CRACI vs. Mend.io

Det korte svaret

Mend.io er en plattform for applikasjonssikkerhet. Mend AppSec kombinerer Mend SAST for din egen kode med Mend SCA for avhengigheter med åpen kildekode og containere, og Mend Renovate holder avhengigheter oppdatert med automatiserte pull requests. CRACI er en GitHub Actions-kompatibel CI-runner som registrerer hver ekstern avhengighet et bygg henter, og produserer SBOM-en, provenance og samsvarsdokumentasjonen fra den registreringen. Mend er en skanner. CRACI er en registrator. Bruker du Mend i dag, legger CRACI til et lag i stedet for å erstatte et.

Oversikt

Hva Mend.io gjør bra

Prioriterer det som kan nås. Mend SCA følger kallgrafen fra koden din gjennom direkte og transitive avhengigheter for å avgjøre om applikasjonen din faktisk kaller en sårbar funksjon. Det kutter listen over funn et team må handle på. CRACI samler sårbarheter på tvers av bygg og repositorier, men utfører ikke reachability-analyse.

Kode så vel som avhengigheter. Mend SAST dekker mer enn 30 språk, og Mend CLI skanner komponenter med åpen kildekode, egen kode, container-images og infrastruktur som kode. CRACI gjør ingenting av dette.

Holder avhengigheter oppdatert. Mend Renovate åpner pull requests for utdaterte pakker på tvers av 90+ pakkebehandlere. Renovate CLI og Community-utgavene er gratis; Enterprise legger til sikkerhetsfunksjoner og support.

Lisenser, ondsinnede pakker og SBOM-er. Mend SCA oppdager lisensene på direkte og transitive avhengigheter og håndhever policyer, for eksempel blokkering av AGPL i kommersielle produkter. Det flagger typosquats, dependency confusion og pakker med bakdører eller kode for dataeksfiltrering. Det produserer SPDX- og CycloneDX-SBOM-er, tar inn SBOM-er fra tredjeparter og bruker VEX-data.

Der CRACI skiller seg ut

Observasjon i stedet for rekonstruksjon

Mends egen dokumentasjon anbefaler å skanne etter byggesteget, fordi det er bygget som gir skanneren tilgang til private registre og eksterne artefakter, og skanning uten bygg kan gi unøyaktige resultater. Det er et godt instinkt. CRACI tar det ett steg videre: I stedet for å lese prosjektet når bygget er ferdig, registrerer det selve bygget.

En pakkebevisst proxy på CRACI-runneren observerer trafikk til pakkekilder mens jobben kjører, for npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, pluss forhåndsinnstillinger for nedlastinger. Dokumentasjonen av avhengigheter følger med CI-cacher, så pakker gjenopprettet fra en cache likevel blir regnet med. Hver SBOM angir fullstendigheten sin per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Kontroll over byggets nettverk

Fordi CRACI kjører jobben, kan det begrense hvor jobben går. Egress-policyer er default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder og typede egendefinerte kilder for npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registre og Git. De valideres før jobben starter, og blokkerer ved feil (fail closed). Mend oppdager en ondsinnet pakke når den først er i avhengighetstreet ditt. En egress-policy begrenser hvilke kilder et bygg i det hele tatt kan nå. De to lagene virker på ulike tidspunkter.

Dokumentasjon fra bygget

API-et returnerer SBOM-er, nettverksspor og provenance. CRACI signerer ikke provenance.

En oversikt over hva som er rullet ut hvor

Inventarvisningen i CRACI viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. Når en ny sårbarhet dukker opp, kan du se hvilke produkter som kjører den berørte versjonen, i stedet for å pusle det sammen fra utgivelsesnotater og regneark.

Hva som passer

• Hovedproblemet ditt er et etterslep av funn i kode og avhengigheter. Mend, med SAST, reachability og Renovate, er bygget for det.
• Du må bevise hva som gikk inn i hver utgivelse. CRACI registrerer det per bygg og angir hvor fullstendig registreringen er.
• Byggene dine gjør mer enn å installere fra en lockfile. Nedlasting av verktøykjeder, base-images og henting med curl er der observasjon gir mest.
• Pipelinene dine er på Azure DevOps, Bitbucket eller CircleCI. Mend passer i dag. CRACI støtter bare GitHub Actions i dag, med GitLab CI og Jenkins på veikartet.

For Cyber Resilience Act

Mend.io publiserer en CRA-samsvarsguide og en samsvarsside som kartlegger produktene mot forordningen: Mend AppSec for CycloneDX- og SPDX-SBOM-er og reachability-basert prioritering, Mend Renovate for løpende håndtering av sårbarheter gjennom avhengighetsoppdateringer, og lisenssamsvar dokumentert ved siden av sikkerhetstilstand.

CRACI bidrar med dokumentasjon fra bygget: en SBOM for hver utgivelse med angitt fullstendighet, provenance, kontinuerlig overvåking og SBOM-eksport som CycloneDX eller SPDX. Det automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess. Ikke noe enkelt verktøy gjør et produkt samsvarende. Se CRA-samsvar og hva CRA er.

Slik legger du CRACI til ved siden av Mend.io

CRACI erstatter runneren, ikke GitHub Actions. Endre runs-on til craci i en workflow, så vises kjøringene fortsatt i GitHub-grensesnittet. Mend CLI-steget blir der det er, etter bygget. Kjør én utgivelsespipeline på CRACI, og sammenlign SBOM-en med inventaret i Mend for samme commit.