CRACI vs Sonatype

Det korta svaret

Sonatype är bäst på styrning av öppen källkod: policyer som avgör vilka komponenter som är tillåtna, en brandvägg som stoppar dåliga paket vid repot och analys som talar om vad som hamnade i din applikation. CRACI är en GitHub Actions-kompatibel CI-runner som registrerar varje externt beroende som ett bygge drar in och tar fram SBOM, proveniens och efterlevnadsbevis från den registreringen. Sonatype är en skanner och en grindvakt. CRACI registrerar, och dess policyspärrar kan också blockera ett bygge på grund av fynd. De flesta team som behöver båda skulle köra dem sida vid sida.

Vilken Sonatype-produkt är vilken

Sonatype säljer flera produkter, och namnen spelar roll för den här jämförelsen:

• Sonatype Lifecycle är produkten för software composition analysis (SCA) och policy, som körs egenhostad eller som SaaS.
• Sonatype Repository Firewall blockerar och sätter komponenter som inte klarar dina policyer i karantän innan de kommer in i dina repon. Den är utformad för Sonatype Nexus Repository. Sonatype Firewall Pro täcker andra repohanterare, som JFrog Artifactory, Cloudsmith och GitHub Packages, för npm, Maven, PyPI och NuGet.
• Sonatype SBOM Manager importerar, bevakar och delar SBOM:er, med ett VEX-arbetsflöde.

Paketeringen håller på att ändras. Sonatypes prissida säger att alla Lifecycle-funktioner nu ingår i Sonatype Guide, att nya kunder köper Guide för SCA och styrning, och att Guide också innehåller efterlevnadsfunktionerna i SBOM Manager.

I korthet

Vad Sonatype gör bra

Policy i stor skala. Lifecycle levereras med 18 standardpolicyer och fler än 30 anpassningsbara villkor för regler om säkerhet, juridik och arkitektur. Licenspolicyerna omfattar fler än 2 000 open source-licenser. Det prioriterar fynd med data om reachability, brytande ändringar och tillgängliga uppgraderingar, och det kan öppna Golden Pull Requests med de föreslagna uppgraderingarna.

Tittar på det bygget producerade. Lifecycle-integrationer använder som standard Advanced Binary Fingerprinting, som undersöker allt som ingår i applikationen efter bygget, inklusive inbäddade beroenden, och kan identifiera omdöpta eller ändrade komponenter. Först därefter faller det tillbaka på lockfiler och manifest. Varje skanningsrapport kan exporteras som en SBOM i CycloneDX eller SPDX.

Stoppar dåliga paket vid dörren. Repository Firewall tillämpar dina standarder för säkerhet, licenser och kvalitet vid nedladdning och sätter misstänkta komponenter i karantän. CRACI har ingen motsvarighet i dag: blocklistor för paket finns på dess roadmap.

Passar alla pipelines. Sonatype integreras med Jenkins, GitHub Actions, GitLab CI, Azure DevOps och Bamboo, plus Maven, Gradle och ett CLI för andra CI-servrar. CRACI har i dag bara stöd för GitHub Actions, med GitLab CI och Jenkins på roadmapen.

Där CRACI skiljer sig

Det registrerar bygget i stället för att analysera resultatet

Binär fingeravtrycksanalys talar om vad som finns inuti den färdiga applikationen. Den talar inte om vad bygget laddade ner på vägen: kompilatorer och verktygskedjor, installationsskript, basavbilder, release-binärer som hämtats med curl eller paket som återställts från en cache. CRACI ser dem eftersom det är runnern. En paketmedveten proxy observerar trafik till paketkällor medan jobbet körs och täcker npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus käll- eller nedladdningsförinställningar. Beroendebevisen följer med CI-cachar, så cachade paket räknas ändå.

Varje SBOM anger sin egen fullständighet, per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. När registreringen har en lucka vet du det.

Det styr vart bygget kan ta vägen

Repository Firewall styr vad som kommer genom repot. En egress-policy i CRACI styr vad bygget över huvud taget kan nå. Policyer nekar eller tillåter som standard, med 24 inbyggda förinställningar för programvarukällor och typade anpassade källor för npm, PyPI, apt, apk, Go-proxyn, Nix, Cargo, OCI-register och Git. De valideras innan jobbet startar och blockerar vid fel. Tillsammans låter de två dig se till att byggjobb bara hämtar paket från källor du godkänner, och att de källorna bara levererar paket du tillåter.

Det fortsätter att bevaka det som levererats

API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI signerar inte proveniens. CRACI sammanställer sårbarheter över byggen och repon och fortsätter att omvärdera bevakade SBOM:er.

En inventering av vad som är driftsatt var

CRACI:s inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. När en ny sårbarhet dyker upp ser du vilka produkter som kör den berörda versionen i stället för att pussla ihop det från release notes och kalkylblad.

När du ska använda båda

• Du kör redan Nexus Repository med Firewall. Behåll det som spärr. Lägg till CRACI så att varje bygge har en registrering av vad det hämtade och en egress-policy som begränsar byggen till dina godkända källor.
• Ditt juridiska team förlitar sig på licenspolicyer i Lifecycle. Behåll dem. CRACI tar med deklarerade licensmetadata i sin SBOM-export och tillämpar också licenspolicy.
• Du samlar SBOM:er i SBOM Manager. SBOM Manager importerar CycloneDX och SPDX, samma format som CRACI exporterar, så SBOM:er från bygget kan ligga bredvid dem du redan hanterar.
• Dina pipelines finns på Jenkins eller Azure DevOps. Sonatype passar i dag. CRACI skulle kräva att de pipelinerna först flyttas till GitHub Actions; Jenkins finns på dess roadmap.

För Cyber Resilience Act

Sonatype publicerar en användarguide och en checklista för CRA och positionerar SBOM Manager som sin CRA-produkt. Dess guide lyfter fram generering av VEX-filer för att rapportera om kända sårbarheter i SBOM:er, och Nexus Repository som uppdateringsplats för att distribuera säkerhetsuppdateringar.

CRACI täcker bevissidan från bygget: en SBOM för varje release med angiven fullständighet, proveniens, löpande sårbarhetsbevakning och SBOM-export som CycloneDX eller SPDX. Det automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med CRA-efterlevnad. Inget av verktygen gör en produkt regelefterlevande på egen hand. Se CRA-efterlevnad och vad CRA är.

Lägg till CRACI bredvid Sonatype

CRACI ersätter runnern, inte GitHub Actions. Ändra runs-on till craci i ett arbetsflöde, så syns körningar fortfarande i GitHubs gränssnitt. Dina Sonatype-steg stannar i arbetsflödet. Börja med en release-pipeline, jämför CRACI:s SBOM med din Lifecycle-rapport och titta på vad bara en av dem såg.