CRACI vs Endor Labs

Het korte antwoord

Endor Labs is een platform voor applicatiebeveiliging dat is gebouwd rond reachability. Het analyseert uw broncode en uw afhankelijkheden om te bepalen welke bekende kwetsbaarheden uw applicatie kan aanroepen, en helpt u die als eerste op te lossen. Het dekt ook eigen code, secrets, containers en kwaadaardige pakketten.

CRACI is een CI-runner voor GitHub Actions. Uw jobs draaien erop, en terwijl ze draaien legt het elke externe afhankelijkheid vast die ze ophalen en bepaalt het wat ze op het netwerk kunnen bereiken. Endor Labs vertelt u welke bevindingen ertoe doen. CRACI geeft u een vastlegging van wat er in elke release is gegaan. De twee passen bij elkaar zonder overlap in hun kerntaken.

In één oogopslag

Waar Endor Labs sterk in is

Reachability is het uithangbord. Endor Labs gebruikt statische programma-analyse om reachability op functieniveau te analyseren voor directe en transitieve afhankelijkheden, door codepaden te traceren van uw broncode naar de kwetsbare functie. Waar een volledige build niet mogelijk is, bieden reachability op afhankelijkheidsniveau en vooraf berekende reachability grovere alternatieven. Endor Labs zegt dat dit SCA-bevindingen met 92% vermindert, door kwetsbaarheden weg te filteren die in uw code niet aanroepbaar zijn. Voor een team dat verdrinkt in meldingen over afhankelijkheden is dat de meest directe verlichting die er te krijgen is.

Ook aan de kant van de fix is het sterk. Analyse van de impact van upgrades zoekt naar breaking changes voordat u upgradet en kent een remediatierisico toe, geautomatiseerde pull requests voeren de upgrade uit, en Endor Patches backporten een upstream beveiligingsfix naar de versie die u al draait wanneer een upgrade niet praktisch is.

Naast open-sourceafhankelijkheden omvat het platform AI-SAST, detectie van secrets, containerscans, detectie van kwaadaardige pakketten en een Package Firewall die als proxy tussen uw artefactrepository en publieke registries staat. De SBOM Hub genereert en importeert CycloneDX- en SPDX-SBOM's, maakt VEX-documenten op basis van reachability en blijft het risico bijwerken wanneer nieuwe kwetsbaarheden worden gepubliceerd. Endor Labs integreert met GitHub Actions, GitLab, Jenkins, CircleCI, Buildkite en Bitbucket, en de ondersteunde talen omvatten C en C++, Java, Go, Rust, Python en JavaScript.

CRACI doet niets van dit werk aan reachability, SAST, secrets of containerscans. Hebt u dat nodig, houd dan Endor Labs of een vergelijkbare tool.

Waarin CRACI verschilt

De build is de bron van waarheid

Endor Labs behandelt broncode als de grondwaarheid voor zijn inventaris, en vangt zo directe, transitieve en fantoomafhankelijkheden die een manifest alleen zou missen. CRACI begint ergens anders: bij de build zelf. Een proxy die pakketten herkent, observeert op de runner het verkeer naar pakketbronnen terwijl de job draait, voor npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Het bewijs reist mee met CI-caches, dus een pakket dat uit een cache wordt teruggezet, telt nog steeds mee. Omdat de runner het verkeer ziet, worden ook afhankelijkheden waargenomen die installatiescripts of downloadstappen binnenhalen, niet alleen die in een manifest staan.

Elke SBOM heeft een volledigheidsstatus per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded. Zit er een gat in de vastlegging, dan krijgt u dat te horen.

Controle over wat de build kan bereiken

Omdat CRACI de runner is, kunt u voor elke job een egressbeleid instellen: standaard weigeren of standaard toestaan, met 24 ingebouwde presets voor softwarebronnen en getypeerde eigen bronnen voor registries en Git. Beleid wordt gevalideerd voordat de job start en is fail-closed. De Package Firewall van Endor Labs filtert welke pakketten via uw artefactrepository binnenkomen. Het beleid van CRACI beperkt elke verbinding die de build maakt. Het zijn verschillende lagen die goed samengaan.

Herkomst en monitoring van wat is geleverd

Endor Labs ondertekent artefacten; CRACI niet. De gegevens van CRACI komen van de runner die de build heeft gezien, en de API levert SBOM's, netwerktraces en herkomstgegevens. CRACI bundelt kwetsbaarheden over builds en repositories heen en blijft gemonitorde SBOM's opnieuw beoordelen.

Een inventaris van wat waar is uitgerold

De inventarisweergave van CRACI toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. Wordt er een nieuwe kwetsbaarheid bekend, dan ziet u welke producten de getroffen versie draaien, in plaats van het bij elkaar te zoeken uit release notes en spreadsheets.

Wat past bij u

• Uw probleem is de hoeveelheid meldingen: begin met Endor Labs. Reachability en analyse van de impact van upgrades zijn daar precies op gericht.
• Uw probleem is bewijzen wat er in een release zit: CRACI legt het vast uit de build.
• U maakt zich zorgen over wat builds kunnen downloaden: het egressbeleid van CRACI beperkt de runner, en de Package Firewall van Endor Labs screent pakketten. Gebruik beide als het risico hoog is.
• U draait GitLab, Jenkins of CircleCI: Endor Labs dekt die vandaag. CRACI ondersteunt alleen GitHub Actions, dus die pipelines moeten naar GitHub Actions overstappen om op CRACI te draaien. GitLab CI en Jenkins staan op de roadmap.

Voor de Cyber Resilience Act

Endor Labs noemt de EU Cyber Resilience Act bij de bewijseisen die SBOM Hub ondersteunt, en de VEX-output helpt uit te leggen waarom een kwetsbaarheid een product niet raakt. CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces: SBOM's uit de build met vermelde volledigheid, herkomstgegevens, het continu volgen van kwetsbaarheden en SBOM-export als CycloneDX of SPDX. Geen van beide tools maakt een product op zichzelf compliant. Lees meer over wat de CRA is en CRA-naleving.

CRACI toevoegen naast Endor Labs

Aan uw opzet met Endor Labs hoeft niets te veranderen. Installeer de CRACI GitHub App en wijzig runs-on in craci in de workflows die u wilt vastleggen. Runs verschijnen nog steeds in de GitHub-interface, en een endorctl-stap draait op een CRACI-runner zoals elke andere stap. Lees meer over SBOM-generatie tijdens de build en CI/CD-integratie.