CRACI vs Socket Security

Krótka odpowiedź

Socket Security jest znany przede wszystkim z wyłapywania złych pakietów open source, zanim trafią do projektu. Analizuje zachowanie pakietów (skrypty instalacyjne, dostęp do sieci i systemu plików, zaciemniony kod, znane złośliwe oprogramowanie, typosquatting), informuje o tym w pull requeście, a Socket Firewall może zablokować złośliwy pakiet podczas instalacji.

CRACI to runner CI dla GitHub Actions. Państwa zadania działają na nim, a podczas ich działania rejestruje każdą zewnętrzną zależność, którą pobierają, egzekwuje politykę ruchu wychodzącego dla zadania i nadal śledzi podatności w tym, co dostarczono. Socket pyta, czy pakiet jest bezpieczny w użyciu. CRACI rejestruje, czego build użył i z czym się łączył, a następnie zamienia to w dowody dla wydania.

• Socket jest właściwym wyborem, aby zatrzymywać złośliwe i ryzykowne pakiety w pull requeście i przy instalacji.
• CRACI jest właściwym wyborem, gdy potrzebne są SBOM-y z czasu buildu, dane o pochodzeniu, kontrola ruchu wychodzącego buildu i śledzenie podatności w tym, co dostarczono, łącznie ze zgłoszeniami podatności CRA.
• Uzupełniają się. Socket sprawdza wchodzące pakiety, a CRACI rejestruje i ogranicza, co build z nimi zrobił.

W skrócie

Co Socket robi dobrze

Socket for GitHub obserwuje pull requesty. Gdy zmiana dodaje zależność, Socket analizuje zachowanie pakietu i dodaje komentarz, jeśli stanowi on ryzyko bezpieczeństwa. Jego kontrole obejmują skrypty instalacyjne, telemetrię, kod natywny, znane złośliwe oprogramowanie, typosquatting, protestware, zaciemniony kod i uprzywilejowane użycie API, takie jak dostęp do powłoki, sieci i systemu plików. To inny rodzaj sygnału niż wyszukiwanie CVE: może oznaczyć pakiet, który jest złośliwy, ale nie ma jeszcze biuletynu.

Socket Firewall działa jako nakładka na polecenie menedżera pakietów (sfw npm install) lub jako proxy między menedżerami pakietów a rejestrami. Blokuje złośliwe pakiety na dowolnej głębokości, także przechodnie. Wersja bezpłatna nie wymaga klucza API i obejmuje npm, yarn, pnpm, pip, uv i cargo. Wersja Enterprise dodaje konfigurowalne polityki, prywatne rejestry i kolejne ekosystemy, w tym Go, Maven, Gradle, RubyGems i NuGet.

Socket oferuje też analizę osiągalności na trzech poziomach: osiągalność zależności, wstępnie obliczoną osiągalność od planu Team oraz pełną osiągalność aplikacji w Enterprise, która według Socket może oznaczyć do 90% alertów o podatnościach jako nieistotne. Wykrywa manifesty w JavaScript, Python, Java, Go, Ruby, Rust, .NET, PHP i Swift, a jego CLI działa w GitHub Actions, GitLab, Bitbucket, Jenkins i Azure DevOps. CRACI nie analizuje zachowania pakietów, nie komentuje pull requestów, nie oferuje analizy osiągalności i nie blokuje dziś pojedynczych pakietów.

Ceny Socket, stan na wrzesień 2026

• Free: 1000 skanów miesięcznie, do trzech członków, wykrywanie i blokowanie złośliwego oprogramowania.
• Team: $25 za programistę miesięcznie, minimum pięciu programistów. Dodaje punktację priorytetów, alerty Slack i wstępnie obliczoną osiągalność.
• Business: $50 za programistę miesięcznie, minimum 20 programistów. Dodaje import i eksport SBOM, integracje zgodności, SSO i skanowanie GitHub Actions.
• Enterprise: wycena indywidualna. Dodaje pełną osiągalność aplikacji oraz integracje repozytoriów GitLab, Bitbucket i Azure DevOps.

Rozliczenie roczne daje do 20% oszczędności, a Socket deklaruje, że dla projektów open source zawsze będzie bezpłatny. Socket nalicza opłaty za programistę. CRACI pobiera opłaty tylko za minuty buildu, $0.002 za minutę vCPU ($0.004 za domyślny runner z 2 vCPU), bez opłaty miesięcznej i bez opłat za SBOM; zob. cennik CRACI.

