CRACI vs Checkmarx One

A resposta curta

O Checkmarx One é uma plataforma de segurança aplicacional: análise estática, análise de composição de software (SCA), deteção de segredos, IaC, segurança de API, segurança de contentores, proteção contra pacotes maliciosos e gestão de postura num único local. O CRACI é um runner de CI compatível com GitHub Actions que regista todas as dependências externas que um build descarrega e produz a SBOM, a proveniência e as evidências de conformidade a partir desse registo. O Checkmarx One é um scanner, com muitos motores. O CRACI é um registador. Sobrepõem-se nas SBOM e no acompanhamento de vulnerabilidades, e em pouco mais.

Visão geral

O que o Checkmarx One faz bem

Amplitude. O Checkmarx One cobre código próprio (SAST), segredos, infraestrutura como código, API, contentores, dependências open source, saúde dos repositórios e componentes de IA, e reúne as conclusões na sua camada de ASPM. Se quer um único fornecedor para os testes de segurança de aplicações, o CRACI não é um substituto. Não testa o seu código de todo.

Saber que vulnerabilidades importam. O Checkmarx SCA usa a análise de caminhos exploráveis para determinar que classes ou funções vulneráveis em bibliotecas de terceiros o seu código pode chamar. Analisa dependências diretas e transitivas, incluindo pacotes privados, a uma profundidade ilimitada. As políticas sobre gravidade, alcançabilidade, código malicioso e licenças podem enviar alertas, impedir pull requests e fazer falhar builds.

Pacotes maliciosos. O Checkmarx mantém uma grande base de dados proprietária de pacotes open source maliciosos, que abrange typosquatting, confusão de dependências e contas comprometidas, e pode bloquear um build automaticamente quando um deles surge na sua árvore de dependências.

SBOM e integrações. O Checkmarx One exporta relatórios de SBOM em CycloneDX 1.7 ou SPDX 2.3, com dados opcionais de triagem VEX em CycloneDX, e pode importar SBOM. Tem plugins para Jenkins, TeamCity, GitHub Actions, Azure DevOps e Maven, e usa a sua CLI para GitLab, Bitbucket Pipelines, CircleCI, Bamboo e AWS CodeBuild. Em projetos de Code Repository Integration, pode abrir um pull request automático com versões corrigidas dos pacotes; as notas de versão indicavam, à data do lançamento, manifestos npm package.json.

Onde o CRACI é diferente

O que o scanner vê e o que o build fez

A GitHub Action do Checkmarx One envolve a CLI do Checkmarx, que cria um arquivo zip do seu repositório de código-fonte e o carrega para análise. Em alternativa, o SCA Resolver pode extrair dependências e impressões digitais on-premises, com os seus próprios gestores de pacotes, e enviá-las para análise sem o seu código-fonte. Em qualquer dos casos, a análise parte do projeto: o seu código, os manifestos e a árvore de dependências em que estes se resolvem.

O CRACI parte do build. É o runner, pelo que um proxy que reconhece pacotes observa o que o job realmente descarrega de fontes de pacotes: fontes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e Git, além de predefinições de descarga. Isso inclui toolchains, imagens base, descargas de versões e pacotes restaurados de caches de CI. Cada SBOM indica a sua completude por job e por cache: Complete, Complete with connections, Incomplete, Unavailable ou Not recorded.

Controlo, não apenas deteção

Como o build é executado no CRACI, pode definir-lhe uma política de egress: negação ou permissão por defeito, 24 predefinições integradas de fontes de software e fontes personalizadas tipadas para npm, PyPI, apt, apk, o proxy Go, Nix, Cargo, registos OCI e Git. As políticas são validadas antes de o job arrancar e falham em modo fechado. O Checkmarx avalia os pacotes pelo que são. O CRACI limita de onde um build pode obter pacotes. O CRACI não deteta pacotes maliciosos pela reputação, pelo que as duas camadas se complementam.

Proveniência e monitorização

A API devolve SBOM, traços de rede e proveniência. O CRACI agrega vulnerabilidades de todos os builds e repositórios e continua a reavaliar as SBOM monitorizadas.

Um inventário do que está implementado e onde

A vista de inventário do CRACI mostra exatamente que versões de software estão implementadas em que produtos, a nível global. Quando surge uma nova vulnerabilidade, pode ver que produtos executam a versão afetada, em vez de o reconstituir a partir de notas de versão e folhas de cálculo.

Quando usar ambos

• Testes de segurança e evidências de lançamento. O Checkmarx One nos pull requests, para código, segredos, IaC e risco de dependências. O CRACI como runner dos builds de lançamento, guardando a SBOM e os dados de proveniência de cada build.
• Defesa da cadeia de abastecimento em camadas. A proteção contra pacotes maliciosos do Checkmarx assinala pacotes nocivos. A política de egress do CRACI mantém os builds em fontes aprovadas e regista cada descarga.
• Pipelines fora do GitHub Actions. O Checkmarx One adapta-se hoje a Jenkins, TeamCity, Azure DevOps e GitLab. O CRACI suporta hoje apenas GitHub Actions, com GitLab CI e Jenkins no roadmap, pelo que esses pipelines teriam de migrar primeiro.

Para o Cyber Resilience Act

O Checkmarx oferece uma avaliação do CRA como parte do seu AppSec Program Maturity Assessment (APMA), que mede as práticas de security by design e a gestão de vulnerabilidades face aos requisitos do CRA para produtos conectados. O seu blogue defende que a AppSec se está a tornar a camada de implementação técnica da conformidade com o CRA, com particular atenção à documentação de componentes de IA através de AI-BOM.

O CRACI acrescenta evidências do build: o que entrou em cada versão, quão completo é o registo e a monitorização contínua posterior, com SBOM exportadas em CycloneDX ou SPDX. Automatiza uma parte significativa da visibilidade da cadeia de abastecimento de software e das evidências de que as empresas precisam para o seu processo mais amplo de conformidade com o CRA. Nenhuma das ferramentas torna um produto conforme por si só. Consulte a conformidade com o CRA e as evidências para o CRA.

Adicionar o CRACI a par do Checkmarx One

O CRACI substitui o runner, não o GitHub Actions. Mude runs-on para craci num workflow e as execuções continuam a aparecer na interface do GitHub. A GitHub Action do Checkmarx One mantém-se no workflow como um passo. Comece com um pipeline de lançamento e compare a SBOM do CRACI com o relatório de SBOM do Checkmarx One para o mesmo commit.

Está a avaliar mais de duas ferramentas? Alternativas ao Checkmarx compara nove opções lado a lado.