CRACI vs Endor Labs

Krótka odpowiedź

Endor Labs to platforma bezpieczeństwa aplikacji zbudowana wokół osiągalności. Analizuje Państwa kod źródłowy i zależności, aby ustalić, które znane podatności aplikacja może wywołać, a następnie pomaga naprawić je w pierwszej kolejności. Obejmuje też własny kod, sekrety, kontenery i złośliwe pakiety.

CRACI to runner CI dla GitHub Actions. Państwa zadania działają na nim, a w trakcie ich działania rejestruje on każdą zewnętrzną zależność, którą pobierają, i kontroluje, do czego mogą dotrzeć w sieci. Endor Labs mówi, które znaleziska mają znaczenie. CRACI daje zapis tego, co trafiło do każdego wydania. Oba narzędzia się uzupełniają, a ich główne zadania się nie pokrywają.

W skrócie

Co Endor Labs robi dobrze

Osiągalność to główny atut. Endor Labs stosuje statyczną analizę programu do analizy osiągalności na poziomie funkcji dla zależności bezpośrednich i przechodnich, śledząc ścieżki kodu od Państwa źródeł do podatnej funkcji. Gdy pełny build nie jest możliwy, mniej dokładne alternatywy to osiągalność na poziomie zależności i osiągalność obliczona wstępnie. Endor Labs podaje, że ogranicza to znaleziska SCA o 92% dzięki odfiltrowaniu podatności, których Państwa kod nie może wywołać. Dla zespołu tonącego w alertach o zależnościach to najbardziej bezpośrednia dostępna ulga.

Mocną stroną są też poprawki. Analiza wpływu aktualizacji szuka zmian łamiących zgodność przed aktualizacją i przypisuje ryzyko naprawy, automatyczne pull requesty wprowadzają aktualizację, a Endor Patches przenoszą poprawkę bezpieczeństwa z oryginalnego projektu do używanej już wersji, gdy aktualizacja nie jest praktyczna.

Poza zależnościami open source platforma obejmuje AI SAST, wykrywanie sekretów, skanowanie kontenerów, wykrywanie złośliwych pakietów oraz Package Firewall, który działa jako proxy między Państwa repozytorium artefaktów a rejestrami publicznymi. Jej SBOM Hub generuje i importuje SBOM-y CycloneDX i SPDX, tworzy dokumenty VEX oparte na osiągalności i aktualizuje ryzyko wraz z publikacją nowych podatności. Endor Labs integruje się z GitHub Actions, GitLab, Jenkins, CircleCI, Buildkite i Bitbucket, a obsługiwane języki to m.in. C i C++, Java, Go, Rust, Python i JavaScript.

CRACI nie zajmuje się osiągalnością, SAST ani skanowaniem sekretów lub kontenerów. Jeśli tego Państwo potrzebują, należy zachować Endor Labs lub podobne narzędzie.

Czym różni się CRACI

Build jest źródłem prawdy

Endor Labs traktuje kod źródłowy jako podstawę swojego inwentarza, co wychwytuje zależności bezpośrednie, przechodnie i fantomowe, których nie ujawniłby sam manifest. CRACI zaczyna w innym miejscu: od samego buildu. Proxy rozpoznające pakiety na runnerze obserwuje ruch do źródeł pakietów podczas działania zadania: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk i źródeł Git, a także presetów pobierania. Dowody przemieszczają się razem z cache CI, więc pakiet przywrócony z cache nadal jest uwzględniany. Ponieważ runner widzi ruch, obserwowane są też zależności pobierane przez skrypty instalacyjne lub kroki pobierania, a nie tylko te wymienione w manifeście.

Każdy SBOM ma stan kompletności dla każdego zadania i każdego cache: Complete, Complete with connections, Incomplete, Unavailable lub Not recorded. Gdy w zapisie jest luka, dowiadują się Państwo o tym.

Kontrola nad tym, do czego build może dotrzeć

Ponieważ CRACI jest runnerem, mogą Państwo ustawić politykę ruchu wychodzącego dla każdego zadania: domyślna odmowa lub domyślne zezwolenie, z 24 wbudowanymi presetami źródeł oprogramowania i typowanymi źródłami niestandardowymi dla rejestrów i Git. Polityki są walidowane przed startem zadania i w razie błędu blokują ruch. Package Firewall od Endor Labs filtruje pakiety wchodzące przez Państwa repozytorium artefaktów. Polityka CRACI ogranicza każde połączenie nawiązywane przez build. To różne warstwy, które dobrze działają razem.

Pochodzenie i monitorowanie tego, co dostarczono

Endor Labs podpisuje artefakty, a CRACI nie. Dane CRACI pochodzą z runnera, który obserwował build, a API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu. CRACI agreguje podatności z wielu buildów i repozytoriów oraz nadal ponownie ocenia monitorowane SBOM-y.

Inwentarz tego, co jest gdzie wdrożone

Widok inwentarza CRACI pokazuje dokładnie, które wersje oprogramowania są wdrożone w których produktach, na całym świecie. Gdy pojawia się nowa podatność, widzą Państwo, które produkty działają na podatnej wersji, zamiast składać to z informacji o wydaniach i arkuszy kalkulacyjnych.

Co wybrać

• Państwa problemem jest liczba alertów: warto zacząć od Endor Labs. Osiągalność i analiza wpływu aktualizacji celują właśnie w to.
• Państwa problemem jest udowodnienie, co jest w wydaniu: CRACI rejestruje to z buildu.
• Niepokoi Państwa to, co buildy mogą pobrać: polityka ruchu wychodzącego CRACI ogranicza runner, a Package Firewall od Endor Labs sprawdza pakiety. Przy wysokim ryzyku warto używać obu.
• Używają Państwo GitLab, Jenkins lub CircleCI: Endor Labs obejmuje je już dziś. CRACI obsługuje tylko GitHub Actions, więc te pipeline'y musiałyby przejść na GitHub Actions, aby działać na CRACI. GitLab CI i Jenkins są w planach rozwoju.

Na potrzeby Cyber Resilience Act

Endor Labs wymienia unijny Cyber Resilience Act wśród wymagań dowodowych obsługiwanych przez SBOM Hub, a jego wyniki VEX pomagają wyjaśnić, dlaczego podatność nie dotyczy produktu. CRACI automatyzuje znaczną część widoczności łańcucha dostaw oprogramowania i dowodów potrzebnych firmom w szerszym procesie zgodności z CRA: SBOM-y z czasu buildu z określoną kompletnością, dane o pochodzeniu, ciągłe śledzenie podatności i eksport SBOM w formacie CycloneDX lub SPDX. Żadne z tych narzędzi samo nie zapewnia zgodności produktu. Więcej na stronach czym jest CRA i zgodność z CRA.

Dodanie CRACI obok Endor Labs

Konfiguracja Endor Labs nie musi się w żaden sposób zmieniać. Wystarczy zainstalować aplikację CRACI GitHub App, a następnie zmienić runs-on na craci w workflow, które mają być rejestrowane. Uruchomienia nadal są widoczne w interfejsie GitHub, a krok endorctl działa na runnerze CRACI jak każdy inny. Więcej o generowaniu SBOM w czasie buildu i integracji CI/CD.