CRACI vs Mend.io

Det korta svaret

Mend.io är en plattform för applikationssäkerhet. Mend AppSec kombinerar Mend SAST för din egen kod med Mend SCA för beroenden med öppen källkod och containrar, och Mend Renovate håller beroenden aktuella med automatiska pull requests. CRACI är en GitHub Actions-kompatibel CI-runner som registrerar varje externt beroende ett bygge hämtar och tar fram SBOM:en, proveniensen och efterlevnadsbevisen från den registreringen. Mend är en skanner. CRACI är en registrator. Om du använder Mend i dag lägger CRACI till ett lager i stället för att ersätta ett.

I korthet

Vad Mend.io gör bra

Att prioritera det som är nåbart. Mend SCA spårar anropsgrafen från din kod genom direkta och transitiva beroenden för att avgöra om din applikation faktiskt anropar en sårbar funktion. Det kortar listan med fynd som ett team måste agera på. CRACI sammanställer sårbarheter över byggen och repon, men gör ingen reachability-analys.

Kod såväl som beroenden. Mend SAST täcker fler än 30 språk, och Mend CLI skannar komponenter med öppen källkod, egen kod, containeravbilder och infrastruktur som kod. CRACI gör inget av detta.

Att hålla beroenden aktuella. Mend Renovate öppnar pull requests för föråldrade paket över fler än 90 pakethanterare. Utgåvorna Renovate CLI och Community är gratis; Enterprise lägger till säkerhetsfunktioner och support.

Licenser, skadliga paket och SBOM:er. Mend SCA upptäcker licenserna på direkta och transitiva beroenden och tillämpar policyer, till exempel blockering av AGPL i kommersiella produkter. Det flaggar typosquats, dependency confusion och paket med bakdörrar eller kod för dataexfiltrering. Det tar fram SBOM:er i SPDX och CycloneDX, tar in SBOM:er från tredje part och tillämpar VEX-data.

Där CRACI skiljer sig

Observation i stället för rekonstruktion

Mends egen dokumentation rekommenderar skanning efter byggsteget, eftersom det är bygget som ger skannern åtkomst till privata register och externa artefakter, och skanning utan bygge kan ge felaktiga resultat. Det är en bra instinkt. CRACI tar det ett steg längre: i stället för att läsa projektet när bygget är klart registrerar det själva bygget.

En paketmedveten proxy på CRACI-runnern observerar trafiken till paketkällor medan jobbet körs, för npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar. Beroendebevisen följer med CI-cachar, så paket som återställs från en cache ändå räknas med. Varje SBOM anger sin fullständighet per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Kontroll över byggets nätverk

Eftersom CRACI kör jobbet kan det begränsa vart jobbet går. Egress-policyer är neka som standard eller tillåt som standard, med 24 inbyggda förinställningar för programvarukällor och typade egna källor för npm, PyPI, apt, apk, Go-proxyn, Nix, Cargo, OCI-register och Git. De valideras innan jobbet startar och blockerar vid fel. Mend upptäcker ett skadligt paket när det väl finns i ditt beroendeträd. En egress-policy begränsar vilka källor ett bygge över huvud taget kan nå. De två lagren verkar vid olika tillfällen.

Bevis från bygget

API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI signerar inte proveniens.

En inventering av vad som är driftsatt var

CRACI:s inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. När en ny sårbarhet dyker upp ser du vilka produkter som kör den berörda versionen i stället för att pussla ihop det från release notes och kalkylblad.

Vilken som passar

• Ditt största problem är en backlog av fynd i kod och beroenden. Mend, med SAST, reachability och Renovate, är byggt för det.
• Du behöver bevisa vad som ingick i varje release. CRACI registrerar det per bygge och anger hur komplett registreringen är.
• Dina byggen gör mer än att installera från en lockfile. Nedladdningar av verktygskedjor, basavbilder och curl-hämtningar är där observation tillför mest.
• Dina pipelines finns på Azure DevOps, Bitbucket eller CircleCI. Mend passar i dag. CRACI har i dag stöd för enbart GitHub Actions, med GitLab CI och Jenkins på roadmapen.

För Cyber Resilience Act

Mend.io publicerar en guide för CRA-efterlevnad och en efterlevnadssida som kopplar dess produkter till förordningen: Mend AppSec för SBOM:er i CycloneDX och SPDX och reachability-baserad prioritering, Mend Renovate för löpande sårbarhetshantering genom beroendeuppdateringar, och licensefterlevnad dokumenterad bredvid säkerhetsläget.

CRACI bidrar med bevis från bygget: en SBOM för varje release med angiven fullständighet, proveniens, löpande bevakning och SBOM-export som CycloneDX eller SPDX. Det automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med CRA-efterlevnad. Inget enskilt verktyg gör en produkt regelefterlevande. Se CRA-efterlevnad och vad CRA är.

Lägg till CRACI bredvid Mend.io

CRACI ersätter runnern, inte GitHub Actions. Ändra runs-on till craci i ett arbetsflöde, så syns körningarna fortfarande i GitHubs gränssnitt. Ditt Mend CLI-steg stannar där det är, efter bygget. Kör en releasepipeline på CRACI och jämför dess SBOM med Mends inventering för samma commit.