CRACI vs OX Security

Het korte antwoord

OX Security is een platform voor application security posture management (ASPM) met eigen scanners (SAST, SCA, secrets, IaC en containers), bundeling van bevindingen van derden, posture-beleid voor CI/CD, en runtime- en cloudcontext. Voor ketenbeveiliging biedt het de Pipeline Bill of Materials (PBOM): een ondertekende vastlegging van hoe elk artefact is gebouwd, van commit via CI/CD tot productie.

CRACI concurreert om hetzelfde budget voor ketenbeveiliging. Het verschil zit in het gezichtspunt. OX koppelt aan het broncodebeheer, de CI-systemen en de registries die u al gebruikt en bouwt daaruit zijn beeld op. CRACI is de buildrunner voor GitHub Actions: het legt vast wat elke job daadwerkelijk binnenhaalde, dwingt tijdens het draaien een egressbeleid af, monitort wat is geleverd en levert CRA-bewijs. OX is veel breder; CRACI is de build zelf.

In één oogopslag

Waar OX Security sterk in is

• Een vastlegging van de build die verder gaat dan de SBOM. De PBOM van OX legt pipelinedefinities, runneridentiteit, buildargumenten, artefacthandtekeningen en versiegeschiedenis vast, en OX zegt dat hij elk open-sourcecomponent bevat dat in elke build is opgenomen. Hij wordt per build ondertekend. OX genereert ook SBOM's in SPDX en CycloneDX.
• CI/CD-posture. Beleid van OX markeert onveilige workflowbestanden, niet-vastgepinde actions van derden, verouderde GitHub Actions-opdrachten, te ruime workflowrechten, secrets in platte tekst en riskante webhooks, en kan CI-systemen markeren die niet zijn goedgekeurd voor builds.
• Handhaving in de pipeline. De OX Security Scan GitHub Action draait scans van secrets, SAST, SCA en IaC en laat de workflow mislukken wanneer de action een blokkerend probleem vindt volgens uw OX-beleid.
• Bundeling. OX haalt bevindingen binnen van scanners zoals Checkmarx, Veracode, SonarQube, Snyk, Black Duck en JFrog Xray, naast die van OX zelf.
• Brede integratiedekking. Aan de CI-kant noemt het GitHub Actions, GitLab CI/CD, Jenkins, Azure Pipelines, CircleCI en Drone CI, plus acht systemen voor broncodebeheer en tien containerregistries.
• Functies voor het AI-tijdperk. OX VibeSec dekt door AI gegenereerde code en afhankelijkheden met een AI Bill of Materials, en AI-remediatie stelt codefixes voor in pull requests en de IDE.

Waarin CRACI verschilt

Vastgelegd door de runner, niet verzameld uit gekoppelde tools

De documentatie van OX zegt dat de SBOM gegevens verzamelt uit gekoppelde bronnen, waaronder broncodebeheer, CI/CD-pipelines, containerimages en geïmporteerde bestanden. Dat geeft een breed beeld van uw hele omgeving. CRACI kijkt smaller en dieper naar elke build: een proxy die pakketten herkent, observeert het verkeer naar pakketbronnen terwijl de job draait, voor npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Het bewijs van afhankelijkheden reist mee met CI-caches, dus een pakket dat uit een cache wordt teruggezet, wordt nog steeds meegeteld.

Elke SBOM van CRACI heeft een volledigheidsstatus per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded. Zit er een gat in de vastlegging, dan staat dat erbij.

Controle terwijl de build draait

Het posture-beleid van OX controleert hoe een pipeline is geconfigureerd. CRACI beperkt wat de build kan bereiken. Egressbeleid is standaard weigeren of standaard toestaan, met 24 ingebouwde presets voor softwarebronnen, getypeerde eigen bronnen voor npm, PyPI, apt, apk, de Go-proxy, Nix, Cargo, OCI-registries en Git, en expliciete TLS-, TCP-, UDP- en ICMP-regels. Beleid wordt gevalideerd voordat de job start en is fail-closed, en CRACI kan u waarschuwen bij een overtreding.

Herkomst en monitoring uit één vastlegging

De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI ondertekent herkomstgegevens niet en claimt geen SLSA-niveau. Het blijft de SBOM's van wat u hebt geleverd opnieuw beoordelen wanneer nieuwe kwetsbaarheden worden gepubliceerd.

Een inventaris van wat waar is uitgerold

De inventarisweergave van CRACI toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. Wordt er een nieuwe kwetsbaarheid bekend, dan ziet u welke producten de getroffen versie draaien, in plaats van het bij elkaar te zoeken uit release notes en spreadsheets.

Waar OX voorloopt

Om het duidelijk te zeggen: CRACI heeft geen scans voor SAST, secrets, IaC of containers, geen CI/CD-posturecontroles, geen bundeling van scanners van derden en geen runtime- of cloudcontext. De policy gates van CRACI kunnen een build op bevindingen blokkeren, maar CRACI ondersteunt vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap. Hebt u één platform nodig dat elke pipeline en scanner omvat die u gebruikt, dan dekt OX veel meer.

Wat past bij u

OX Security past beter als

• U één ASPM-platform wilt dat veel scanners bundelt en over die scanners heen prioriteert.
• U posture-beleid voor CI/CD nodig hebt voor GitLab, Jenkins, Azure Pipelines of CircleCI.
• U vandaag pull requests wilt tegenhouden op bevindingen in code, secrets en IaC.

CRACI past beter als

• U op GitHub Actions bouwt en de runner, het egressbeleid en de vastlegging van afhankelijkheden op één plek wilt.
• U een SBOM nodig hebt van wat elke build ophaalde, met een volledigheidsstatus die u een auditor kunt tonen.
• U monitoring van wat is geleverd en CRA-bewijs uit dezelfde vastlegging wilt.

Beide gebruiken

CRACI vervangt de runner, niet GitHub Actions, dus de OX Security Scan-action draait op een CRACI-runner zoals elke andere stap. OX kan SBOM's in CycloneDX-formaat importeren, dus CRACI kan de uit de build vastgelegde SBOM aanleveren, waarmee OX kan werken.

Voor de Cyber Resilience Act

De Cyber Resilience Act vraagt fabrikanten de componenten in elk product te kennen, de kwetsbaarheden daarin af te handelen en bewijs te bewaren. De SBOM's, de PBOM en het posture-beleid van OX ondersteunen veilige ontwikkeling en een inventaris van uw hele omgeving. CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces: SBOM's uit de build, geëxporteerd als CycloneDX of SPDX, het volgen van kwetsbaarheden en herkomstgegevens via de API. Geen van beide tools maakt u op zichzelf compliant. Zie CRA-bewijs en CRA-naleving.

CRACI toevoegen

Installeer de CRACI GitHub App in uw organisatie en wijzig daarna het runnerlabel van een job in runs-on: craci. Runs blijven in de GitHub-interface verschijnen. Begin met één workflow die een release-artefact oplevert en vergelijk de SBOM van CRACI met die welke OX voor dezelfde repository toont. Lees meer over CI/CD-integratie, SBOM-generatie tijdens de build en prijzen.

Weegt u meer dan twee tools af? Alternatieven voor OX Security zet negen opties naast elkaar.