CRACI vs Endor Labs

Det korta svaret

Endor Labs är en plattform för applikationssäkerhet byggd kring reachability. Den analyserar din källkod och dina beroenden för att avgöra vilka kända sårbarheter din applikation kan anropa, och hjälper dig sedan att åtgärda dem först. Den täcker också egen kod, hemligheter, containrar och skadliga paket.

CRACI är en CI-runner för GitHub Actions. Dina jobb körs på den, och medan de körs registrerar den varje externt beroende de hämtar och styr vad de kan nå på nätverket. Endor Labs talar om vilka fynd som spelar roll. CRACI ger dig en registrering av vad som ingick i varje release. De två passar ihop utan överlapp i sina kärnuppgifter.

I korthet

Vad Endor Labs gör bra

Reachability är huvudnumret. Endor Labs använder statisk programanalys för att utföra reachability-analys på funktionsnivå av direkta och transitiva beroenden och spårar kodvägar från din källkod till den sårbara funktionen. Där ett fullständigt bygge inte är möjligt erbjuder reachability på beroendenivå och förberäknad reachability grövre alternativ. Endor Labs säger att detta minskar SCA-fynden med 92 % genom att filtrera bort sårbarheter som inte kan anropas i din kod. För ett team som drunknar i larm om beroenden är det den mest direkta lättnad som finns att få.

Åtgärdssidan är också stark. Analysen av uppgraderingspåverkan letar efter brytande ändringar innan du uppgraderar och tilldelar en åtgärdsrisk, automatiska pull requests står för uppgraderingen, och Endor Patches bakåtporterar en säkerhetsrättning från uppströms till den version du redan kör när en uppgradering inte är praktiskt möjlig.

Utöver beroenden med öppen källkod innehåller plattformen AI SAST, upptäckt av hemligheter, containerskanning, upptäckt av skadliga paket och en Package Firewall som sitter som en proxy mellan ditt artefaktrepo och publika register. Dess SBOM Hub genererar och importerar SBOM:er i CycloneDX och SPDX, tar fram reachability-baserade VEX-dokument och fortsätter att uppdatera risken när nya sårbarheter publiceras. Endor Labs integreras med GitHub Actions, GitLab, Jenkins, CircleCI, Buildkite och Bitbucket, och språken som stöds omfattar C och C++, Java, Go, Rust, Python och JavaScript.

CRACI gör inget av arbetet med reachability, SAST, hemligheter eller containerskanning. Om du behöver det, behåll Endor Labs eller ett liknande verktyg.

Där CRACI skiljer sig

Bygget är sanningskällan

Endor Labs behandlar källkoden som facit för sin inventering, vilket fångar direkta, transitiva och fantomberoenden som enbart ett manifest skulle missa. CRACI börjar på ett annat ställe: i själva bygget. En paketmedveten proxy på runnern observerar trafiken till paketkällor medan jobbet körs, för npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar. Bevisen följer med CI-cachar, så ett paket som återställs från en cache räknas ändå med. Eftersom runnern ser trafiken observeras också beroenden som dras in av installationsskript eller nedladdningssteg, inte bara de som nämns i ett manifest.

Varje SBOM har en fullständighetsstatus per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. När registreringen har en lucka får du veta det.

Kontroll över vad bygget kan nå

Eftersom CRACI är runnern kan du sätta en egress-policy för varje jobb: neka som standard eller tillåt som standard, med 24 inbyggda förinställningar för programvarukällor och typade egna källor för register och Git. Policyer valideras innan jobbet startar och blockerar vid fel. Endor Labs Package Firewall filtrerar vilka paket som kommer in via ditt artefaktrepo. CRACI:s policy begränsar varje anslutning som bygget gör. Det är olika lager, och de fungerar bra tillsammans.

Proveniens och bevakning av det som levererats

Endor Labs signerar artefakter; det gör inte CRACI. CRACI:s data kommer från runnern som såg bygget, och API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI sammanställer sårbarheter över byggen och repon och fortsätter att omvärdera bevakade SBOM:er.

En inventering av vad som är driftsatt var

CRACI:s inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. När en ny sårbarhet dyker upp ser du vilka produkter som kör den berörda versionen i stället för att pussla ihop det från release notes och kalkylblad.

Vilken som passar

• Ditt problem är mängden larm: börja med Endor Labs. Reachability och analys av uppgraderingspåverkan siktar rakt på det.
• Ditt problem är att bevisa vad som finns i en release: CRACI registrerar det från bygget.
• Du oroar dig för vad byggen kan ladda ner: CRACI:s egress-policy begränsar runnern, och Endor Labs Package Firewall sållar paket. Använd båda om risken är hög.
• Du kör GitLab, Jenkins eller CircleCI: Endor Labs täcker dem i dag. CRACI har stöd för enbart GitHub Actions, så de pipelinerna skulle behöva flyttas till GitHub Actions för att köras på CRACI. GitLab CI och Jenkins finns på roadmapen.

För Cyber Resilience Act

Endor Labs räknar upp EU:s Cyber Resilience Act bland de beviskrav som SBOM Hub stöder, och dess VEX-utdata hjälper till att förklara varför en sårbarhet inte påverkar en produkt. CRACI automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med CRA-efterlevnad: SBOM:er från bygget med angiven fullständighet, proveniensdata, löpande sårbarhetsspårning och SBOM-export som CycloneDX eller SPDX. Inget av verktygen gör en produkt regelefterlevande på egen hand. Läs mer om vad CRA är och CRA-efterlevnad.

Lägg till CRACI bredvid Endor Labs

Inget i din Endor Labs-installation behöver ändras. Installera CRACI:s GitHub-app och ändra sedan runs-on till craci i de arbetsflöden du vill registrera. Körningarna syns fortfarande i GitHubs gränssnitt, och ett endorctl-steg körs på en CRACI-runner som vilket annat steg som helst. Läs mer om SBOM-generering under bygget och CI/CD-integration.