Vergelijken
CI/CD-beveiligingstools vergeleken
CI/CD-beveiligingstools vallen uiteen in vier groepen: scanners die uw code lezen, tools die de pipeline eromheen harden, agents die de runner bewaken, en runners die de build controleren en vastleggen. Dit is wat elke groep dekt en waar CRACI past.
Bijgewerkt op
Elke vergelijking laat zien waar het andere product goed in is, waarin CRACI verschilt en wanneer u beide zou gebruiken. Zie alle vergelijkingen voor elke categorie.
Waarom de pipeline eigen beveiligingstools nodig heeft
Een CI/CD-pipeline bevat inloggegevens, haalt code van internet op en produceert de artefacten die uw klanten draaien. Dat maakt hem op zichzelf een doelwit. Een aanvaller die kan wijzigen wat een build downloadt of produceert, hoeft uw broncode helemaal niet aan te raken. Codescanners zijn daar niet voor gebouwd, omdat ze de repository lezen, niet de build.
CI/CD-beveiligingstools dichten dat gat vanuit verschillende richtingen. Sommige controleren hoe de pipeline is geconfigureerd, sommige bewaken wat er op de runner gebeurt terwijl een job draait, en sommige controleren de runner zelf. Weten tot welke groep een tool behoort, zegt u meer dan de functielijst, omdat dat bepaalt wat de tool kan zien en wat hij kan tegenhouden.
Soorten CI/CD-beveiligingstools
Scanners die uw code lezen
Statische analyse (SAST), secret scanning en software composition analysis (SCA) lezen de repository: bronbestanden, manifests en lockfiles. GitHub Advanced Security combineert bijvoorbeeld CodeQL-codescans met secret scanning en push protection, en Dependabot-meldingen uit de GitHub Advisory Database. Deze tools vinden problemen voordat een build draait. Ze zien niet wat de build daadwerkelijk heeft opgehaald of waarmee hij verbinding heeft gemaakt.
Tools die de pipeline rond de build harden
Posture- en governancetools controleren de configuratie van de pipeline. Cycode monitort CI/CD-beveiligingsbeleid,
configuraties en governance. StepSecurity houdt een inventaris bij van de actions van derden die u gebruikt, met
goedkeuringsworkflows voor nieuwe, en opent pull requests die actions vastpinnen op commit-SHA's en
GITHUB_TOKEN-rechten volgens least privilege instellen. Deze tools maken de pipeline moeilijker te
misbruiken, maar ze werken op de definitie van de build in plaats van op de build terwijl die draait.
Agents die de runner bewaken
Runtime-agents draaien binnen de job op runners die u houdt. StepSecurity Harden-Runner monitort uitgaande verbindingen, processen en bestandsschrijfacties, koppelt elk daarvan aan de workflowstap die het veroorzaakte, en kan egress buiten een allowlist blokkeren. Cimon van Cycode monitort met eBPF op kernelniveau procesuitvoering, uitgaand netwerkverkeer en bestandstoegang, produceert een SBOM op basis van runtime-observatie en ondertekent SLSA-herkomstgegevens. Agents werken op veel CI-systemen en op gehoste runners, omdat ze worden toegevoegd aan infrastructuur die al bestaat.
Runners die de build controleren en vastleggen
CRACI kiest de laatste aanpak: het vervangt de runner. Jobs draaien op CRACI met runs-on: craci, en runs
verschijnen nog steeds in GitHub. Het egressbeleid maakt deel uit van de runner, wordt gevalideerd voordat de job start
en is fail-closed. Een proxy die pakketten herkent, legt elk pakket vast dat de job heeft opgehaald, inclusief
pakketten die uit CI-caches zijn teruggezet, zodat elke job een SBOM met volledigheidsstatus, een netwerktrace en
herkomstgegevens oplevert.
Naast elkaar
| Functie | CRACI | StepSecurity Harden-Runner | Cycode (Cimon) | GitHub Advanced Security |
|---|---|---|---|---|
| Waar het draait | Het is de runner | Agent op runners die u behoudt | Agent in uw bestaande CI | Scant repositories op GitHub |
| Egress-controle in de build | Standaard weigeren of toestaan, valt veilig dicht | Allowlist in blokkeermodus | Prevent-modus met toegestane hosts | |
| Auditmodus vóór blokkeren | Monitor- of dry-runmodus | Baselines per job | Detect-modus | Geen egress-controle |
| Monitoring van processen en bestanden | eBPF | Niet vermeld | ||
| SBOM vastgelegd uit de build | Per job, met een volledigheidsstatus | Legt bestemmingen, processen en bestanden vast | SBOM waargenomen tijdens runtime | Graaf uit manifesten, plus ingediende builddata |
| Ondertekende herkomst van de build | Geen ondertekende herkomst | Niet vermeld | SLSA Provenance v1.0 | Artifact attestations |
| SAST | Niet vermeld | CodeQL | ||
| Secret scanning | Niet vermeld | Secret Protection | ||
| CI-dekking | Vandaag GitHub Actions; GitLab CI en Jenkins op de roadmap | GitHub Actions, GitLab CI, Azure DevOps | GitHub Actions, Azure Pipelines, Jenkins, GitLab CI, Buildkite, Harness | GitHub, en Azure DevOps als aparte aankoop |
- Inbegrepen
- Gedeeltelijk
- Niet inbegrepen
- Op de roadmap
"Niet vermeld" betekent dat we het niet konden bevestigen op de openbare pagina's van de leverancier. Zie voor de details achter elke kolom CRACI vs StepSecurity, CRACI vs Cycode en CRACI vs GitHub Advanced Security.
