CRACI vs Cycode

A resposta curta

O Cycode apresenta-se como uma plataforma agêntica de segurança do desenvolvimento e nasceu da gestão de postura de segurança de aplicações (ASPM). Vende segurança de código (SAST, SCA, análise de contentores e IaC), segurança da cadeia de abastecimento de software (segurança de CI/CD, proteção do build em runtime, deteção de fugas de código, SBOM, segredos), gestão de postura com mais de 100 conectores e governação de IA para o desenvolvimento. A sua peça de runtime de build, o Cimon, é um agente eBPF executado dentro dos seus jobs de CI.

O CRACI compete pelo mesmo orçamento de cadeia de abastecimento e, com o Cimon, a sobreposição é real: ambos observam builds, ambos podem restringir o egress do build e ambos produzem uma SBOM a partir do build. O Cimon também assina a proveniência; o CRACI não. A diferença está em onde isso reside. O Cycode acrescenta um agente ao CI que já utiliza, em muitos sistemas. O CRACI é o runner para GitHub Actions, pelo que o registo e a política vêm com cada job, e o CRACI leva-os adiante para a monitorização e as evidências para o CRA. O Cycode é muito mais amplo; o CRACI vai mais fundo no build e no que foi distribuído.

Visão geral

O que o Cycode faz bem

Amplitude em todo o SDLC

• Segurança de código: SAST e AI SAST, SCA com análise de alcançabilidade e conformidade de licenças, análise de contentores e segurança de infraestrutura como código.
• Segredos e fugas: o Cycode procura segredos expostos em código-fonte, pipelines e ferramentas como Jira, Slack e Confluence, e deteta fugas de código.
• Segurança de CI/CD: monitoriza políticas, configurações e governação de segurança de CI/CD, e usa a aplicação de políticas para ajudar as equipas a cumprir normas como o NIST SSDF.
• Gestão de postura: o Context Intelligence Graph rastreia vulnerabilidades através de código, configurações de ferramentas, infraestrutura cloud e responsabilidade, e o ConnectorX importa conclusões de outros scanners.
• SBOM: o Cycode gera SBOM em SPDX ou CycloneDX, e o seu plano Posture Management inclui a importação de SBOM.

Cimon, o agente de runtime de build

O Cycode descreve o Cimon como segurança em runtime, uma SBOM observada em runtime e proveniência SLSA num único passo de GitHub Actions ou Azure Pipelines. Monitoriza a execução de processos, o egress de rede e o acesso a ficheiros ao nível do kernel com eBPF. No modo de deteção, observa sem bloquear; assim que o comportamento normal de um pipeline fica estabelecido, impõe-no, e a GitHub Action aceita hosts e IP permitidos. O Cimon assina a proveniência segundo a especificação SLSA Provenance v1.0, que o Cycode afirma cumprir o SLSA Build Level 2 num runner alojado assinado através do GitHub OIDC. Funciona também em Jenkins, GitLab CI, Buildkite e Harness, e o Cycode afirma que é gratuito e open source.

Onde o CRACI é diferente

O runner, não um agente nele

O Cimon é adicionado aos runners que mantém; em GitHub Actions, corre como um contentor privilegiado que se junta aos namespaces de processos e de rede do runner. É isso que lhe permite funcionar em runners alojados e em muitos sistemas de CI. O CRACI segue o caminho oposto e substitui o runner. Muda runs-on para craci, e a política de egress faz parte da plataforma: validada antes de o job arrancar, rejeitando campos desconhecidos e falhando em modo fechado.

Pacotes e origens, não apenas hosts

A política de egress do CRACI é tipada por ecossistema. Tem 24 predefinições integradas de origens de software, origens personalizadas para npm, PyPI, apt, apk, o proxy Go, Nix, Cargo, registos OCI e Git sobre HTTPS e SSH, e regras explícitas de TLS, TCP, UDP e ICMP. Um proxy que reconhece pacotes regista que pacotes cada job obteve. A evidência das dependências acompanha as caches de CI, pelo que um pacote restaurado de uma cache continua no registo, e cada SBOM tem um estado de completude por job e por cache: Complete, Complete with connections, Incomplete, Unavailable ou Not recorded.

Do build ao que foi distribuído

• Proveniência: a API devolve SBOM, traços de rede e proveniência.
• Monitorização: o CRACI continua a reavaliar as SBOM do que distribuiu à medida que surgem novas vulnerabilidades, agregadas por todos os builds e repositórios.
• Exportação: SBOM em CycloneDX ou SPDX, incluindo vulnerabilidades.

Um inventário do que está implementado e onde

A vista de inventário do CRACI mostra exatamente que versões de software estão implementadas em que produtos, a nível global. Quando surge uma nova vulnerabilidade, pode ver que produtos executam a versão afetada, em vez de o reconstituir a partir de notas de lançamento e folhas de cálculo.

Onde o Cycode está à frente

Sem rodeios: o CRACI não tem análise de SAST, segredos, IaC ou contentores, nem conectores ASPM, nem monitorização de processos ou ficheiros, nem ainda modo de deteção ou de monitorização (está no roadmap). O CRACI não assina a proveniência nem reivindica um nível SLSA, e hoje executa apenas GitHub Actions, com GitLab CI e Jenkins no roadmap. Se precisa de uma só plataforma para todo o seu código e todos os sistemas de CI, o Cycode cobre muito mais.

Qual é o mais adequado

O Cycode é a melhor opção quando

• Quer uma só plataforma ASPM para análise de código, segredos, postura de CI/CD e priorização.
• Utiliza Azure Pipelines, Jenkins, GitLab CI ou Buildkite e quer aí proteção do build em runtime.
• Quer manter os runners alojados no GitHub e acrescentar-lhes um agente.

O CRACI é a melhor opção quando

• Compila em GitHub Actions e quer o runner, a política de egress e o registo de dependências num só local.
• Precisa de uma SBOM ao nível do pacote de cada build, com um estado de completude que possa mostrar a um auditor.
• Quer monitorização do que foi distribuído e evidências para o CRA a partir do mesmo registo.

Usar ambos

A análise de código, a deteção de segredos e a gestão de postura do Cycode cobrem terreno em que o CRACI não toca, pelo que os dois podem coexistir. O Cimon é a exceção: num runner do CRACI, a observação do build e o controlo de egress já fazem parte do runner, pelo que o CRACI substitui o Cimon em vez de correr ao lado dele, a menos que precise da proveniência assinada do Cimon.

Para outras plataformas ASPM, scanners e agentes de runner, consulte as alternativas ao Cycode.

Para o Cyber Resilience Act

O Cycode posiciona a sua plataforma para a conformidade com o CRA com geração automatizada de SBOM, acompanhamento de vulnerabilidades e recolha de evidências para processos técnicos. O CRACI automatiza uma parte significativa da visibilidade da cadeia de abastecimento de software e das evidências de que as empresas precisam para o seu processo mais amplo de conformidade com o CRA, a partir do build: SBOM com estados de completude, proveniência, monitorização do que foi distribuído e exportação de SBOM como evidências para o CRA. Nenhuma das ferramentas o torna conforme por si só. Consulte o que o CRA exige e a conformidade com o CRA.

Adicionar o CRACI

Instale a GitHub App do CRACI na sua organização e mude a etiqueta do runner de um job para runs-on: craci. As execuções continuam a aparecer na interface do GitHub. Saiba mais sobre a integração de CI/CD, a geração de SBOM durante o build e os preços.