CRACI vs Cycode

Det korta svaret

Cycode kallar sig en agentbaserad säkerhetsplattform för utveckling, och växte fram ur hantering av applikationssäkerhetsläge (ASPM). Det säljer kodsäkerhet (SAST, SCA, container- och IaC-skanning), säkerhet i programvarans leveranskedja (CI/CD-säkerhet, skydd av byggen under körning, upptäckt av kodläckor, SBOM, hemligheter), hantering av säkerhetsläget med mer än 100 kopplingar och AI-styrning för utveckling. Dess del för byggen under körning, Cimon, är en eBPF-agent som körs i dina CI-jobb.

CRACI konkurrerar om samma budget för leveranskedjan, och med Cimon är överlappet verkligt: båda observerar byggen, båda kan begränsa byggens utgående trafik och båda tar fram en SBOM från bygget. Cimon signerar också proveniens; det gör inte CRACI. Skillnaden är var det finns. Cycode lägger till en agent i den CI du redan kör, över många system. CRACI är runnern för GitHub Actions, så registreringen och policyn följer med varje jobb, och CRACI för dem vidare till bevakning och CRA-bevis. Cycode är mycket bredare; CRACI går djupare i bygget och det som levererades.

I korthet

Vad Cycode gör bra

Bredd över hela utvecklingslivscykeln

• Kodsäkerhet: SAST och AI-SAST, SCA med nåbarhetsanalys och licensefterlevnad, containerskanning och säkerhet för infrastruktur som kod.
• Hemligheter och läckor: Cycode letar efter exponerade hemligheter i källkod, pipelines och verktyg som Jira, Slack och Confluence, och upptäcker läckt kod.
• CI/CD-säkerhet: det bevakar säkerhetspolicyer, konfigurationer och styrning för CI/CD och tillämpar policyer för att hjälpa team att uppfylla standarder som NIST SSDF.
• Hantering av säkerhetsläget: Context Intelligence Graph spårar sårbarheter över kod, verktygskonfigurationer, molninfrastruktur och ägarskap, och ConnectorX tar in fynd från andra skannrar.
• SBOM:er: Cycode genererar SBOM:er i SPDX eller CycloneDX, och dess Posture Management-plan listar inläsning av SBOM:er.

Cimon, agenten för byggen under körning

Cycode beskriver Cimon som säkerhet under körning, en SBOM observerad under körning och SLSA-proveniens i ett enda steg i GitHub Actions eller Azure Pipelines. Den bevakar processkörning, utgående nätverkstrafik och filåtkomst på kärnnivå med eBPF. I detect mode observerar den utan att blockera; när en pipelines normala beteende har fastställts upprätthåller den det, och GitHub Action-steget tar emot tillåtna värdar och IP-adresser. Cimon signerar proveniens enligt specifikationen SLSA Provenance v1.0, som enligt Cycode uppfyller SLSA Build Level 2 på en hostad runner signerad via GitHub OIDC. Den körs också på Jenkins, GitLab CI, Buildkite och Harness, och Cycode säger att den är gratis och öppen källkod.

Där CRACI skiljer sig

Runnern, inte en agent på den

Cimon läggs till på de runners du behåller; i GitHub Actions körs den som en privilegierad container som ansluter till runnerns process- och nätverksnamnrymder. Det är det som gör att den fungerar på hostade runners och många CI-system. CRACI går den andra vägen och ersätter runnern. Du ändrar runs-on till craci, och egress-policyn är en del av plattformen: validerad innan jobbet startar, avvisar okända fält och blockerar vid fel.

Paket och källor, inte bara värdar

CRACI:s egress-policy är typad per ekosystem. Den har 24 inbyggda förinställningar för programvarukällor, egna källor för npm, PyPI, apt, apk, Go-proxyn, Nix, Cargo, OCI-register och Git över HTTPS och SSH, och uttryckliga regler för TLS, TCP, UDP och ICMP. En paketmedveten proxy registrerar vilka paket varje jobb hämtade. Beroendebevisen följer med CI-cachar, så ett paket som återställs från en cache finns ändå i registreringen, och varje SBOM har en fullständighetsstatus per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Från bygget till det som levererades

• Proveniens: API:t returnerar SBOM:er, nätverksspårningar och proveniens.
• Bevakning: CRACI fortsätter att omvärdera SBOM:erna för det du levererade när nya sårbarheter dyker upp, sammanställt över byggen och repon.
• Export: SBOM:er i CycloneDX eller SPDX, inklusive sårbarheter.

En inventering av vad som är driftsatt var

CRACI:s inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. När en ny sårbarhet dyker upp ser du vilka produkter som kör den berörda versionen i stället för att pussla ihop det från release notes och kalkylblad.

Där Cycode ligger före

För att säga det rakt ut: CRACI har ingen SAST-, hemlighets-, IaC- eller containerskanning, inga ASPM-kopplingar, ingen bevakning av processer eller filer och inget detect- eller bevakningsläge än (det finns på roadmapen). CRACI signerar inte proveniens och gör inte anspråk på någon SLSA-nivå, och den kör i dag enbart GitHub Actions, med GitLab CI och Jenkins på roadmapen. Om du behöver en plattform för all din kod och alla CI-system täcker Cycode mycket mer.

Vilken som passar

Cycode passar bättre när

• Du vill ha en ASPM-plattform för kodskanning, hemligheter, CI/CD-säkerhetsläge och prioritering.
• Du kör Azure Pipelines, Jenkins, GitLab CI eller Buildkite och vill ha skydd av byggen under körning där.
• Du vill behålla GitHub-hostade runners och lägga till en agent på dem.

CRACI passar bättre när

• Du bygger på GitHub Actions och vill ha runnern, egress-policyn och beroenderegistreringen på ett ställe.
• Du behöver en SBOM på paketnivå från varje bygge med en fullständighetsstatus som du kan visa för en revisor.
• Du vill ha bevakning av det som levererades och CRA-bevis från samma registrering.

Använda båda

Cycodes kodskanning, upptäckt av hemligheter och hantering av säkerhetsläget täcker områden som CRACI inte berör, så de två kan stå sida vid sida. Cimon är undantaget: på en CRACI-runner är observation av bygget och egress-kontroll redan en del av runnern, så CRACI ersätter Cimon i stället för att köras bredvid den, om du inte behöver Cimons signerade proveniens.

För andra ASPM-plattformar, skannrar och runner-agenter, se alternativ till Cycode.

För Cyber Resilience Act

Cycode positionerar sin plattform för CRA-överensstämmelse med automatiserad SBOM-generering, sårbarhetsbevakning och insamling av bevis till den tekniska dokumentationen. CRACI automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med CRA-efterlevnad, med bygget som utgångspunkt: SBOM:er med fullständighetsstatus, proveniens, bevakning av det som levererades och SBOM-export som CRA-bevis. Inget av verktygen gör dig regelefterlevande på egen hand. Se vad CRA kräver och CRA-efterlevnad.

Lägga till CRACI

Installera CRACI:s GitHub-app i din organisation och ändra sedan runner-etiketten för ett jobb till runs-on: craci. Körningarna syns fortfarande i GitHubs gränssnitt. Läs mer om CI/CD-integration, SBOM-generering under bygget och priser.