Welke tool dekt welk CI/CD-risico
De OWASP Top 10 CI/CD Security Risks is de meest gebruikte lijst van wat er in een pipeline mis kan gaan. De tien risico's zijn:
- CICD-SEC-1: Insufficient Flow Control Mechanisms
- CICD-SEC-2: Inadequate Identity and Access Management
- CICD-SEC-3: Dependency Chain Abuse
- CICD-SEC-4: Poisoned Pipeline Execution (PPE)
- CICD-SEC-5: Insufficient PBAC (Pipeline-Based Access Controls)
- CICD-SEC-6: Insufficient Credential Hygiene
- CICD-SEC-7: Insecure System Configuration
- CICD-SEC-8: Ungoverned Usage of 3rd Party Services
- CICD-SEC-9: Improper Artifact Integrity Validation
- CICD-SEC-10: Insufficient Logging and Visibility
Geen enkele tool dekt ze alle tien. Dit zijn de vier waarop de controles van CRACI van toepassing zijn:
| Functie | Waar het risico over gaat | Wat CRACI doet |
|---|---|---|
| CICD-SEC-3: Dependency Chain Abuse | Een build haalt een kwaadaardig of onverwacht pakket binnen | Egressbeleid beperkt de bronnen waaruit een job kan ophalen, en de SBOM van de job legt elk opgehaald pakket vast |
| CICD-SEC-7: Insecure System Configuration | Zwakke instellingen in de systemen die de pipeline draaien | Jobs draaien in geïsoleerde virtuele machines, en een beleid dat niet kan worden toegepast, is fail-closed |
| CICD-SEC-9: Improper Artifact Integrity Validation | Een gemanipuleerd artefact gaat door de pipeline alsof het legitiem is | Geen ondertekende herkomstgegevens; de API levert herkomstgegevens voor elke build |
| CICD-SEC-10: Insufficient Logging and Visibility | Aanvallen in de pipeline blijven onopgemerkt en kunnen niet worden onderzocht | Een netwerktrace voor elke job, meldingen bij beleidsovertredingen, en een API die SBOM's, netwerktraces en herkomstgegevens levert |
Voor CICD-SEC-7 dekt CRACI de runner. De configuratie van uw repositories en uw GitHub-organisatie blijft bij u. Om duidelijk te zijn over de rest: CRACI pakt identity and access management (CICD-SEC-2) en credential hygiene (CICD-SEC-6) niet aan, en het regelt geen flow control, pipelinerechten of diensten van derden (CICD-SEC-1, 5 en 8). Secret scanning, zoals Secret Protection van GitHub of de secretsdetectie van Cycode, en de posturetools hierboven zijn daarvoor gebouwd.
Hoe u een CI/CD-beveiligingstool kiest
- Uw runners vervangen of houden. Wilt u door GitHub gehoste runners, self-hosted runners of een ander CI-systeem houden, dan is een agent de manier om runtimecontroles toe te voegen. Staat u open voor een andere runner, dan brengt een runner zoals CRACI egresscontrole en een vastlegging van de build zonder dat u een agent hoeft uit te rollen.
- Auditmodus vandaag. Harden-Runner en Cimon kunnen verkeer observeren voordat ze iets blokkeren. De monitor- of dry-runmodus van CRACI staat op de roadmap.
- Forensisch onderzoek op procesniveau. Moet u tijdens een incident weten welk proces welk bestand heeft geschreven, dan dekt een agent die processen en bestanden monitort dat. CRACI monitort geen processen of bestandsschrijfacties.
- SBOM- en CRA-bewijs. Hebt u een SBOM op pakketniveau van elke build nodig, plus herkomstgegevens en bewijs voor de Cyber Resilience Act, kijk dan naar wat elke tool vastlegt en of hij blijft monitoren wat is geleverd. CRACI legt de SBOM vast terwijl de build draait, beoordeelt gemonitorde SBOM's opnieuw wanneer nieuwe kwetsbaarheden verschijnen, en exporteert SBOM's als CycloneDX of SPDX.
- CI-platforms en besturingssystemen. CRACI ondersteunt vandaag GitHub Actions, met GitLab CI en Jenkins op de roadmap, en draait Linux op x86-64 en ARM64, met Windows en macOS op de roadmap. Bouwt u op andere CI-systemen of hebt u nu Windows- of macOS-runners nodig, controleer dan eerst de dekking van agents.