Czym różni się CRACI

Build jest źródłem prawdy

Socket odczytuje pliki manifestów i lock deklarowane przez projekt. CRACI obserwuje build podczas działania. Proxy rozpoznające pakiety na runnerze widzi ruch do źródeł pakietów npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk i Git, a także presety pobierania. Dowody przemieszczają się razem z cache CI, więc pakiet przywrócony z cache nadal jest uwzględniany. Każdy SBOM określa swoją kompletność dla każdego zadania i każdego cache: Complete, Complete with connections, Incomplete, Unavailable lub Not recorded.

Polityka ruchu wychodzącego dla całego zadania

Socket Firewall decyduje, czy instalacja pakietu przejdzie. Polityka ruchu wychodzącego CRACI decyduje, do czego zadanie w ogóle może dotrzeć: domyślna odmowa lub domyślne zezwolenie, z 24 wbudowanymi presetami źródeł oprogramowania i typowanymi źródłami niestandardowymi dla npm, PyPI, apt, apk, proxy Go, Nix, Cargo, rejestrów OCI i Git. Polityki są walidowane przed uruchomieniem zadania i w razie awarii blokują ruch, a CRACI może powiadomić Państwa o naruszeniu. Złośliwy skrypt instalacyjny, który próbuje połączyć się z serwerem napastnika, to problem w równym stopniu sieciowy, co pakietowy. Oba mechanizmy kontroli obejmują różne jego części.

Pochodzenie i śledzenie podatności

API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu. CRACI nie podpisuje danych o pochodzeniu. CRACI agreguje podatności z wielu buildów i repozytoriów, stale ponownie ocenia monitorowane SBOM-y i pozwala zespołom bezpieczeństwa wykonywać triage znalezisk oraz przekazywać je zespołom odpowiedzialnym za poprawkę. SBOM-y dostawców są monitorowane obok Państwa własnych buildów, a SBOM-y eksportuje się w formacie CycloneDX lub SPDX.

Inwentarz tego, co gdzie jest wdrożone

Widok inwentarza CRACI pokazuje dokładnie, które wersje oprogramowania są wdrożone w których produktach, na całym świecie. Gdy pojawi się nowa podatność, widzą Państwo, które produkty działają na podatnej wersji, zamiast odtwarzać to z informacji o wydaniach i arkuszy kalkulacyjnych.

Uwaga o bezpłatnym poleceniu SBOM w Socket

Socket CLI oferuje socket manifest cdxgen, bezpłatne lokalne polecenie SBOM, które nie wymaga konta. Socket dokumentuje, że to polecenie przekazuje wywołanie do cdxgen ze zmienionymi ustawieniami domyślnymi: cyklem pre-build, który pomija instalowanie zależności, i JavaScript jako domyślnym typem projektu. Te ustawienia decydują o tym, co może znaleźć, a w repozytorium bez lockfile, takim jak expressjs/express, nie ma czego rozwiązywać.

Dotyczy to jednej bezpłatnej lokalnej nakładki, a nie głównego produktu Socket ani jego eksportu SBOM po stronie serwera.

Które rozwiązanie pasuje

• Chcą Państwo zatrzymywać złośliwe pakiety na wejściu: Socket, z kontrolami pull requestów i Socket Firewall.
• Chcą Państwo mniej nieistotnych alertów CVE dzięki osiągalności: Socket, w planie Team lub Enterprise. CRACI nie oferuje analizy osiągalności.
• Potrzebują Państwo dowodów tego, co trafiło do każdego wydania: CRACI rejestruje je z buildu i wiąże z artefaktem.
• Chcą Państwo buildów, które nie mogą dotrzeć do nieoczekiwanych hostów: polityka ruchu wychodzącego CRACI.
• Dostarczają Państwo produkty objęte Cyber Resilience Act: CRACI śledzi podatności w tym, co dostarczono, i składa zgłoszenia podatności CRA w Państwa imieniu.
• Używają Państwo GitLab, Jenkins lub Azure DevOps: Socket obsługuje je już dziś. CRACI obsługuje dziś tylko GitHub Actions, a GitLab CI i Jenkins są w planach rozwoju.

Na potrzeby Cyber Resilience Act

Trzymanie złośliwych i ryzykownych komponentów z dala od produktu pomaga producentowi spełniać obowiązki w zakresie bezpieczeństwa, a Socket powstał właśnie do tego. CRACI automatyzuje znaczną część widoczności łańcucha dostaw oprogramowania i dowodów potrzebnych firmom w szerszym procesie zgodności z CRA: SBOM-y z czasu buildu z określoną kompletnością, dane o pochodzeniu, ciągłe śledzenie podatności i zgłoszenia podatności CRA składane w Państwa imieniu. Żadne z tych narzędzi samo w sobie nie zapewnia zgodności produktu. Zob. czym jest CRA oraz zgodność z CRA.

