CRACI vs. Sonatype

Det korte svaret

Sonatype er best på styring av åpen kildekode: policyer som avgjør hvilke komponenter som er tillatt, en brannmur som stopper dårlige pakker ved repositoriet, og analyse som forteller deg hva som havnet i applikasjonen din. CRACI er en GitHub Actions-kompatibel CI-runner som registrerer hver ekstern avhengighet et bygg henter inn, og produserer SBOM-en, provenance og compliance-dokumentasjon fra den registreringen. Sonatype er en skanner og en portvakt. CRACI er en registrerer, der policy gates også kan blokkere et bygg på grunn av funn. De fleste team som trenger begge, vil kjøre dem side om side.

Hvilket Sonatype-produkt er hva

Sonatype selger flere produkter, og navnene betyr noe for denne sammenligningen:

• Sonatype Lifecycle er produktet for software composition analysis (SCA) og policy, og kjører selvhostet eller som SaaS.
• Sonatype Repository Firewall blokkerer komponenter som ikke oppfyller policyene dine, og setter dem i karantene før de kommer inn i repositoriene dine. Det er utformet for Sonatype Nexus Repository. Sonatype Firewall Pro dekker andre repository-behandlere, som JFrog Artifactory, Cloudsmith og GitHub Packages, for npm, Maven, PyPI og NuGet.
• Sonatype SBOM Manager importerer, overvåker og deler SBOM-er, med en VEX-arbeidsflyt.

Pakketilbudet er i endring. Prissiden til Sonatype sier at alle Lifecycle-funksjoner nå er inkludert i Sonatype Guide, at nye kunder kjøper Guide for SCA og styring, og at Guide også inkluderer compliance-funksjonene i SBOM Manager.

Oversikt

Hva Sonatype gjør bra

Policy i stor skala. Lifecycle leveres med 18 standardpolicyer og mer enn 30 tilpassbare begrensninger som dekker regler for sikkerhet, juss og arkitektur. Lisenspolicyene omfatter mer enn 2 000 lisenser for åpen kildekode. Det prioriterer funn med data om reachability, brytende endringer og tilgjengelige oppgraderinger, og det kan åpne Golden Pull Requests med de foreslåtte oppgraderingene.

Ser på det bygget produserte. Lifecycle-integrasjoner bruker som standard Advanced Binary Fingerprinting, som undersøker alt som er inkludert i applikasjonen etter bygget, også innebygde avhengigheter, og kan identifisere omdøpte eller endrede komponenter. Først da faller det tilbake til lockfiler og manifester. Hver skannerapport kan eksporteres som en SBOM i CycloneDX eller SPDX.

Stopper dårlige pakker i døren. Repository Firewall håndhever standardene dine for sikkerhet, lisenser og kvalitet ved nedlasting og setter mistenkelige komponenter i karantene. CRACI har ikke noe tilsvarende i dag: blokkering av pakker står på veikartet.

Passer til alle pipelines. Sonatype integreres med Jenkins, GitHub Actions, GitLab CI, Azure DevOps og Bamboo, pluss Maven, Gradle og en CLI for andre CI-servere. CRACI støtter bare GitHub Actions i dag, med GitLab CI og Jenkins på veikartet.

Der CRACI skiller seg ut

Det registrerer bygget i stedet for å analysere resultatet

Binær fingeravtrykking forteller deg hva som er inne i den ferdige applikasjonen. Den forteller deg ikke hva bygget lastet ned underveis: kompilatorer og verktøykjeder, installasjonsskript, base-images, utgivelsesbinærfiler hentet med curl eller pakker gjenopprettet fra en cache. CRACI ser disse fordi det er runneren. En pakkebevisst proxy observerer trafikk til pakkekilder mens jobben kjører, og dekker npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, pluss forhåndsinnstillinger for kilder eller nedlastinger. Dokumentasjonen av avhengigheter følger med CI-cacher, så pakker fra cache likevel blir tatt med.

Hver SBOM angir sin egen fullstendighet, per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Når registreringen har et hull, vet du det.

Det kontrollerer hvor bygget kan gå

Repository Firewall styrer hva som kommer gjennom repositoriet. En egress-policy i CRACI styrer hva bygget i det hele tatt kan nå. Policyer er default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder og typede egendefinerte kilder for npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registre og Git. De valideres før jobben starter, og blokkerer ved feil (fail closed). Sammen lar de to deg sørge for at byggejobber bare henter pakker fra kildene du godkjenner, og at disse kildene bare leverer pakker du tillater.

Det fortsetter å følge med på det som ble levert

API-et returnerer SBOM-er, nettverksspor og provenance. CRACI signerer ikke provenance. CRACI samler sårbarheter på tvers av bygg og repositorier og fortsetter å vurdere overvåkede SBOM-er på nytt.

En oversikt over hva som er rullet ut hvor

Inventarvisningen i CRACI viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. Når en ny sårbarhet dukker opp, kan du se hvilke produkter som kjører den berørte versjonen, i stedet for å pusle det sammen fra utgivelsesnotater og regneark.

Når du bør bruke begge

• Du kjører allerede Nexus Repository med Firewall. Behold det som portvakt. Legg til CRACI, så hvert bygg har en registrering av hva det hentet, og en egress-policy som holder bygg til de godkjente kildene dine.
• Juridisk avdeling er avhengig av lisenspolicyene i Lifecycle. Behold dem. CRACI inkluderer deklarerte lisensmetadata i SBOM-eksporten og håndhever også lisenspolicy.
• Du samler SBOM-er i SBOM Manager. SBOM Manager importerer CycloneDX og SPDX, de samme formatene CRACI eksporterer, så SBOM-er fra bygget kan ligge ved siden av dem du allerede administrerer.
• Pipelinene dine er på Jenkins eller Azure DevOps. Sonatype passer i dag. CRACI krever at disse pipelinene først er på GitHub Actions; Jenkins står på veikartet.

For Cyber Resilience Act

Sonatype publiserer en brukerveiledning og en sjekkliste for CRA og posisjonerer SBOM Manager som sitt CRA-produkt. Veiledningen fremhever generering av VEX-filer for å rapportere om kjente sårbarheter i SBOM-er, og Nexus Repository som et oppdateringsnettsted for distribusjon av sikkerhetsoppdateringer.

CRACI dekker dokumentasjonssiden fra bygget: en SBOM for hver utgivelse med fullstendigheten angitt, provenance, kontinuerlig sårbarhetsovervåking og SBOM-eksport som CycloneDX eller SPDX. Det automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess. Ingen av verktøyene gjør et produkt samsvarende på egen hånd. Se CRA-samsvar og hva CRA er.

Slik legger du til CRACI ved siden av Sonatype

CRACI erstatter runneren, ikke GitHub Actions. Endre runs-on til craci i en workflow, så vises kjøringer fortsatt i GitHub-grensesnittet. Sonatype-stegene dine blir værende i workflowen. Start med én utgivelsespipeline, sammenlign SBOM-en fra CRACI med Lifecycle-rapporten din, og se på det bare én av dem så.