CRACI vs Sonatype

Het korte antwoord

Sonatype is het sterkst in open-sourcegovernance: beleid dat bepaalt welke componenten zijn toegestaan, een firewall die slechte pakketten bij de repository tegenhoudt, en analyse die u vertelt wat in uw applicatie is terechtgekomen. CRACI is een met GitHub Actions compatibele CI-runner die elke externe afhankelijkheid vastlegt die een build binnenhaalt, en uit die vastlegging de SBOM, herkomstgegevens en compliancebewijs maakt. Sonatype is een scanner en een poortwachter. CRACI is een recorder, waarvan de policy gates ook een build op bevindingen kunnen blokkeren. De meeste teams die beide nodig hebben, zouden ze naast elkaar draaien.

Welk Sonatype-product wat is

Sonatype verkoopt verschillende producten, en de namen zijn van belang voor deze vergelijking:

• Sonatype Lifecycle is het product voor software composition analysis (SCA) en beleid, self-hosted of als SaaS.
• Sonatype Repository Firewall blokkeert componenten die niet aan uw beleid voldoen en plaatst ze in quarantaine voordat ze uw repositories binnenkomen. Het is ontworpen voor Sonatype Nexus Repository. Sonatype Firewall Pro dekt andere repositorymanagers, zoals JFrog Artifactory, Cloudsmith en GitHub Packages, voor npm, Maven, PyPI en NuGet.
• Sonatype SBOM Manager importeert, monitort en deelt SBOM's, met een VEX-workflow.

De productindeling verandert. De prijzenpagina van Sonatype zegt dat alle mogelijkheden van Lifecycle nu in Sonatype Guide zitten, dat nieuwe klanten Guide kopen voor SCA en governance, en dat Guide ook de compliancemogelijkheden van SBOM Manager bevat.

In één oogopslag

Waar Sonatype sterk in is

Beleid op schaal. Lifecycle komt met 18 standaardbeleidsregels en meer dan 30 aanpasbare beperkingen voor regels op het gebied van beveiliging, juridische zaken en architectuur. Licentiebeleid omvat meer dan 2.000 open-sourcelicenties. Het prioriteert bevindingen met gegevens over reachability, breaking changes en beschikbare upgrades, en kan Golden Pull Requests openen met de voorgestelde upgrades.

Kijken naar wat de build heeft opgeleverd. Lifecycle-integraties gebruiken standaard Advanced Binary Fingerprinting, dat na de build alles onderzoekt wat in de applicatie zit, inclusief ingebedde afhankelijkheden, en hernoemde of gewijzigde componenten kan identificeren. Pas daarna valt het terug op lockfiles en manifests. Elk scanrapport kan worden geëxporteerd als CycloneDX- of SPDX-SBOM.

Slechte pakketten aan de poort tegenhouden. Repository Firewall dwingt uw normen voor beveiliging, licenties en kwaliteit af op het moment van downloaden en plaatst verdachte componenten in quarantaine. CRACI heeft vandaag geen equivalent: blokkeerlijsten voor pakketten staan op de roadmap.

Past in elke pipeline. Sonatype integreert met Jenkins, GitHub Actions, GitLab CI, Azure DevOps en Bamboo, plus Maven, Gradle en een CLI voor andere CI-servers. CRACI ondersteunt vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap.

Waarin CRACI verschilt

Het legt de build vast in plaats van de output te analyseren

Binary fingerprinting vertelt u wat er in de uiteindelijke applicatie zit. Het vertelt u niet wat de build onderweg heeft gedownload: compilers en toolchains, installatiescripts, base images, met curl opgehaalde releasebinaries of pakketten die uit een cache zijn teruggezet. CRACI ziet die wel, omdat het de runner is. Een proxy die pakketten herkent, observeert het verkeer naar pakketbronnen terwijl de job draait, voor npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus presets voor bronnen of downloads. Het bewijs van afhankelijkheden reist mee met CI-caches, dus gecachete pakketten worden nog steeds meegeteld.

Elke SBOM vermeldt zijn eigen volledigheid, per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded. Zit er een gat in de vastlegging, dan weet u dat.

Het bepaalt waar de build naartoe kan

Repository Firewall regelt wat via de repository binnenkomt. Een egressbeleid van CRACI regelt wat de build überhaupt kan bereiken. Beleid is standaard weigeren of standaard toestaan, met 24 ingebouwde presets voor softwarebronnen en getypeerde eigen bronnen voor npm, PyPI, apt, apk, de Go-proxy, Nix, Cargo, OCI-registries en Git. Het wordt gevalideerd voordat de job start en is fail-closed. Samen zorgen de twee ervoor dat buildjobs pakketten alleen ophalen uit de bronnen die u goedkeurt, en dat die bronnen alleen pakketten leveren die u toestaat.

Het blijft letten op wat is geleverd

De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI ondertekent herkomstgegevens niet. CRACI bundelt kwetsbaarheden over builds en repositories heen en blijft gemonitorde SBOM's opnieuw beoordelen.

Een inventaris van wat waar is uitgerold

De inventarisweergave van CRACI toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. Wordt er een nieuwe kwetsbaarheid bekend, dan ziet u welke producten de getroffen versie draaien, in plaats van het bij elkaar te zoeken uit release notes en spreadsheets.

Wanneer u beide inzet

• U draait al Nexus Repository met Firewall. Houd dat als toegangscontrole. Voeg CRACI toe zodat elke build een vastlegging heeft van wat hij ophaalde, en een egressbeleid dat builds bij uw goedgekeurde bronnen houdt.
• Uw juridische team vertrouwt op licentiebeleid in Lifecycle. Houd dat. CRACI neemt gedeclareerde licentiemetadata op in de SBOM-export en dwingt ook licentiebeleid af.
• U verzamelt SBOM's in SBOM Manager. SBOM Manager importeert CycloneDX en SPDX, dezelfde formaten die CRACI exporteert, dus SBOM's uit de build kunnen naast de SBOM's staan die u al beheert.
• Uw pipelines draaien op Jenkins of Azure DevOps. Sonatype sluit daar vandaag op aan. Voor CRACI moeten die pipelines eerst naar GitHub Actions; Jenkins staat op de roadmap.

Voor de Cyber Resilience Act

Sonatype publiceert een CRA-gebruikershandleiding en een CRA-checklist, en positioneert SBOM Manager als zijn CRA-product. De handleiding benadrukt het genereren van VEX-bestanden om over bekende kwetsbaarheden in SBOM's te rapporteren, en Nexus Repository als updatesite voor het verspreiden van beveiligingsupdates.

CRACI dekt de bewijskant vanuit de build: een SBOM voor elke release met vermelde volledigheid, herkomstgegevens, continue monitoring van kwetsbaarheden en SBOM-export als CycloneDX of SPDX. Het automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces. Geen van beide tools maakt een product op zichzelf compliant. Zie CRA-naleving en wat de CRA is.

CRACI toevoegen naast Sonatype

CRACI vervangt de runner, niet GitHub Actions. Wijzig runs-on in craci in een workflow, en runs blijven in de GitHub-interface verschijnen. Uw Sonatype-stappen blijven in de workflow. Begin met één releasepipeline, vergelijk de SBOM van CRACI met uw Lifecycle-rapport, en bekijk wat slechts een van beide heeft gezien.