- Code en secrets. Scanners voor broncode en secrets dekken terrein dat geen enkele runner dekt. CRACI heeft geen SAST of secret scanning, dus plan die apart in.
Een agent op de runner vs de runner zijn
Een agent wordt toegevoegd aan infrastructuur die iemand anders heeft ontworpen. Op door GitHub gehoste runners wordt hij geïnstalleerd door een stap aan het begin van elke job, en zijn bereik hangt af van wat die infrastructuur toestaat. Daardoor kunnen agents gehoste runners, self-hosted vloten en meerdere CI-systemen tegelijk dekken, en dat is een echt voordeel wanneer uw builds over al die omgevingen verspreid zijn.
Een runner die zelf beleid afdwingt, werkt andersom. Op CRACI wordt het egressbeleid gevalideerd voordat de job start, weigert het onbekende velden en is het fail-closed, dus een beleid dat niet kan worden toegepast, levert geen onbeschermde run op. De bronnen zijn per ecosysteem getypeerd, met 24 ingebouwde presets voor softwarebronnen en eigen bronnen voor npm, PyPI, apt, apk, de Go-proxy, Nix, Cargo, OCI-registries en Git, zodat de vastlegging over pakketten gaat en niet alleen over hosts. Op jobs die op CRACI draaien, vervangt het runtime-agents in plaats van ernaast te draaien. Lees meer over CI/CD-integratie en SBOM-generatie tijdens de build, of boek een demo om een GitHub Actions-job onder een egressbeleid te zien draaien.
CRACI vergeleken met elke tool
Naast elkaar
Meerdere tools op één pagina, voor als u een categorie kiest en niet één product.
CI/CD-beveiligingstools: uw vragen beantwoord
Wat zijn CI/CD-beveiligingstools?
CI/CD-beveiligingstools beschermen de pipeline die broncode omzet in uitgebrachte software. Ze vallen uiteen in vier groepen: scanners die uw code en afhankelijkheden lezen (SAST, secret scanning, SCA), tools die de pipelineconfiguratie rond de build harden, agents die de runner bewaken terwijl een job draait, en runners die de build zelf controleren en vastleggen. De OWASP Top 10 CI/CD Security Risks is een gangbare manier om te controleren welke risico's een tool aanpakt.
Wat is het verschil tussen CI/CD-beveiliging en SCA?
Software composition analysis (SCA) leest uw manifests en lockfiles en vertelt u welke gedeclareerde afhankelijkheden bekende kwetsbaarheden hebben. CI/CD-beveiliging beschermt de pipeline zelf: wie hem kan wijzigen, wat een build kan bereiken, en of het artefact dat u levert ook het artefact is dat is gebouwd. CRACI werkt vanuit de build: het legt de pakketten vast die elke job daadwerkelijk heeft opgehaald, inclusief pakketten die uit CI-caches zijn teruggezet, en blijft die na de release monitoren op nieuwe kwetsbaarheden.
Heb ik een runtime-agent nodig als ik CRACI gebruik?
Niet voor egresscontrole of een vastlegging van de build. Op CRACI maakt het egressbeleid deel uit van de runner, wordt het gevalideerd voordat de job start en is het fail-closed, dus CRACI vervangt agents zoals Harden-Runner en Cimon op de jobs die erop draaien. Wat u opgeeft, is monitoring van processen en bestanden, die CRACI niet biedt, en de auditmodus, die op de roadmap van CRACI staat. Is forensisch onderzoek op procesniveau een harde eis, dan dekt een runner-agent op de runners die u houdt dat vandaag.
Kunnen CI/CD-beveiligingstools kwaadaardige pakketten blokkeren?
Sommige wel, op verschillende manieren. Egresscontrole voorkomt dat een build bronnen buiten een beleid bereikt, zodat een download van een onverwachte host mislukt. Blokkeerlijsten voor pakketten en registry-controles voorkomen dat een bekende slechte versie überhaupt wordt geïnstalleerd. CRACI dwingt vandaag per job een egressbeleid af, met bronnen die per ecosysteem zijn getypeerd; organisatiebrede blokkeerlijsten voor pakketten staan op de roadmap van CRACI.
Welke CI/CD-beveiligingstools werken buiten GitHub Actions?
Per september 2026 vermeldt StepSecurity GitLab CI en Azure DevOps naast GitHub Actions, en draait Cimon van Cycode ook op Azure Pipelines, Jenkins, GitLab CI, Buildkite en Harness. GitHub Advanced Security wordt ook verkocht voor Azure DevOps. CRACI ondersteunt vandaag GitHub Actions, met GitLab CI en Jenkins op de roadmap.
Andere categorieën
Bekijk CRACI in uw eigen pipeline
Boek een demo en we lopen samen uw builds, uw SBOM's en uw nalevingsbewijs door.
Demo boeken