CRACI vs Mend.io

Het korte antwoord

Mend.io is een platform voor applicatiebeveiliging. Mend AppSec combineert Mend SAST voor uw eigen code met Mend SCA voor open-sourceafhankelijkheden en containers, en Mend Renovate houdt afhankelijkheden actueel met geautomatiseerde pull requests. CRACI is een met GitHub Actions compatibele CI-runner die elke externe afhankelijkheid vastlegt die een build ophaalt, en op basis van die vastlegging de SBOM, herkomstgegevens en het compliancebewijs maakt. Mend is een scanner. CRACI is een recorder. Gebruikt u vandaag Mend, dan voegt CRACI een laag toe in plaats van er een te vervangen.

In één oogopslag

Waar Mend.io sterk in is

Prioriteren wat bereikbaar is. Mend SCA traceert de call graph van uw code door directe en transitieve afhankelijkheden heen om te bepalen of uw applicatie een kwetsbare functie daadwerkelijk aanroept. Dat verkort de lijst met bevindingen waarop een team moet reageren. CRACI bundelt kwetsbaarheden over builds en repositories heen, maar doet geen reachability-analyse.

Code én afhankelijkheden. Mend SAST dekt meer dan 30 talen, en de Mend CLI scant open-sourcecomponenten, eigen code, containerimages en infrastructure as code. CRACI doet niets daarvan.

Afhankelijkheden actueel houden. Mend Renovate opent pull requests voor verouderde pakketten voor 90+ pakketbeheerders. De Renovate CLI- en Community-edities zijn gratis; Enterprise voegt beveiligingsfuncties en support toe.

Licenties, kwaadaardige pakketten en SBOM's. Mend SCA detecteert de licenties op directe en transitieve afhankelijkheden en dwingt beleid af, zoals het blokkeren van AGPL in commerciële producten. Het markeert typosquats, dependency confusion en pakketten met backdoors of code voor data-exfiltratie. Het maakt SPDX- en CycloneDX-SBOM's, importeert SBOM's van derden en past VEX-gegevens toe.

Waarin CRACI verschilt

Observatie in plaats van reconstructie

De eigen documentatie van Mend raadt aan na de buildstap te scannen, omdat de build de scanner toegang geeft tot privéregistries en externe artefacten, en scannen zonder te bouwen onnauwkeurige resultaten kan geven. Dat is een goed instinct. CRACI gaat een stap verder: in plaats van het project te lezen als de build klaar is, legt het de build zelf vast.

Een proxy op de CRACI-runner die pakketten herkent, observeert het verkeer naar pakketbronnen terwijl de job draait, voor npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Het bewijs van afhankelijkheden reist mee met CI-caches, dus pakketten die uit een cache worden teruggezet, tellen nog steeds mee. Elke SBOM vermeldt zijn volledigheid per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded.

Controle over het buildnetwerk

Omdat CRACI de job draait, kan het beperken waar de job naartoe gaat. Egressbeleid is standaard weigeren of standaard toestaan, met 24 ingebouwde presets voor softwarebronnen en getypeerde eigen bronnen voor npm, PyPI, apt, apk, de Go-proxy, Nix, Cargo, OCI-registries en Git. Het wordt gevalideerd voordat de job start en is fail-closed. Mend detecteert een kwaadaardig pakket zodra het in uw afhankelijkheidsboom zit. Een egressbeleid beperkt om te beginnen welke bronnen een build kan bereiken. De twee lagen werken op verschillende momenten.

Bewijs uit de build

De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI ondertekent herkomstgegevens niet.

Een inventaris van wat waar is uitgerold

De inventarisweergave van CRACI toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. Wordt er een nieuwe kwetsbaarheid bekend, dan ziet u welke producten de getroffen versie draaien, in plaats van het bij elkaar te zoeken uit release notes en spreadsheets.

Wat past bij u

• Uw grootste probleem is een achterstand aan bevindingen in code en afhankelijkheden. Mend, met SAST, reachability en Renovate, is daarvoor gebouwd.
• U moet bewijzen wat er in elke release is gegaan. CRACI legt het per build vast en vermeldt hoe volledig de vastlegging is.
• Uw builds doen meer dan installeren vanuit een lockfile. Bij toolchain-downloads, base images en curl-downloads voegt observatie het meest toe.
• Uw pipelines staan op Azure DevOps, Bitbucket of CircleCI. Mend sluit daar vandaag op aan. CRACI ondersteunt vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap.

Voor de Cyber Resilience Act

Mend.io publiceert een CRA-compliancegids en een compliancepagina die zijn producten aan de verordening koppelt: Mend AppSec voor CycloneDX- en SPDX-SBOM's en prioritering op reachability, Mend Renovate voor doorlopende afhandeling van kwetsbaarheden via updates van afhankelijkheden, en licentiecompliance die naast de beveiligingsposture wordt gedocumenteerd.

CRACI draagt bewijs uit de build bij: een SBOM voor elke release met vermelde volledigheid, herkomstgegevens, continue monitoring en SBOM-export als CycloneDX of SPDX. Het automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces. Geen enkele tool maakt op zichzelf een product compliant. Zie CRA-naleving en wat de CRA is.

CRACI toevoegen naast Mend.io

CRACI vervangt de runner, niet GitHub Actions. Wijzig runs-on in craci in een workflow en runs verschijnen nog steeds in de GitHub-interface. Uw Mend CLI-stap blijft waar die staat, na de build. Draai één releasepipeline op CRACI en vergelijk de SBOM met de inventaris van Mend voor dezelfde commit.