Używanie CRACI razem z Socket

CRACI zastępuje runner, a nie GitHub Actions: uruchomienia nadal są widoczne w GitHub, a Socket nadal sprawdza Państwa pull requesty. Socket weryfikuje pakiety przed ich dodaniem i podczas instalacji; CRACI rejestruje, co pobrał każdy build, ogranicza, z czym może się łączyć, i nadal śledzi podatności w tym, co dostarczono. Więcej o generowaniu SBOM w czasie buildu i śledzeniu podatności.

Rozważają Państwo także inne narzędzia bezpieczeństwa pakietów? Zob. alternatywy dla Socket.

Socket Security i CRACI: najczęściej zadawane pytania

Ceny, SBOM-y i miejsce każdego narzędzia

Czym jest Socket Security?

Socket (socket.dev) to platforma bezpieczeństwa łańcucha dostaw oprogramowania dla zależności open source. Analizuje, co pakiety faktycznie robią, na przykład skrypty instalacyjne, dostęp do sieci i systemu plików, zaciemniony kod, znane złośliwe oprogramowanie i typosquatting, oraz oznacza lub blokuje ryzykowne pakiety w pull requestach, w CI, a z Socket Firewall także podczas instalacji.

Czy Socket Security jest bezpłatny?

Socket ma plan bezpłatny z 1000 skanów miesięcznie i maksymalnie trzema członkami, a także deklaruje, że dla projektów open source zawsze będzie bezpłatny. Socket Firewall ma również wersję bezpłatną, która nie wymaga klucza API i obejmuje npm, yarn, pnpm, pip, uv i cargo. Płatne plany dodają osiągalność, eksport SBOM i więcej integracji.

Ile kosztuje Socket?

Według stanu na wrzesień 2026 cennik Socket podaje Team po $25 za programistę miesięcznie (minimum pięciu programistów), Business po $50 za programistę miesięcznie (minimum 20) oraz Enterprise według wyceny, z rabatem do 20% przy rozliczeniu rocznym. Eksport SBOM zaczyna się od planu Business, a integracje repozytoriów GitLab, Bitbucket i Azure DevOps są dostępne w Enterprise.

Czy Socket generuje SBOM-y?

Tak. Import i eksport SBOM są dostępne od planu Business, a API eksportu CycloneDX jest oznaczone jako beta. Socket tworzy SBOM z wykrytych plików manifestów i lock. CRACI rejestruje SBOM podczas działania buildu, na podstawie pakietów faktycznie pobranych przez zadanie, i określa, czy zapis każdego zadania jest kompletny.

Czy CRACI wykrywa złośliwe pakiety tak jak Socket?

Nie tak jak Socket. CRACI oznacza złośliwe wydanie, gdy ma ono opublikowane CVE, jak każdą inną podatność, ale nie analizuje zachowania pakietów ani ich nie ocenia, więc nowy złośliwy pakiet pozostaje nieoznaczony, dopóki nie pojawi się biuletyn. CRACI kontroluje, z czym build może się łączyć, za pomocą polityki ruchu wychodzącego na poziomie runnera, która blokuje w razie awarii, rejestruje każdy pakiet pobrany przez build i stale ponownie ocenia to, co dostarczono, względem danych o podatnościach. Listy blokowanych pakietów dla całej organizacji są w planach rozwoju.

Czy CRACI to alternatywa dla Socket?

Nie w zakresie weryfikacji pakietów przed ich dodaniem: to główne zadanie Socket, a CRACI tego nie robi. CRACI jest właściwym wyborem, gdy potrzebują Państwo dowodów tego, co trafiło do każdego wydania: SBOM-ów z czasu buildu, danych o pochodzeniu, polityki ruchu wychodzącego dla buildu, ciągłego śledzenia podatności i zgłoszeń podatności CRA. Zespoły obawiające się złośliwych pakietów mogą używać Socket w pull requestach i budować na CRACI.

Które systemy CI obsługują Socket i CRACI?

CLI Socket działa w GitHub Actions, GitLab, Bitbucket, Jenkins i Azure DevOps. CRACI jest dziś runnerem dla GitHub Actions, a GitLab CI i Jenkins są w planach rozwoju.