CRACI vs. OX Security

Det korte svaret

OX Security er en plattform for application security posture management (ASPM) med egne skannere (SAST, SCA, hemmeligheter, IaC og containere), samling av funn fra tredjeparter, tilstandspolicyer for CI/CD og kontekst fra kjøretid og sky. For sikkerhet i leverandørkjeden tilbyr selskapet Pipeline Bill of Materials (PBOM): en signert oversikt over hvordan hver artefakt ble bygget, fra commit gjennom CI/CD til produksjon.

CRACI konkurrerer om samme budsjett for leverandørkjeden. Forskjellen er ståstedet. OX kobler seg til kildekontrollen, CI-systemene og registrene du allerede bruker, og bygger bildet sitt fra dem. CRACI er byggerunneren for GitHub Actions: Det registrerer hva hver jobb faktisk hentet inn, håndhever en egress-policy mens jobben kjører, overvåker det som ble levert, og produserer CRA-dokumentasjon. OX er mye bredere; CRACI er selve bygget.

Oversikt

Hva OX Security gjør bra

• En byggeregistrering utover SBOM-en. PBOM fra OX fanger opp pipeline-definisjoner, runner-identitet, byggeargumenter, artefaktsignaturer og versjonshistorikk, og OX sier at den inneholder hver komponent med åpen kildekode som ble løst inn i hvert bygg. Den signeres per bygg. OX genererer også SBOM-er i SPDX og CycloneDX.
• CI/CD-tilstand. Policyer i OX flagger usikre workflow-filer, upinnede actions fra tredjeparter, utdaterte GitHub Actions-kommandoer, for vide workflow-tillatelser, hemmeligheter i klartekst og risikable webhooks, og kan flagge CI-systemer som ikke er godkjent for bygg.
• Håndheving i pipelinen. GitHub Action-en OX Security Scan kjører skanninger av hemmeligheter, SAST, SCA og IaC og lar workflowen feile når den finner et blokkerende problem under OX-policyene dine.
• Samling. OX henter inn funn fra skannere som Checkmarx, Veracode, SonarQube, Snyk, Black Duck og JFrog Xray, ved siden av sine egne.
• Bred integrasjonsdekning. På CI-siden oppgir OX GitHub Actions, GitLab CI/CD, Jenkins, Azure Pipelines, CircleCI og Drone CI, pluss åtte kildekontrollsystemer og ti containerregistre.
• Funksjoner for AI-tiden. OX VibeSec dekker AI-generert kode og AI-genererte avhengigheter med en AI Bill of Materials, og AI-utbedring foreslår koderettinger i pull requests og IDE-en.

Der CRACI skiller seg ut

Registrert av runneren, ikke samlet inn fra tilkoblede verktøy

Dokumentasjonen til OX sier at SBOM-en samler data fra tilkoblede kilder, inkludert kildekontroll, CI/CD-pipelines, container-images og importerte filer. Det gir et bredt bilde av hele miljøet ditt. CRACI ser smalere og dypere på hvert bygg: En pakkebevisst proxy observerer trafikk til pakkekilder mens jobben kjører, på tvers av npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, pluss forhåndsinnstillinger for nedlastinger. Dokumentasjonen av avhengigheter følger med CI-cacher, så en pakke gjenopprettet fra en cache likevel blir tatt med.

Hver SBOM fra CRACI har en fullstendighetsstatus per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Når registreringen har et hull, sier den fra.

Kontroll mens bygget kjører

Tilstandspolicyene i OX sjekker hvordan en pipeline er konfigurert. CRACI begrenser hva bygget kan nå. Egress-policyer er default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder, typede egendefinerte kilder for npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registre og Git, og eksplisitte TLS-, TCP-, UDP- og ICMP-regler. Policyer valideres før jobben starter, og blokkerer ved feil (fail closed), og CRACI kan varsle deg ved et brudd.

Provenance og overvåking fra én registrering

API-et returnerer SBOM-er, nettverksspor og provenance. CRACI signerer ikke provenance og hevder ikke noe SLSA-nivå. Det fortsetter å vurdere SBOM-ene for det du leverte, på nytt etter hvert som nye sårbarheter publiseres.

En oversikt over hva som er rullet ut hvor

Inventarvisningen i CRACI viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. Når en ny sårbarhet dukker opp, kan du se hvilke produkter som kjører den berørte versjonen, i stedet for å pusle det sammen fra utgivelsesnotater og regneark.

Der OX ligger foran

For å si det rett ut: CRACI har ingen skanning av SAST, hemmeligheter, IaC eller containere, ingen tilstandssjekker for CI/CD, ingen samling av tredjepartsskannere og ingen kontekst fra kjøretid eller sky. Policy gates i CRACI kan blokkere et bygg på grunn av funn, men CRACI støtter bare GitHub Actions i dag, med GitLab CI og Jenkins på veikartet. Hvis du trenger én plattform som spenner over alle pipelines og skannere du kjører, dekker OX mye mer.

Hva som passer

OX Security passer bedre når

• Du vil ha én ASPM-plattform som samler mange skannere og prioriterer på tvers av dem.
• Du trenger tilstandspolicyer for CI/CD på tvers av GitLab, Jenkins, Azure Pipelines eller CircleCI.
• Du vil ha sperrer på pull requests for funn i kode, hemmeligheter og IaC i dag.

CRACI passer bedre når

• Du bygger på GitHub Actions og vil ha runneren, egress-policyen og registreringen av avhengigheter på ett sted.
• Du trenger en SBOM over hva hvert bygg hentet, med en fullstendighetsstatus du kan vise en revisor.
• Du vil ha overvåking av det som ble levert, og CRA-dokumentasjon fra samme registrering.

Slik bruker du begge

CRACI erstatter runneren, ikke GitHub Actions, så action-en OX Security Scan kjører på en CRACI-runner som alle andre steg. OX kan importere SBOM-er i CycloneDX-format, så CRACI kan levere SBOM-en registrert fra bygget som OX kan jobbe ut fra.

For Cyber Resilience Act

Cyber Resilience Act ber produsenter kjenne komponentene i hvert produkt, håndtere sårbarheter i dem og ta vare på dokumentasjon. SBOM-ene, PBOM-en og tilstandspolicyene fra OX støtter sikker utvikling og et inventar på tvers av miljøet ditt. CRACI automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess: SBOM-er fra bygget eksportert som CycloneDX eller SPDX, sårbarhetssporing og provenance via API-et. Ingen av verktøyene gjør deg samsvarende på egen hånd. Se CRA-dokumentasjon og CRA-samsvar.

Slik legger du til CRACI

Installer CRACI GitHub App i organisasjonen din, og endre så runner-etiketten på en jobb til runs-on: craci. Kjøringer vises fortsatt i GitHub-grensesnittet. Start med én workflow som produserer en utgivelsesartefakt, og sammenlign SBOM-en fra CRACI med den OX viser for samme repository. Les mer om CI/CD-integrasjon, SBOM-generering under bygget og priser.

Vurderer du mer enn to verktøy? OX Security-alternativer sammenligner ni alternativer side om side.