CRACI vs Cycode

Krótka odpowiedź

Firma Cycode określa się jako agentową platformę bezpieczeństwa rozwoju oprogramowania, a wyrosła z zarządzania stanem bezpieczeństwa aplikacji (ASPM). Sprzedaje bezpieczeństwo kodu (SAST, SCA, skanowanie kontenerów i IaC), bezpieczeństwo łańcucha dostaw oprogramowania (bezpieczeństwo CI/CD, ochrona buildów w czasie działania, wykrywanie wycieków kodu, SBOM, sekrety), zarządzanie stanem bezpieczeństwa z ponad 100 konektorami oraz zarządzanie AI w rozwoju oprogramowania. Jej element do ochrony buildów w czasie działania, Cimon, to agent eBPF działający w Państwa zadaniach CI.

CRACI konkuruje o ten sam budżet na łańcuch dostaw, a z Cimon pokrywanie się jest realne: oba obserwują buildy, oba mogą ograniczać ruch wychodzący buildów i oba tworzą SBOM z buildu. Cimon podpisuje też dane o pochodzeniu; CRACI nie. Różnica polega na tym, gdzie to się znajduje. Cycode dodaje agenta do CI, którego Państwo już używają, w wielu systemach. CRACI jest runnerem dla GitHub Actions, więc zapis i polityka są częścią każdego zadania, a CRACI przenosi je dalej do monitorowania i dowodów dla CRA. Zakres Cycode jest znacznie szerszy; CRACI sięga głębiej w build i to, co dostarczono.

W skrócie

Co Cycode robi dobrze

Szeroki zakres w całym SDLC

• Bezpieczeństwo kodu: SAST i AI SAST, SCA z analizą osiągalności i zgodnością licencyjną, skanowanie kontenerów i bezpieczeństwo infrastruktury jako kodu.
• Sekrety i wycieki: Cycode szuka ujawnionych sekretów w kodzie źródłowym, pipeline'ach i narzędziach takich jak Jira, Slack i Confluence oraz wykrywa wycieki kodu.
• Bezpieczeństwo CI/CD: monitoruje polityki bezpieczeństwa CI/CD, konfiguracje i ład, a egzekwowanie polityk pomaga zespołom spełniać standardy takie jak NIST SSDF.
• Zarządzanie stanem bezpieczeństwa: Context Intelligence Graph śledzi podatności w kodzie, konfiguracjach narzędzi, infrastrukturze chmurowej i przypisaniu odpowiedzialności, a ConnectorX pobiera znaleziska z innych skanerów.
• SBOM-y: Cycode generuje SBOM-y w SPDX lub CycloneDX, a jego plan Posture Management wymienia import SBOM.

Cimon, agent chroniący buildy w czasie działania

Cycode opisuje Cimon jako bezpieczeństwo w czasie działania, SBOM obserwowany w czasie działania i dane o pochodzeniu SLSA w jednym kroku GitHub Actions lub Azure Pipelines. Monitoruje wykonywanie procesów, sieciowy ruch wychodzący i dostęp do plików na poziomie jądra za pomocą eBPF. W trybie detect obserwuje bez blokowania; gdy ustali się normalne zachowanie pipeline'u, egzekwuje je, a GitHub Action przyjmuje dozwolone hosty i adresy IP. Cimon podpisuje dane o pochodzeniu zgodnie ze specyfikacją SLSA Provenance v1.0, co według Cycode spełnia SLSA Build Level 2 na runnerze hostowanym podpisywanym przez GitHub OIDC. Działa też na Jenkins, GitLab CI, Buildkite i Harness, a Cycode twierdzi, że jest bezpłatny i open source.

Czym różni się CRACI

Runner, a nie agent na nim

Cimon dodaje się do runnerów, które Państwo zachowują; w GitHub Actions działa jako uprzywilejowany kontener dołączający do przestrzeni nazw procesów i sieci runnera. Dzięki temu może pracować na runnerach hostowanych i w wielu systemach CI. CRACI idzie inną drogą i zastępuje runner. Wystarczy zmienić runs-on na craci, a polityka ruchu wychodzącego jest częścią platformy: walidowana przed uruchomieniem zadania, odrzuca nieznane pola i blokuje ruch w razie błędu.

