CRACI vs. Checkmarx One

Det korte svaret

Checkmarx One er en plattform for applikasjonssikkerhet: statisk analyse, software composition analysis (SCA), oppdagelse av hemmeligheter, IaC, API-sikkerhet, containersikkerhet, beskyttelse mot ondsinnede pakker og posture management på ett sted. CRACI er en GitHub Actions-kompatibel CI-runner som registrerer hver ekstern avhengighet et bygg henter inn, og produserer SBOM-en, provenance og samsvarsdokumentasjonen ut fra den registreringen. Checkmarx One er en skanner, med mange motorer. CRACI er en registrator. De overlapper på SBOM-er og sårbarhetssporing, og lite annet.

Kort oppsummert

Hva Checkmarx One gjør bra

Bredde. Checkmarx One dekker egen kode (SAST), hemmeligheter, infrastruktur som kode, API-er, containere, avhengigheter med åpen kildekode, repositoriehelse og AI-komponenter, og samler funnene i ASPM-laget sitt. Hvis du vil ha én leverandør for testing av applikasjonssikkerhet, er CRACI ingen erstatning. Det tester ikke koden din i det hele tatt.

Vite hvilke sårbarheter som betyr noe. Checkmarx SCA bruker exploitable path analysis for å avgjøre hvilke sårbare klasser eller funksjoner i tredjepartsbiblioteker koden din kan kalle. Det skanner direkte og transitive avhengigheter, inkludert private pakker, til ubegrenset dybde. Policyer for alvorlighetsgrad, reachability, ondsinnet kode og lisenser kan sende varsler, hindre pull requests og stoppe bygg.

Ondsinnede pakker. Checkmarx har en stor egen database over ondsinnede pakker med åpen kildekode, som dekker typosquatting, dependency confusion og kompromitterte kontoer, og kan blokkere et bygg automatisk når en av dem dukker opp i avhengighetstreet ditt.

SBOM-er og integrasjoner. Checkmarx One eksporterer SBOM-rapporter i CycloneDX 1.7 eller SPDX 2.3, med valgfrie VEX-triagedata i CycloneDX, og kan importere SBOM-er. Det har plugins for Jenkins, TeamCity, GitHub Actions, Azure DevOps og Maven, og bruker CLI-en sin for GitLab, Bitbucket Pipelines, CircleCI, Bamboo og AWS CodeBuild. For Code Repository Integration-prosjekter kan det åpne en automatisk pull request med utbedrede pakkeversjoner; utgivelsesnotatene oppga npm-manifester (package.json) ved lansering.

Der CRACI er annerledes

Hva skanneren ser, og hva bygget gjorde

Checkmarx One GitHub Action pakker inn Checkmarx CLI, som lager et zip-arkiv av kilderepositoriet ditt og laster det opp for skanning. SCA Resolver kan i stedet hente ut avhengigheter og fingeravtrykk lokalt, med dine egne pakkebehandlere, og sende dem til analyse uten kildekoden din. Uansett starter analysen fra prosjektet: koden, manifestene og avhengighetstreet de løses til.

CRACI starter fra bygget. Det er runneren, så en pakkebevisst proxy observerer hva jobben faktisk laster ned fra pakkekilder: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, pluss forhåndsinnstillinger for nedlastinger. Det omfatter verktøykjeder, base-images, utgivelsesnedlastinger og pakker gjenopprettet fra CI-cacher. Hver SBOM angir fullstendigheten per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Kontroll, ikke bare deteksjon

Fordi bygget kjører på CRACI, kan du sette en egress-policy for det: default deny eller default allow, 24 innebygde forhåndsinnstillinger for programvarekilder og typede egendefinerte kilder for npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registre og Git. Policyer valideres før jobben starter, og blokkerer ved feil (fail closed). Checkmarx bedømmer pakker etter hva de er. CRACI begrenser hvor et bygg kan hente fra. CRACI oppdager ikke ondsinnede pakker etter omdømme, så de to lagene utfyller hverandre.

Provenance og overvåking

API-et returnerer SBOM-er, nettverksspor og provenance. CRACI samler sårbarheter på tvers av bygg og repositorier og fortsetter å vurdere overvåkede SBOM-er på nytt.

En oversikt over hva som er utrullet hvor

Inventarvisningen i CRACI viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. Når en ny sårbarhet dukker opp, kan du se hvilke produkter som kjører den berørte versjonen, i stedet for å sette det sammen fra utgivelsesnotater og regneark.

Når du bør bruke begge

• Sikkerhetstesting pluss dokumentasjon for utgivelser. Checkmarx One i pull requests for kode, hemmeligheter, IaC og avhengighetsrisiko. CRACI som runner for utgivelsesbygg, med SBOM- og provenance-data for hvert bygg.
• Forsvar av leverandørkjeden i lag. Beskyttelsen mot ondsinnede pakker i Checkmarx flagger dårlige pakker. Egress-policyen i CRACI holder bygg på godkjente kilder og registrerer hver henting.
• Pipelines utenfor GitHub Actions. Checkmarx One passer Jenkins, TeamCity, Azure DevOps og GitLab i dag. CRACI støtter bare GitHub Actions i dag, med GitLab CI og Jenkins på veikartet, så de pipelinene må flyttes først.

For Cyber Resilience Act

Checkmarx tilbyr en CRA-vurdering som del av AppSec Program Maturity Assessment (APMA), som måler praksis for security by design og sårbarhetshåndtering mot CRA-kravene for tilkoblede produkter. Bloggen deres hevder at AppSec er i ferd med å bli det tekniske implementeringslaget for CRA-samsvar, med særlig vekt på å dokumentere AI-komponenter gjennom AI-BOM-er.

CRACI legger til dokumentasjon fra bygget: hva som gikk inn i hver utgivelse, hvor fullstendig registreringen er, og kontinuerlig overvåking etterpå, med SBOM-er som eksporteres som CycloneDX eller SPDX. Det automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess. Ingen av verktøyene gjør et produkt samsvarende alene. Se CRA-samsvar og CRA-dokumentasjon.

Legge CRACI til ved siden av Checkmarx One

CRACI erstatter runneren, ikke GitHub Actions. Endre runs-on til craci i en workflow, så vises kjøringene fortsatt i GitHub-grensesnittet. Checkmarx One GitHub Action blir værende i workflowen som et steg. Start med én utgivelsespipeline, og sammenlign SBOM-en fra CRACI med SBOM-rapporten fra Checkmarx One for samme commit.

Vurderer du flere enn to verktøy? Checkmarx-alternativer sammenligner ni alternativer side om side.