CRACI vs. Endor Labs

Det korte svaret

Endor Labs er en plattform for applikasjonssikkerhet bygget rundt reachability. Den analyserer kildekoden din og avhengighetene dine for å avgjøre hvilke kjente sårbarheter applikasjonen din kan kalle, og hjelper deg så med å rette dem først. Den dekker også egen kode, hemmeligheter, containere og ondsinnede pakker.

CRACI er en CI-runner for GitHub Actions. Jobbene dine kjører på den, og mens de kjører, registrerer den hver ekstern avhengighet de henter, og kontrollerer hva de kan nå på nettverket. Endor Labs forteller deg hvilke funn som betyr noe. CRACI gir deg en registrering av hva som gikk inn i hver utgivelse. De to passer sammen uten overlapp i kjerneoppgavene.

Oversikt

Hva Endor Labs gjør bra

Reachability er hovedsaken. Endor Labs bruker statisk programanalyse til å utføre reachability-analyse på funksjonsnivå av direkte og transitive avhengigheter, og sporer kodestier fra kildekoden din til den sårbare funksjonen. Der et fullt bygg ikke er mulig, gir reachability på avhengighetsnivå og forhåndsberegnet reachability grovere alternativer. Endor Labs sier at dette kutter SCA-funn med 92 % ved å filtrere bort sårbarheter som ikke kan kalles i koden din. For et team som drukner i avhengighetsvarsler, er det den mest direkte lettelsen som finnes.

Rettesiden er også sterk. Analyse av oppgraderingseffekt ser etter brytende endringer før du oppgraderer og tildeler en utbedringsrisiko, automatiserte pull requests gjennomfører oppgraderingen, og Endor Patches tilbakefører en sikkerhetsrettelse fra upstream til versjonen du allerede kjører, når en oppgradering ikke er praktisk mulig.

Utover avhengigheter med åpen kildekode inkluderer plattformen AI SAST, oppdagelse av hemmeligheter, containerskanning, oppdagelse av ondsinnede pakker og en Package Firewall som står som en proxy mellom artefaktrepositoriet ditt og offentlige registre. SBOM Hub genererer og importerer CycloneDX- og SPDX-SBOM-er, produserer reachability-baserte VEX-dokumenter og fortsetter å oppdatere risikoen etter hvert som nye sårbarheter publiseres. Endor Labs integreres med GitHub Actions, GitLab, Jenkins, CircleCI, Buildkite og Bitbucket, og språkene det støtter, omfatter C og C++, Java, Go, Rust, Python og JavaScript.

CRACI gjør ingenting av arbeidet med reachability, SAST, hemmeligheter eller containerskanning. Trenger du det, behold Endor Labs eller et lignende verktøy.

Der CRACI skiller seg ut

Bygget er sannhetskilden

Endor Labs behandler kildekoden som fasiten for inventaret sitt, noe som fanger direkte, transitive og fantomavhengigheter som et manifest alene ville gått glipp av. CRACI starter et annet sted: i selve bygget. En pakkebevisst proxy på runneren observerer trafikk til pakkekilder mens jobben kjører, på tvers av npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, pluss forhåndsinnstillinger for nedlastinger. Dokumentasjonen følger med CI-cacher, så en pakke gjenopprettet fra en cache likevel blir regnet med. Fordi runneren ser trafikken, blir også avhengigheter hentet inn av installasjonsskript eller nedlastingssteg observert, ikke bare de som er nevnt i et manifest.

Hver SBOM har en fullstendighetsstatus per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Når registreringen har et hull, får du beskjed.

Kontroll over hva bygget kan nå

Fordi CRACI er runneren, kan du sette en egress-policy for hver jobb: default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder og typede egendefinerte kilder for registre og Git. Policyer valideres før jobben starter, og blokkerer ved feil (fail closed). Package Firewall fra Endor Labs filtrerer hvilke pakker som kommer inn gjennom artefaktrepositoriet ditt. CRACIs policy begrenser hver tilkobling bygget gjør. Det er ulike lag, og de fungerer godt sammen.

Provenance og overvåking av det som ble levert

Endor Labs signerer artefakter; det gjør ikke CRACI. CRACIs data kommer fra runneren som så på bygget, og API-et returnerer SBOM-er, nettverksspor og provenance. CRACI samler sårbarheter på tvers av bygg og repositorier og fortsetter å vurdere overvåkede SBOM-er på nytt.

En oversikt over hva som er rullet ut hvor

Inventarvisningen i CRACI viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. Når en ny sårbarhet dukker opp, kan du se hvilke produkter som kjører den berørte versjonen, i stedet for å pusle det sammen fra utgivelsesnotater og regneark.

Hva som passer

• Problemet ditt er mengden varsler: Start med Endor Labs. Reachability og analyse av oppgraderingseffekt sikter rett mot det.
• Problemet ditt er å bevise hva som er i en utgivelse: CRACI registrerer det fra bygget.
• Du er bekymret for hva bygg kan laste ned: CRACIs egress-policy begrenser runneren, og Package Firewall fra Endor Labs siler pakker. Bruk begge hvis risikoen er høy.
• Du kjører GitLab, Jenkins eller CircleCI: Endor Labs dekker dem i dag. CRACI støtter bare GitHub Actions, så disse pipelinene må flyttes til GitHub Actions for å kjøre på CRACI. GitLab CI og Jenkins står på veikartet.

For Cyber Resilience Act

Endor Labs oppgir EUs Cyber Resilience Act blant dokumentasjonskravene SBOM Hub støtter, og VEX-utdataene hjelper med å forklare hvorfor en sårbarhet ikke påvirker et produkt. CRACI automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess: SBOM-er fra bygget med angitt fullstendighet, provenance-data, kontinuerlig sårbarhetssporing og SBOM-eksport som CycloneDX eller SPDX. Ingen av verktøyene gjør et produkt samsvarende på egen hånd. Les mer om hva CRA er og CRA-samsvar.

Slik legger du CRACI til ved siden av Endor Labs

Ingenting i oppsettet ditt for Endor Labs må endres. Installer CRACI GitHub App, og endre deretter runs-on til craci i workflowene du vil registrere. Kjøringene vises fortsatt i GitHub-grensesnittet, og et endorctl-steg kjører på en CRACI-runner som ethvert annet steg. Les mer om SBOM-generering under bygget og CI/CD-integrasjon.