CRACI 與 Endor Labs 比較

簡短的答案

Endor Labs 是以可達性分析為核心的應用程式資安平台。它分析您的原始碼與相依套件，判斷您的應用程式能呼叫哪些 已知漏洞，再協助您優先修補這些漏洞。它也涵蓋自有程式碼、機密、容器與惡意套件。

CRACI 是 GitHub Actions 的 CI 執行器。您的作業在其上執行，執行期間它會記錄作業擷取的每個外部相依套件， 並控管作業在網路上能連到哪裡。 Endor Labs 告訴您哪些檢測結果重要；CRACI 則為您提供每個版本納入了什麼的紀錄。兩者的核心工作 互不重疊，可以搭配使用。

一覽

Endor Labs 的強項

可達性分析是它的招牌功能。Endor Labs 使用靜態程式分析，對直接與遞移相依套件進行函式層級的可達性分析， 追蹤從您的原始碼到有漏洞函式的程式碼路徑。 在無法完整建置時，相依套件層級與預先計算的可達性分析可作為較粗略的替代方式。Endor Labs 表示， 透過濾除您的程式碼無法呼叫的漏洞，這能將 SCA 檢測結果減少 92%。對於被相依套件警示淹沒的團隊而言， 這是目前最直接的解方。

修補方面同樣強大。升級影響分析會在您升級前找出破壞性變更並給出修補風險，自動化的 pull request 會帶入升級， 而在升級不切實際時，Endor Patches 會將上游的資安修正向下移植到您目前使用的版本。

除了開源相依套件之外，此平台還包括 AI SAST、機密偵測、容器掃描、惡意套件偵測，以及以代理伺服器形式位於 您的建置產物儲存庫與公開套件庫之間的 Package Firewall。其 SBOM Hub 可產生並匯入 CycloneDX 與 SPDX SBOM， 產生以可達性分析為基礎的 VEX 文件，並在新漏洞公開時持續更新風險。Endor Labs 可與 GitHub Actions、GitLab、 Jenkins、CircleCI、Buildkite 與 Bitbucket 整合，支援的語言包括 C 與 C++、Java、Go、Rust、Python 與 JavaScript。

CRACI 不做可達性分析、SAST、機密或容器掃描的任何工作。如果您需要這些功能，請繼續使用 Endor Labs 或 類似的工具。

CRACI 的不同之處

建置本身就是事實依據

Endor Labs 以原始碼作為清單的事實依據，因此能找出光看 manifest 會遺漏的直接、遞移與幽靈相依套件。 CRACI 則從不同的起點出發：建置本身。執行器上具備套件感知能力的代理伺服器會在作業執行時觀察連往套件來源的流量， 涵蓋 npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk 與 Git 來源，以及下載預設組態。 佐證資料會隨 CI 快取一起傳遞，因此從快取還原的套件仍會被納入計算。由於執行器能看到流量， 安裝腳本或下載步驟所拉進的相依套件同樣會被觀察到，而不只是 manifest 中列出的套件。

每份 SBOM 都會依作業與快取標示完整性狀態：Complete、Complete with connections、Incomplete、 Unavailable 或 Not recorded。紀錄有缺口時，您會得到通知。

控管建置能連到哪裡

由於 CRACI 就是執行器，您可以為每個作業設定對外連線政策：預設拒絕或預設允許，內建 24 種軟體來源預設組態， 並可為套件庫與 Git 設定具型別的自訂來源。政策會在作業開始前驗證，且失效即封鎖。Endor Labs 的 Package Firewall 過濾經由您的建置產物儲存庫進入的套件；CRACI 的政策則限制建置發出的每一個連線。兩者屬於不同層級， 疊加使用效果很好。

已出貨內容的來源證明與監控

Endor Labs 會為建置產物簽章；CRACI 則不會。CRACI 的資料來自全程觀察建置的執行器，API 會回傳 SBOM、網路追蹤記錄與來源證明。CRACI 會彙整各建置與儲存庫的漏洞，並持續重新評估受監控的 SBOM。

部署在何處的資產清冊

CRACI 的資產清冊檢視能精確顯示全球各地哪些軟體版本部署在哪些產品上。當新漏洞出現時， 您可以直接看到哪些產品執行受影響的版本，而不必從版本說明與試算表中拼湊答案。

哪一個適合您

• 您的問題是警示數量太多：請從 Endor Labs 開始。可達性分析與升級影響分析 正是針對這個問題。
• 您的問題是證明版本中有什麼：CRACI 從建置中記錄這些資訊。
• 您擔心建置能下載什麼：CRACI 的對外連線政策限制執行器，Endor Labs 的 Package Firewall 則篩選套件。風險較高時，兩者並用。
• 您使用 GitLab、Jenkins 或 CircleCI：Endor Labs 目前已支援這些系統。CRACI 僅支援 GitHub Actions， 因此這些管線需要移轉到 GitHub Actions 才能在 CRACI 上執行。GitLab CI 與 Jenkins 已列入產品藍圖。

針對 Cyber Resilience Act

Endor Labs 將歐盟 Cyber Resilience Act（CRA）列為 SBOM Hub 支援的佐證要求之一，其 VEX 輸出 有助於說明某個漏洞為何不影響產品。CRACI 能自動化企業在更廣泛的 CRA 法規遵循流程中所需的軟體 供應鏈可視性與佐證資料的相當大一部分：標示完整性的建置時 SBOM、來源證明資料、持續的漏洞追蹤，以及以 CycloneDX 或 SPDX 匯出 SBOM。兩種工具都無法單獨讓產品達成合規。進一步了解 什麼是 CRA 與 CRA 法規遵循。

在 Endor Labs 之外加入 CRACI

您的 Endor Labs 設定完全不需變更。安裝 CRACI GitHub App，然後在您想要記錄的工作流程中，將 runs-on 改為 craci。執行紀錄仍會顯示在 GitHub UI 中， 而 endorctl 步驟在 CRACI 執行器上的執行方式與其他步驟無異。進一步了解 建置時 SBOM 產生與 CI/CD 整合。