbeveiliging, bescherming tegen kwaadaardige pakketten en posture management op één plek. CRACI is een met GitHub Actions compatibele CI-runner die elke externe afhankelijkheid vastlegt die een build binnenhaalt, en op basis van die vastlegging de SBOM, herkomstgegevens en het compliancebewijs opstelt. Checkmarx One is een scanner, met veel engines. CRACI is een registrator. Ze overlappen op SBOM's en het volgen van kwetsbaarheden, en verder nauwelijks.

In één oogopslag

Waar Checkmarx One sterk in is

Breedte. Checkmarx One dekt eigen code (SAST), secrets, infrastructure as code, API's, containers, opensourceafhankelijkheden, de gezondheid van repositories en AI-componenten, en brengt de bevindingen samen in zijn ASPM-laag. Wilt u één leverancier voor het testen van applicatiebeveiliging, dan is CRACI geen vervanging. Het test uw code helemaal niet.

Weten welke kwetsbaarheden ertoe doen. Checkmarx SCA gebruikt exploitable path-analyse om te bepalen welke kwetsbare klassen of functies in bibliotheken van derden uw code mogelijk aanroept. Het scant directe en transitieve afhankelijkheden, ook private pakketten, tot op onbeperkte diepte. Beleid op ernst, bereikbaarheid, kwaadaardige code en licenties kan waarschuwingen sturen, pull requests tegenhouden en builds laten falen.

Kwaadaardige pakketten. Checkmarx onderhoudt een grote eigen database van kwaadaardige opensourcepakketten, met typosquatting, dependency confusion en gecompromitteerde accounts, en kan een build automatisch blokkeren wanneer er een in uw afhankelijkheidsboom opduikt.

SBOM's en integraties. Checkmarx One exporteert SBOM-rapporten in CycloneDX 1.7 of SPDX 2.3, met optionele VEX-triagegegevens in CycloneDX, en kan SBOM's inlezen. Het heeft plug-ins voor Jenkins, TeamCity, GitHub Actions, Azure DevOps en Maven, en gebruikt zijn CLI voor GitLab, Bitbucket Pipelines, CircleCI, Bamboo en AWS CodeBuild. Voor Code Repository Integration-projecten kan het automatisch een pull request openen met herstelde pakketversies; de release notes noemden bij de lancering npm-manifests in package.json.

Waarin CRACI verschilt

Wat de scanner ziet, en wat de build deed

De Checkmarx One GitHub Action verpakt de Checkmarx CLI, die een zip-archief van uw broncoderepository maakt en dat uploadt om te scannen. SCA Resolver kan in plaats daarvan afhankelijkheden en fingerprints on-premises extraheren, met uw eigen package managers, en die zonder uw broncode ter analyse versturen. Hoe dan ook begint de analyse bij het project: de code, de manifests en de afhankelijkheidsboom waarnaar die worden opgelost.

CRACI begint bij de build. Het is de runner, dus een proxy die pakketten herkent, observeert wat de job daadwerkelijk downloadt uit pakketbronnen: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Daar horen toolchains, base images, releasedownloads en pakketten uit CI-caches bij. Elke SBOM vermeldt zijn volledigheid per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded.

Controle, niet alleen detectie

Omdat de build op CRACI draait, kunt u er een egressbeleid voor instellen: standaard weigeren of standaard toestaan, 24 ingebouwde presets voor softwarebronnen en getypeerde eigen bronnen voor npm, PyPI, apt, apk, de Go-proxy, Nix, Cargo, OCI-registries en Git. Beleid wordt gevalideerd voordat de job start en is fail-closed. Checkmarx beoordeelt pakketten op wat ze zijn. CRACI beperkt waar een build vandaan kan halen. CRACI detecteert geen kwaadaardige pakketten op reputatie, dus de twee lagen vullen elkaar aan.

Herkomst en monitoring

De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI bundelt kwetsbaarheden over builds en repositories heen en blijft gemonitorde SBOM's opnieuw beoordelen.

Een inventaris van wat waar is uitgerold

De inventarisweergave van CRACI toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. Wordt er een nieuwe kwetsbaarheid bekend, dan ziet u welke producten de getroffen versie draaien, in plaats van het bij elkaar te zoeken uit release notes en spreadsheets.

Wanneer u beide gebruikt

• Beveiligingstests plus releasebewijs. Checkmarx One in pull requests voor risico's in code, secrets, IaC en afhankelijkheden. CRACI als runner voor releasebuilds, met de SBOM en herkomstgegevens van elke build.
• Gelaagde verdediging van de keten. De bescherming tegen kwaadaardige pakketten van Checkmarx markeert slechte pakketten. Het egressbeleid van CRACI houdt builds bij goedgekeurde bronnen en legt elke download vast.
• Pipelines buiten GitHub Actions. Checkmarx One past vandaag bij Jenkins, TeamCity, Azure DevOps en GitLab. CRACI ondersteunt vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap, dus die pipelines zouden eerst moeten overstappen.

Voor de Cyber Resilience Act

Checkmarx biedt een CRA-assessment als onderdeel van zijn AppSec Program Maturity Assessment (APMA), dat security-by-design-praktijken en kwetsbaarheidsbeheer toetst aan de CRA-eisen voor verbonden producten. Volgens de blog van Checkmarx wordt AppSec de technische implementatielaag voor CRA-compliance, met bijzondere aandacht voor het documenteren van AI-componenten via AI-BOM's.

CRACI voegt bewijs uit de build toe: wat er in elke release zit, hoe volledig de vastlegging is en doorlopende monitoring daarna, met SBOM's die als CycloneDX of SPDX worden geëxporteerd. Het automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces. Geen van beide tools maakt een product op zichzelf compliant. Lees meer over CRA-compliance en CRA-bewijs.

CRACI toevoegen naast Checkmarx One

CRACI vervangt de runner, niet GitHub Actions. Wijzig runs-on in craci in een workflow en de runs verschijnen nog steeds in de GitHub-interface. De Checkmarx One GitHub Action blijft als stap in de workflow. Begin met één releasepipeline en vergelijk de SBOM van CRACI met het SBOM-rapport van Checkmarx One voor dezelfde commit.

Weegt u meer dan twee tools af? Alternatieven voor Checkmarx zet negen opties naast elkaar.