Pakiety i źródła, nie tylko hosty

Polityka ruchu wychodzącego CRACI jest typowana według ekosystemu. Ma 24 wbudowane presety źródeł oprogramowania, źródła niestandardowe dla npm, PyPI, apt, apk, proxy Go, Nix, Cargo, rejestrów OCI i Git przez HTTPS i SSH oraz jawne reguły TLS, TCP, UDP i ICMP. Proxy rozpoznające pakiety rejestruje, które pakiety pobrało każde zadanie. Dowody zależności przemieszczają się razem z cache CI, więc pakiet przywrócony z cache nadal jest w zapisie, a każdy SBOM ma stan kompletności dla każdego zadania i każdego cache: Complete, Complete with connections, Incomplete, Unavailable lub Not recorded.

Od buildu do tego, co dostarczono

• Pochodzenie: API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu.
• Monitorowanie: CRACI nadal ponownie ocenia SBOM-y tego, co Państwo dostarczyli, w miarę pojawiania się nowych podatności, zbiorczo dla różnych buildów i repozytoriów.
• Eksport: SBOM-y w formacie CycloneDX lub SPDX, łącznie z podatnościami.

Inwentarz tego, co gdzie jest wdrożone

Widok inwentarza CRACI pokazuje dokładnie, które wersje oprogramowania są wdrożone w których produktach, na całym świecie. Gdy pojawi się nowa podatność, widzą Państwo, które produkty używają dotkniętej wersji, zamiast składać to z informacji o wydaniach i arkuszy kalkulacyjnych.

W czym Cycode jest przed nami

Mówiąc wprost: CRACI nie ma skanowania SAST, sekretów, IaC ani kontenerów, konektorów ASPM, monitorowania procesów ani plików i na razie trybu wykrywania ani monitorowania (jest w planach rozwoju). CRACI nie podpisuje danych o pochodzeniu ani nie deklaruje poziomu SLSA, a dziś uruchamia tylko GitHub Actions, przy czym GitLab CI i Jenkins są w planach rozwoju. Jeśli potrzebują Państwo jednej platformy dla całego kodu i każdego systemu CI, Cycode obejmuje znacznie więcej.

Co wybrać

Cycode sprawdzi się lepiej, gdy

• chcą Państwo jednej platformy ASPM do skanowania kodu, sekretów, stanu bezpieczeństwa CI/CD i priorytetyzacji,
• używają Państwo Azure Pipelines, Jenkins, GitLab CI lub Buildkite i chcą tam ochrony buildów w czasie działania,
• chcą Państwo zachować runnery hostowane przez GitHub i dodać do nich agenta.

CRACI sprawdzi się lepiej, gdy

• budują Państwo w GitHub Actions i chcą mieć runner, politykę ruchu wychodzącego i zapis zależności w jednym miejscu,
• potrzebują Państwo z każdego buildu SBOM na poziomie pakietów ze stanem kompletności, który można pokazać audytorowi,
• chcą Państwo monitorowania tego, co dostarczono, i dowodów dla CRA z tego samego zapisu.

Używanie obu

Skanowanie kodu, wykrywanie sekretów i zarządzanie stanem bezpieczeństwa w Cycode obejmują obszar, którego CRACI nie dotyka, więc oba produkty mogą działać obok siebie. Wyjątkiem jest Cimon: na runnerze CRACI obserwacja buildu i kontrola ruchu wychodzącego są już częścią runnera, więc CRACI zastępuje Cimon, zamiast działać obok niego, chyba że potrzebują Państwo podpisanych danych o pochodzeniu z Cimon.

Inne platformy ASPM, skanery i agenty runnerów opisuje strona alternatywy dla Cycode.

Na potrzeby Cyber Resilience Act

Cycode pozycjonuje swoją platformę pod kątem zgodności z CRA dzięki automatycznemu generowaniu SBOM, śledzeniu podatności i zbieraniu dowodów do dokumentacji technicznej. CRACI automatyzuje znaczną część widoczności łańcucha dostaw oprogramowania i dowodów potrzebnych firmom w szerszym procesie zgodności z CRA, zaczynając od buildu: SBOM-y ze stanami kompletności, dane o pochodzeniu, monitorowanie tego, co dostarczono, i eksport SBOM jako dowody dla CRA. Żadne z tych narzędzi samo w sobie nie zapewnia zgodności. Zob. czego wymaga CRA oraz zgodność z CRA.

Dodanie CRACI

Wystarczy zainstalować aplikację CRACI GitHub App w organizacji, a następnie zmienić etykietę runnera w zadaniu na runs-on: craci. Uruchomienia nadal są widoczne w interfejsie GitHub. Więcej o integracji CI/CD, generowaniu SBOM w czasie buildu i cenach.