CRACI vs OX Security

Det korta svaret

OX Security är en plattform för application security posture management (ASPM) med egna skannrar (SAST, SCA, hemligheter, IaC och containrar), sammanställning av tredjepartsfynd, posture-policyer för CI/CD samt runtime- och molnkontext. För säkerhet i leveranskedjan erbjuder det Pipeline Bill of Materials (PBOM): en signerad registrering av hur varje artefakt byggdes, från commit genom CI/CD till produktion.

CRACI konkurrerar om samma budget för leveranskedjan. Skillnaden är utkikspunkten. OX ansluter till versionshanteringen, CI-systemen och registren du redan använder och bygger sin bild utifrån dem. CRACI är byggrunnern för GitHub Actions: det registrerar vad varje jobb faktiskt drog in, upprätthåller en egress-policy medan jobbet körs, bevakar det som levererats och tar fram CRA-bevis. OX är mycket bredare; CRACI är själva bygget.

I korthet

Vad OX Security gör bra

• En registrering av bygget utöver SBOM:en. OX:s PBOM fångar pipelinedefinitioner, runneridentitet, byggargument, artefaktsignaturer och versionshärkomst, och OX säger att den innehåller varje komponent med öppen källkod som ingår i varje bygge. Den signeras per bygge. OX genererar också SBOM:er i SPDX och CycloneDX.
• CI/CD-posture. OX-policyer flaggar osäkra arbetsflödesfiler, olåsta tredjepartsactions, föråldrade GitHub Actions-kommandon, alltför breda behörigheter i arbetsflöden, hemligheter i klartext och riskabla webhooks, och kan flagga CI-system som inte är godkända för byggen.
• Tillämpning i pipelinen. GitHub Action-steget OX Security Scan kör skanningar av hemligheter, SAST, SCA och IaC och låter arbetsflödet misslyckas när det hittar ett blockerande problem enligt dina OX-policyer.
• Sammanställning. OX hämtar in fynd från skannrar som Checkmarx, Veracode, SonarQube, Snyk, Black Duck och JFrog Xray, bredvid sina egna.
• Bred integrationstäckning. På CI-sidan listas GitHub Actions, GitLab CI/CD, Jenkins, Azure Pipelines, CircleCI och Drone CI, plus åtta versionshanteringssystem och tio containerregister.
• Funktioner för AI-eran. OX VibeSec täcker AI-genererad kod och AI-genererade beroenden med en AI Bill of Materials, och AI-åtgärder föreslår kodändringar i pull requests och i IDE:n.

Där CRACI skiljer sig

Registreras av runnern, samlas inte in från anslutna verktyg

OX:s dokumentation säger att dess SBOM samlar in data från anslutna källor, bland annat versionshantering, CI/CD-pipelines, containeravbilder och importerade filer. Det ger en bred bild över hela din miljö. CRACI tar en smalare och djupare bild av varje bygge: en paketmedveten proxy observerar trafik till paketkällor medan jobbet körs, över npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar. Beroendebevisen följer med CI-cachar, så ett paket som återställs från en cache räknas ändå.

Varje SBOM från CRACI har en fullständighetsstatus per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. När registreringen har en lucka säger den det.

Kontroll medan bygget körs

OX:s posture-policyer kontrollerar hur en pipeline är konfigurerad. CRACI begränsar vad bygget kan nå. Egress-policyer nekar eller tillåter som standard, med 24 inbyggda förinställningar för programvarukällor, typade egna källor för npm, PyPI, apt, apk, Go-proxyn, Nix, Cargo, OCI-register och Git, och explicita regler för TLS, TCP, UDP och ICMP. Policyer valideras innan jobbet startar och blockerar vid fel, och CRACI kan varna dig vid en överträdelse.

Proveniens och bevakning från en registrering

API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI signerar inte proveniens och gör inte anspråk på någon SLSA-nivå. Det fortsätter att omvärdera SBOM:erna för det du har levererat när nya sårbarheter publiceras.

En inventering av vad som är driftsatt var

CRACI:s inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. När en ny sårbarhet dyker upp ser du vilka produkter som kör den berörda versionen i stället för att pussla ihop det från release notes och kalkylblad.

Där OX ligger före

För att säga det rakt ut: CRACI har ingen skanning av SAST, hemligheter, IaC eller containrar, inga posture-kontroller för CI/CD, ingen sammanställning av tredjepartsskannrar och ingen runtime- eller molnkontext. CRACI:s policyspärrar kan blockera ett bygge på grund av fynd, men CRACI har i dag stöd för enbart GitHub Actions, med GitLab CI och Jenkins på roadmapen. Om du behöver en plattform som spänner över alla pipelines och skannrar du kör täcker OX mycket mer.

Vilken som passar

OX Security passar bättre när

• Du vill ha en ASPM-plattform som sammanställer många skannrar och prioriterar över dem.
• Du behöver posture-policyer för CI/CD över GitLab, Jenkins, Azure Pipelines eller CircleCI.
• Du vill ha spärrar i pull requests för fynd i kod, hemligheter och IaC i dag.

CRACI passar bättre när

• Du bygger på GitHub Actions och vill ha runnern, egress-policyn och registreringen av beroenden på ett ställe.
• Du behöver en SBOM över vad varje bygge hämtade, med en fullständighetsstatus du kan visa en revisor.
• Du vill ha bevakning av det som levererats och CRA-bevis från samma registrering.

Använda båda

CRACI ersätter runnern, inte GitHub Actions, så OX Security Scan-actionen körs på en CRACI-runner som vilket annat steg som helst. OX kan importera SBOM:er i CycloneDX-format, så CRACI kan tillhandahålla SBOM:en som registrerats från bygget för OX att arbeta utifrån.

För Cyber Resilience Act

Cyber Resilience Act kräver att tillverkare känner till komponenterna i varje produkt, hanterar sårbarheter i dem och sparar bevis. OX:s SBOM:er, PBOM och posture-policyer stöder säker utveckling och en inventering över hela din miljö. CRACI automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med CRA-efterlevnad: SBOM:er från bygget som exporteras som CycloneDX eller SPDX, sårbarhetsspårning och proveniens via API:t. Inget av verktygen gör dig regelefterlevande på egen hand. Se CRA-bevis och CRA-efterlevnad.

Lägg till CRACI

Installera CRACI:s GitHub App i din organisation och ändra sedan runnerns etikett på ett jobb till runs-on: craci. Körningar syns fortfarande i GitHubs gränssnitt. Börja med ett arbetsflöde som producerar en release-artefakt och jämför CRACI:s SBOM med den OX visar för samma repo. Läs mer om CI/CD-integration, SBOM-generering under bygget och priser.

Väger du fler än två verktyg? Alternativ till OX Security jämför nio alternativ sida vid sida.