CRACI vs Mend.io

Krótka odpowiedź

Mend.io to platforma bezpieczeństwa aplikacji. Mend AppSec łączy Mend SAST dla Państwa własnego kodu z Mend SCA dla zależności open source i kontenerów, a Mend Renovate utrzymuje aktualność zależności dzięki automatycznym pull requestom. CRACI to runner CI zgodny z GitHub Actions, który rejestruje każdą zewnętrzną zależność pobieraną przez build i na podstawie tego zapisu tworzy SBOM, dane o pochodzeniu i dowody zgodności. Mend jest skanerem. CRACI jest rejestratorem. Jeśli używają Państwo dziś Mend, CRACI dodaje warstwę, a nie zastępuje istniejącej.

W skrócie

Co Mend.io robi dobrze

Priorytetyzacja tego, co osiągalne. Mend SCA śledzi graf wywołań od Państwa kodu przez zależności bezpośrednie i przechodnie, aby ustalić, czy aplikacja faktycznie wywołuje podatną funkcję. Skraca to listę znalezisk, którymi zespół musi się zająć. CRACI agreguje podatności z wielu buildów i repozytoriów, ale nie prowadzi analizy osiągalności.

Kod, a nie tylko zależności. Mend SAST obejmuje ponad 30 języków, a Mend CLI skanuje komponenty open source, własny kod, obrazy kontenerów i infrastrukturę jako kod. CRACI nie robi niczego z tego.

Utrzymywanie aktualności zależności. Mend Renovate otwiera pull requesty dla nieaktualnych pakietów w ponad 90 menedżerach pakietów. Renovate CLI i edycja Community są bezpłatne; Enterprise dodaje funkcje bezpieczeństwa i wsparcie.

Licencje, złośliwe pakiety i SBOM-y. Mend SCA wykrywa licencje zależności bezpośrednich i przechodnich oraz egzekwuje polityki, takie jak blokowanie AGPL w produktach komercyjnych. Oznacza typosquatting, dependency confusion i pakiety z tylnymi furtkami lub kodem wyprowadzającym dane. Tworzy SBOM-y SPDX i CycloneDX, przyjmuje SBOM-y zewnętrzne i stosuje dane VEX.

Czym różni się CRACI

Obserwacja zamiast rekonstrukcji

Własna dokumentacja Mend zaleca skanowanie po kroku buildu, ponieważ to build daje skanerowi dostęp do prywatnych rejestrów i zewnętrznych artefaktów, a skanowanie bez buildu może dawać niedokładne wyniki. To dobre podejście. CRACI idzie o krok dalej: zamiast odczytywać projekt po zakończeniu buildu, rejestruje sam build.

Proxy rozpoznające pakiety na runnerze CRACI obserwuje ruch do źródeł pakietów podczas działania zadania: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk i źródeł Git, a także presetów pobierania. Dowody zależności przemieszczają się razem z cache CI, więc pakiety przywrócone z cache nadal są uwzględniane. Każdy SBOM określa swoją kompletność dla każdego zadania i każdego cache: Complete, Complete with connections, Incomplete, Unavailable lub Not recorded.

Kontrola nad siecią buildu

Ponieważ CRACI uruchamia zadanie, może ograniczyć, dokąd ono sięga. Polityki ruchu wychodzącego działają w trybie domyślnej odmowy lub domyślnego zezwolenia, z 24 wbudowanymi presetami źródeł oprogramowania i typowanymi źródłami niestandardowymi dla npm, PyPI, apt, apk, proxy Go, Nix, Cargo, rejestrów OCI i Git. Są walidowane przed startem zadania i w razie błędu blokują ruch. Mend wykrywa złośliwy pakiet, gdy jest już w drzewie zależności. Polityka ruchu wychodzącego z góry ogranicza, do jakich źródeł build może dotrzeć. Obie warstwy działają w różnych momentach.

Dowody z buildu

API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu. CRACI nie podpisuje danych o pochodzeniu.

Inwentarz tego, co jest gdzie wdrożone

Widok inwentarza CRACI pokazuje dokładnie, które wersje oprogramowania są wdrożone w których produktach, na całym świecie. Gdy pojawia się nowa podatność, widzą Państwo, które produkty działają na podatnej wersji, zamiast składać to z informacji o wydaniach i arkuszy kalkulacyjnych.

Co wybrać

• Główny problem to zaległe znaleziska w kodzie i zależnościach. Mend, z SAST, analizą osiągalności i Renovate, powstał właśnie do tego.
• Muszą Państwo udowodnić, co trafiło do każdego wydania. CRACI rejestruje to dla każdego buildu i określa, jak kompletny jest zapis.
• Państwa buildy robią więcej niż instalację z lockfile. Pobieranie toolchainów, obrazy bazowe i pobrania przez curl to miejsca, w których obserwacja daje najwięcej.
• Państwa pipeline'y działają w Azure DevOps, Bitbucket lub CircleCI. Mend sprawdzi się już dziś. CRACI obsługuje dziś tylko GitHub Actions, a GitLab CI i Jenkins są w planach rozwoju.

Na potrzeby Cyber Resilience Act

Mend.io publikuje przewodnik po zgodności z CRA oraz stronę zgodności, która mapuje jego produkty na rozporządzenie: Mend AppSec dla SBOM-ów CycloneDX i SPDX oraz priorytetyzacji opartej na osiągalności, Mend Renovate dla bieżącej obsługi podatności przez aktualizacje zależności, a zgodność licencyjna jest dokumentowana obok stanu bezpieczeństwa.

CRACI wnosi dowody z buildu: SBOM dla każdego wydania z określoną kompletnością, dane o pochodzeniu, ciągłe monitorowanie i eksport SBOM w formacie CycloneDX lub SPDX. Automatyzuje znaczną część widoczności łańcucha dostaw oprogramowania i dowodów potrzebnych firmom w szerszym procesie zgodności z CRA. Żadne pojedyncze narzędzie nie zapewnia zgodności produktu. Zob. zgodność z CRA i czym jest CRA.

Dodanie CRACI obok Mend.io

CRACI zastępuje runner, a nie GitHub Actions. Po zmianie runs-on na craci w workflow uruchomienia nadal są widoczne w interfejsie GitHub. Krok Mend CLI pozostaje tam, gdzie jest, po buildzie. Warto uruchomić jeden pipeline wydawniczy na CRACI i porównać jego SBOM z inwentarzem Mend dla tego samego commita.