CRACI vs Cycode

Het korte antwoord

Cycode noemt zichzelf een agentisch platform voor ontwikkelbeveiliging, en is voortgekomen uit application security posture management (ASPM). Het verkoopt codebeveiliging (SAST, SCA, container- en IaC-scans), beveiliging van de softwareketen (CI/CD-beveiliging, runtimebescherming voor builds, detectie van gelekte code, SBOM, secrets), posture management met meer dan 100 connectors, en AI-governance voor ontwikkeling. Het onderdeel voor buildruntime, Cimon, is een eBPF-agent die binnen uw CI-jobs draait.

CRACI concurreert om hetzelfde budget voor de softwareketen, en met Cimon is de overlap reëel: beide observeren builds, beide kunnen de egress van builds beperken, en beide maken een SBOM uit de build. Cimon ondertekent ook herkomst; CRACI niet. Het verschil zit in waar dat gebeurt. Cycode voegt een agent toe aan de CI die u al draait, op veel systemen. CRACI is de runner voor GitHub Actions, dus de vastlegging en het beleid komen met elke job mee, en CRACI neemt ze mee naar monitoring en CRA-bewijs. Cycode is veel breder; CRACI gaat dieper als het om de build en het geleverde gaat.

In één oogopslag

Waar Cycode sterk in is

Breedte over de hele SDLC

• Codebeveiliging: SAST en AI-SAST, SCA met bereikbaarheidsanalyse en licentiecompliance, containerscans en beveiliging van infrastructure as code.
• Secrets en lekken: Cycode zoekt naar blootgestelde secrets in broncode, pipelines en tools zoals Jira, Slack en Confluence, en detecteert gelekte code.
• CI/CD-beveiliging: het monitort beveiligingsbeleid, configuraties en governance van CI/CD, en gebruikt beleidshandhaving om teams te helpen aan standaarden zoals NIST SSDF te voldoen.
• Posture management: de Context Intelligence Graph volgt kwetsbaarheden over code, toolconfiguraties, cloudinfrastructuur en eigenaarschap heen, en ConnectorX haalt bevindingen van andere scanners binnen.
• SBOM's: Cycode genereert SBOM's in SPDX of CycloneDX, en het Posture Management-abonnement vermeldt het inlezen van SBOM's.

Cimon, de agent voor buildruntime

Cycode beschrijft Cimon als runtimebeveiliging, een tijdens runtime waargenomen SBOM en SLSA-herkomst in één stap voor GitHub Actions of Azure Pipelines. Het monitort procesuitvoering, netwerkegress en bestandstoegang op kernelniveau met eBPF. In detectiemodus observeert het zonder te blokkeren; zodra het normale gedrag van een pipeline is vastgesteld, dwingt het dat af, en de GitHub Action accepteert toegestane hosts en IP's. Cimon ondertekent herkomst volgens de specificatie SLSA Provenance v1.0, wat volgens Cycode voldoet aan SLSA Build Level 2 op een gehoste runner die via GitHub OIDC ondertekent. Het draait ook op Jenkins, GitLab CI, Buildkite en Harness, en volgens Cycode is het gratis en open source.

Waarin CRACI verschilt

De runner, geen agent erop

Cimon wordt toegevoegd aan de runners die u houdt; op GitHub Actions draait het als geprivilegieerde container die zich aansluit bij de proces- en netwerknamespaces van de runner. Daardoor werkt het op gehoste runners en veel CI-systemen. CRACI kiest de andere route en vervangt de runner. U wijzigt runs-on in craci, en het egressbeleid maakt deel uit van het platform: gevalideerd voordat de job start, met afwijzing van onbekende velden, en fail-closed.

Pakketten en bronnen, niet alleen hosts

Het egressbeleid van CRACI is getypeerd per ecosysteem. Het heeft 24 ingebouwde presets voor softwarebronnen, eigen bronnen voor npm, PyPI, apt, apk, de Go-proxy, Nix, Cargo, OCI-registries en Git via HTTPS en SSH, en expliciete TLS-, TCP-, UDP- en ICMP-regels. Een proxy die pakketten herkent, legt vast welke pakketten elke job heeft opgehaald. Het bewijs van afhankelijkheden reist mee met CI-caches, dus een pakket dat uit een cache wordt teruggezet, staat nog steeds in de vastlegging, en elke SBOM heeft een volledigheidsstatus per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded.

Van de build tot wat er is geleverd

• Herkomst: de API levert SBOM's, netwerktraces en herkomstgegevens.
• Monitoring: CRACI blijft de SBOM's van wat u hebt geleverd opnieuw beoordelen zodra er nieuwe kwetsbaarheden verschijnen, gebundeld over builds en repositories heen.
• Export: SBOM's als CycloneDX of SPDX, inclusief kwetsbaarheden.

Een inventaris van wat waar is uitgerold

De inventarisweergave van CRACI toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. Wordt er een nieuwe kwetsbaarheid bekend, dan ziet u welke producten de getroffen versie draaien, in plaats van het bij elkaar te zoeken uit release notes en spreadsheets.

Waar Cycode voorloopt

Om het duidelijk te zeggen: CRACI heeft geen SAST-, secrets-, IaC- of containerscans, geen ASPM-connectors, geen monitoring van processen of bestanden, en nog geen detectie- of monitormodus (die staat op de roadmap). CRACI ondertekent geen herkomst en claimt geen SLSA-niveau, en het draait vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap. Hebt u één platform nodig voor al uw code en elk CI-systeem, dan dekt Cycode veel meer.

Wat past bij u

Cycode past beter als

• U één ASPM-platform wilt voor codescans, secrets, CI/CD-posture en prioritering.
• U Azure Pipelines, Jenkins, GitLab CI of Buildkite draait en daar runtimebescherming voor builds wilt.
• U GitHub-hosted runners wilt houden en er een agent aan wilt toevoegen.

CRACI past beter als

• U op GitHub Actions bouwt en de runner, het egressbeleid en de vastlegging van afhankelijkheden op één plek wilt.
• U uit elke build een SBOM op pakketniveau nodig hebt met een volledigheidsstatus die u aan een auditor kunt laten zien.
• U monitoring van wat er is geleverd en CRA-bewijs uit dezelfde vastlegging wilt.

Beide gebruiken

De codescans, detectie van secrets en het posture management van Cycode dekken terrein waar CRACI niet aan komt, dus de twee kunnen naast elkaar bestaan. Cimon is de uitzondering: op een CRACI-runner zijn observatie van de build en egresscontrole al onderdeel van de runner, dus CRACI vervangt Cimon in plaats van ernaast te draaien, tenzij u de ondertekende herkomst van Cimon nodig hebt.

Voor andere ASPM-platforms, scanners en runneragents, zie alternatieven voor Cycode.

Voor de Cyber Resilience Act

Cycode positioneert zijn platform voor CRA-conformiteit met geautomatiseerde SBOM-generatie, het volgen van kwetsbaarheden en het verzamelen van bewijs voor technische dossiers. CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces, vanaf de build: SBOM's met volledigheidsstatussen, herkomst, monitoring van wat er is geleverd en SBOM-export als CRA-bewijs. Geen van beide tools maakt u op zichzelf compliant. Zie wat de CRA vereist en CRA-compliance.

CRACI toevoegen

Installeer de CRACI GitHub App in uw organisatie en wijzig daarna het runnerlabel van een job in runs-on: craci. Runs verschijnen nog steeds in de GitHub-interface. Lees meer over CI/CD-integratie, SBOM-generatie tijdens de build en prijzen.