CRACI vs Checkmarx One

Det korta svaret

Checkmarx One är en plattform för applikationssäkerhet: statisk analys, mjukvarukompositionsanalys (SCA), upptäckt av hemligheter, IaC, API-säkerhet, containersäkerhet, skydd mot skadliga paket och hantering av säkerhetsläget på ett ställe. CRACI är en GitHub Actions-kompatibel CI-runner som registrerar varje externt beroende som ett bygge drar in, och tar fram SBOM:en, proveniensen och efterlevnadsbevisen från den registreringen. Checkmarx One är en skanner, med många motorer. CRACI är en registrerare. De överlappar när det gäller SBOM:er och sårbarhetsbevakning, men knappast i något annat.

I korthet

Vad Checkmarx One gör bra

Bredd. Checkmarx One täcker egen kod (SAST), hemligheter, infrastruktur som kod, API:er, containrar, beroenden med öppen källkod, repohälsa och AI-komponenter, och samlar fynden i sitt ASPM-lager. Om du vill ha en leverantör för testning av applikationssäkerhet är CRACI ingen ersättning. Den testar inte din kod alls.

Att veta vilka sårbarheter som spelar roll. Checkmarx SCA använder exploitable path-analys för att avgöra vilka sårbara klasser eller funktioner i tredjepartsbibliotek som din kod kan anropa. Den skannar direkta och transitiva beroenden, även privata paket, utan djupbegränsning. Policyer för allvarlighetsgrad, nåbarhet, skadlig kod och licenser kan skicka larm, stoppa pull requests och stoppa byggen.

Skadliga paket. Checkmarx underhåller en stor egen databas över skadliga paket med öppen källkod, som täcker typosquatting, dependency confusion och kapade konton, och kan blockera ett bygge automatiskt när ett sådant dyker upp i ditt beroendeträd.

SBOM:er och integrationer. Checkmarx One exporterar SBOM-rapporter i CycloneDX 1.7 eller SPDX 2.3, med valfria VEX-triagedata i CycloneDX, och kan läsa in SBOM:er. Det har plugins för Jenkins, TeamCity, GitHub Actions, Azure DevOps och Maven, och använder sitt CLI för GitLab, Bitbucket Pipelines, CircleCI, Bamboo och AWS CodeBuild. För Code Repository Integration-projekt kan det öppna en automatisk pull request med åtgärdade paketversioner; dess release notes listade npm-manifest av typen package.json vid lanseringen.

Där CRACI skiljer sig

Vad skannern ser, och vad bygget gjorde

Checkmarx One GitHub Action kapslar in Checkmarx CLI, som skapar ett zip-arkiv av ditt källkodsrepo och laddar upp det för skanning. SCA Resolver kan i stället extrahera beroenden och fingeravtryck lokalt, med dina egna pakethanterare, och skicka dem för analys utan din källkod. Hur som helst utgår analysen från projektet: dess kod, manifest och beroendeträdet som de ger upphov till.

CRACI utgår från bygget. Den är runnern, så en paketmedveten proxy observerar vad jobbet faktiskt laddar ner från paketkällor: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar. Det omfattar verktygskedjor, basavbilder, releasenedladdningar och paket som återställs från CI-cachar. Varje SBOM anger sin fullständighet per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Kontroll, inte bara upptäckt

Eftersom bygget körs på CRACI kan du sätta en egress-policy för det: neka som standard eller tillåt som standard, 24 inbyggda förinställningar för programvarukällor och typade egna källor för npm, PyPI, apt, apk, Go-proxyn, Nix, Cargo, OCI-register och Git. Policyer valideras innan jobbet startar och blockerar vid fel. Checkmarx bedömer paket utifrån vad de är. CRACI begränsar var ett bygge kan hämta från. CRACI upptäcker inte skadliga paket utifrån rykte, så de två lagren kompletterar varandra.

Proveniens och bevakning

API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI sammanställer sårbarheter över byggen och repon och fortsätter att omvärdera bevakade SBOM:er.

En inventering av vad som är driftsatt var

CRACI:s inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. När en ny sårbarhet dyker upp ser du vilka produkter som kör den berörda versionen i stället för att pussla ihop det från release notes och kalkylblad.

När du ska använda båda

• Säkerhetstestning plus bevis för varje release. Checkmarx One i pull requests för risker i kod, hemligheter, IaC och beroenden. CRACI som runner för releasebyggen, med SBOM- och proveniensdata för varje bygge.
• Försvar av leveranskedjan i flera lager. Checkmarx skydd mot skadliga paket flaggar dåliga paket. CRACI:s egress-policy begränsar byggen till godkända källor och registrerar varje hämtning.
• Pipelines utanför GitHub Actions. Checkmarx One passar Jenkins, TeamCity, Azure DevOps och GitLab i dag. CRACI har i dag stöd för enbart GitHub Actions, med GitLab CI och Jenkins på roadmapen, så de pipelinerna skulle behöva flyttas först.

För Cyber Resilience Act

Checkmarx erbjuder en CRA-bedömning som en del av sin AppSec Program Maturity Assessment (APMA), som mäter arbetssätt för inbyggd säkerhet och sårbarhetshantering mot CRA:s krav för uppkopplade produkter. Dess blogg hävdar att AppSec håller på att bli det tekniska genomförandelagret för CRA-efterlevnad, med särskilt fokus på att dokumentera AI-komponenter genom AI-BOM:er.

CRACI lägger till bevis från bygget: vad som ingick i varje release, hur komplett registreringen är och löpande bevakning därefter, med SBOM:er som exporteras i CycloneDX eller SPDX. Den automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med CRA-efterlevnad. Inget av verktygen gör en produkt regelefterlevande på egen hand. Se CRA-efterlevnad och CRA-bevis.

Lägga till CRACI bredvid Checkmarx One

CRACI ersätter runnern, inte GitHub Actions. Ändra runs-on till craci i ett arbetsflöde så syns körningarna fortfarande i GitHubs gränssnitt. Checkmarx One GitHub Action stannar kvar i arbetsflödet som ett steg. Börja med en releasepipeline och jämför CRACI:s SBOM med SBOM-rapporten från Checkmarx One för samma commit.

Väger du mellan fler än två verktyg? Alternativ till Checkmarx jämför nio alternativ sida vid sida.