CRACI vs Checkmarx One

Krótka odpowiedź

Checkmarx One to platforma bezpieczeństwa aplikacji: analiza statyczna, analiza składu oprogramowania (SCA), wykrywanie sekretów, IaC, bezpieczeństwo API, bezpieczeństwo kontenerów, ochrona przed złośliwymi pakietami i zarządzanie stanem bezpieczeństwa w jednym miejscu. CRACI to zgodny z GitHub Actions runner CI, który rejestruje każdą zależność zewnętrzną pobieraną przez build i na podstawie tego zapisu tworzy SBOM, dane o pochodzeniu i dowody zgodności. Checkmarx One to skaner z wieloma silnikami. CRACI to rejestrator. Pokrywają się w zakresie SBOM-ów i śledzenia podatności, a poza tym w niewielkim stopniu.

W skrócie

Co Checkmarx One robi dobrze

Szeroki zakres. Checkmarx One obejmuje własny kod (SAST), sekrety, infrastrukturę jako kod, API, kontenery, zależności open source, kondycję repozytoriów i komponenty AI, a znaleziska zbiera w swojej warstwie ASPM. Jeśli chcą Państwo jednego dostawcy testów bezpieczeństwa aplikacji, CRACI nie jest zamiennikiem. W ogóle nie testuje Państwa kodu.

Wiedza o tym, które podatności mają znaczenie. Checkmarx SCA stosuje analizę ścieżek możliwych do wykorzystania, aby ustalić, które podatne klasy lub funkcje w bibliotekach zewnętrznych Państwa kod może wywołać. Skanuje zależności bezpośrednie i przechodnie, łącznie z pakietami prywatnymi, bez ograniczenia głębokości. Polityki dotyczące ważności, osiągalności, złośliwego kodu i licencji mogą wysyłać alerty, blokować pull requesty i przerywać buildy.

Złośliwe pakiety. Checkmarx utrzymuje dużą własną bazę złośliwych pakietów open source, obejmującą typosquatting, dependency confusion i przejęte konta, i może automatycznie zablokować build, gdy taki pakiet pojawi się w Państwa drzewie zależności.

SBOM-y i integracje. Checkmarx One eksportuje raporty SBOM w formacie CycloneDX 1.7 lub SPDX 2.3, z opcjonalnymi danymi triage VEX w CycloneDX, i potrafi importować SBOM-y. Ma wtyczki dla Jenkins, TeamCity, GitHub Actions, Azure DevOps i Maven, a dla GitLab, Bitbucket Pipelines, CircleCI, Bamboo i AWS CodeBuild używa swojego CLI. W projektach Code Repository Integration może otworzyć automatyczny pull request z naprawionymi wersjami pakietów; jego informacje o wydaniu wymieniały na starcie manifesty npm package.json.

Czym różni się CRACI

Co widzi skaner, a co zrobił build

Checkmarx One GitHub Action opakowuje Checkmarx CLI, które tworzy archiwum zip Państwa repozytorium kodu źródłowego i przesyła je do skanowania. SCA Resolver może zamiast tego wyodrębnić zależności i odciski lokalnie, za pomocą Państwa własnych menedżerów pakietów, i wysłać je do analizy bez kodu źródłowego. Tak czy inaczej analiza zaczyna się od projektu: jego kodu, manifestów i wynikającego z nich drzewa zależności.

CRACI zaczyna od buildu. Jest runnerem, więc proxy rozpoznające pakiety obserwuje, co zadanie faktycznie pobiera ze źródeł pakietów: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk i źródeł Git, a także z presetów pobierania. Obejmuje to toolchainy, obrazy bazowe, pobrania wydań i pakiety przywrócone z cache CI. Każdy SBOM określa swoją kompletność dla każdego zadania i każdego cache: Complete, Complete with connections, Incomplete, Unavailable lub Not recorded.

Kontrola, nie tylko wykrywanie

Ponieważ build działa na CRACI, można ustawić dla niego politykę ruchu wychodzącego: domyślna odmowa lub domyślne zezwolenie, 24 wbudowane presety źródeł oprogramowania i typowane źródła niestandardowe dla npm, PyPI, apt, apk, proxy Go, Nix, Cargo, rejestrów OCI i Git. Polityki są weryfikowane przed startem zadania, a w razie błędu blokują ruch. Checkmarx ocenia pakiety po tym, czym są. CRACI ogranicza, skąd build może pobierać. CRACI nie wykrywa złośliwych pakietów na podstawie reputacji, więc te dwie warstwy się uzupełniają.

Pochodzenie i monitorowanie

API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu. CRACI agreguje podatności z różnych buildów i repozytoriów oraz nadal ponownie ocenia monitorowane SBOM-y.

Inwentarz tego, co gdzie jest wdrożone

Widok inwentarza CRACI pokazuje dokładnie, które wersje oprogramowania są wdrożone w których produktach, na całym świecie. Gdy pojawi się nowa podatność, widzą Państwo, które produkty używają podatnej wersji, zamiast składać to z informacji o wydaniach i arkuszy kalkulacyjnych.

Kiedy używać obu

• Testy bezpieczeństwa plus dowody wydania. Checkmarx One w pull requestach dla kodu, sekretów, IaC i ryzyka zależności. CRACI jako runner dla buildów wydaniowych, przechowujący SBOM i dane o pochodzeniu każdego buildu.
• Warstwowa obrona łańcucha dostaw. Ochrona Checkmarx przed złośliwymi pakietami oznacza złe pakiety. Polityka ruchu wychodzącego CRACI utrzymuje buildy przy zatwierdzonych źródłach i rejestruje każde pobranie.
• Pipeline'y poza GitHub Actions. Checkmarx One współpracuje już dziś z Jenkins, TeamCity, Azure DevOps i GitLab. CRACI obsługuje dziś tylko GitHub Actions, a GitLab CI i Jenkins są w planach rozwoju, więc takie pipeline'y musiałyby najpierw zostać przeniesione.

Na potrzeby Cyber Resilience Act

Checkmarx oferuje ocenę CRA w ramach swojego AppSec Program Maturity Assessment (APMA), który mierzy praktyki security-by-design i zarządzanie podatnościami względem wymagań CRA dla produktów połączonych z siecią. Jego blog dowodzi, że AppSec staje się warstwą techniczną wdrażania zgodności z CRA, ze szczególnym uwzględnieniem dokumentowania komponentów AI za pomocą AI-BOM-ów.

CRACI dodaje dowody z buildu: co trafiło do każdego wydania, jak kompletny jest zapis i ciągłe monitorowanie po wydaniu, z SBOM-ami eksportowanymi w formacie CycloneDX lub SPDX. Automatyzuje znaczną część widoczności łańcucha dostaw oprogramowania i dowodów potrzebnych firmom w szerszym procesie zgodności z CRA. Żadne z tych narzędzi samo w sobie nie zapewnia zgodności produktu. Zob. zgodność z CRA oraz dowody dla CRA.

Dodanie CRACI obok Checkmarx One

CRACI zastępuje runner, a nie GitHub Actions. Wystarczy zmienić runs-on na craci w workflow, a uruchomienia nadal będą widoczne w interfejsie GitHub. Checkmarx One GitHub Action pozostaje w workflow jako krok. Najlepiej zacząć od jednego pipeline'u wydaniowego i porównać SBOM z CRACI z raportem SBOM z Checkmarx One dla tego samego commita.

Rozważają Państwo więcej niż dwa narzędzia? Alternatywy dla Checkmarx zestawiają dziewięć opcji obok siebie.