CRACI vs Cybeats SBOM Studio

Stručná odpověď

Cybeats SBOM Studio o sobě říká, že je „systémem evidence SBOM“. Uchovává SBOM vašich produktů a dodavatelů, obohacuje je o informace o zranitelnostech a licencích, průběžně je monitoruje a sdílí je se zákazníky a regulátory. CRACI je runner pro GitHub Actions, který zaznamenává závislosti, jež každý job skutečně stáhl, a z tohoto záznamu vytváří SBOM se stavem úplnosti.

Systém evidence je jen tak přesný jako to, co do něj vstupuje. SBOM Studio spravuje SBOM, které vygeneroval nějaký jiný nástroj. CRACI je vytváří z buildu a monitoruje je, takže CI, SBOM i sledování zranitelností pocházejí z jednoho produktu.

Přehled

V čem je Cybeats dobrý

• Jedno spravované místo pro každou SBOM. SBOM Studio je určené pro týmy produktové bezpečnosti v ICS a OT, zdravotnických prostředcích, telekomunikacích, automobilovém průmyslu a finančních službách. Dává jim „jeden spravovaný zdroj pravdy pro každou SBOM napříč vašimi produkty a dodavateli“.
• Široká podpora formátů. SPDX 2.2 až 3.0.1 a CycloneDX 1.2 až 1.7 pro import i export. Platforma zvládá také VEX, AIBOM, CBOM a HBOM.
• Kontrola kvality na vstupu. SBOM Quality Score ověřuje soubory před importem, kontroluje, zda jsou správně formátované podle standardu, a zaznamenává, proč SBOM nevyhovuje.
• Obohacení a monitorování. Každá komponenta se průběžně porovnává s informacemi o zranitelnostech, s upozorněními podle politik, VEX pro sdělení, které zranitelnosti se týkají vašich produktů, a analýzou licencí OSS a COTS.
• Sdílení. Řízená výměna SBOM a VEX se zákazníky, mimo jiné přes Transparency Exchange API. SBOM Consumer, samostatný produkt, ověřuje a monitoruje SBOM, které obdržíte od dodavatelů.

Příjem SBOM od dodavatelů, analýza licencí a hostované sdílení jsou oblasti, kde SBOM Studio dnes umí víc než CRACI. Pokud je úkolem vašeho týmu řídit program SBOM napříč mnoha produkty a dodavateli, je pro to stavěné.

Čím se CRACI liší

Vytváří SBOM, a to z buildu

SBOM Studio SBOM přijímá. Pro generování Cybeats odkazuje na svůj Marketplace, který sdružuje dodavatele nástrojů pro analýzu binárního složení a generování SBOM. Seznam komponent v systému evidence tedy stále pochází z nějakého skeneru.

CRACI job spouští. Změníte runs-on na craci a proxy, která rozumí balíčkům, během buildu zaznamenává provoz ke zdrojům balíčků: npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git, plus předvolby pro stahování. Důkazy o závislostech putují spolu s cache CI, takže balíček obnovený z cache v záznamu zůstává. SBOM obsahuje všechny tranzitivní závislosti, které build skutečně použil.

Správně formátovaná neznamená úplná

Skóre kvality může potvrdit, že SBOM odpovídá standardu a obsahuje očekávaná pole. Nemůže vám ale říct, co generátor nikdy neviděl. Generátory se rozcházejí strukturálně, protože každý čte jinou sadu souborů a vyhodnocuje je jinak, a správně formátovaný dokument nic neříká o tom, zda závislost, kterou vynechává, nástroj vůbec měl před sebou. Dobrým příkladem je pole dodavatele podle NTIA: ověřuje se jako přítomné nebo chybějící a většina generátorů pro něj nemá žádný zdroj. CRACI takto hodnotit nelze, protože zaznamenává buildy a adresář skenovat neumí.

CRACI uvádí úplnost přímo ze záznamu, pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded. Mezery v záznamu jsou známé, ne odhadnuté.

Kontrola a původ

Protože CRACI job spouští, vynucuje egress policy pro síť: ve výchozím stavu zakazující nebo povolující, s 24 vestavěnými předvolbami softwarových zdrojů a typovanými vlastními zdroji, ověřenou před spuštěním jobu a fail-closed. API vrací SBOM, síťové záznamy a údaje o původu.

Monitorování

CRACI průběžně znovu vyhodnocuje monitorované SBOM a agreguje zranitelnosti napříč buildy a repozitáři.

Inventář toho, co je kde nasazeno

Pohled inventáře v CRACI přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, globálně. Když se objeví nová zranitelnost, vidíte, které produkty používají zasaženou verzi, místo abyste to skládali dohromady z poznámek k vydání a tabulek.

Nahrazení SBOM Studio pomocí CRACI

Softwarovým týmům na GitHub Actions pokrývá CRACI to, k čemu systém evidence SBOM u jejich vlastních produktů slouží: vytváří SBOM v každém buildu, průběžně znovu vyhodnocuje monitorované SBOM při zveřejnění nových zranitelností, agreguje nálezy napříč buildy a repozitáři a umožňuje bezpečnostním týmům provést jejich triáž a každý nález předat týmu, který vlastní opravu. Můžete přidat i SBOM od dodavatelů, takže nakoupené komponenty se monitorují spolu s vašimi vlastními buildy. Není potřeba spouštět samostatný generátor ani udržovat krok importu.

Ujasněte si, čeho se vzdáváte. SBOM Studio zvládá analýzu licencí OSS a COTS, AIBOM, CBOM a HBOM, hodnotí kvalitu SBOM při importu a sdílí SBOM se zákazníky přes Transparency Exchange API. CRACI vynucuje licenční politiku pro deklarované licence, které zaznamenává, ale nic dalšího z toho dnes nemá. Pokud je vaším úkolem řídit program SBOM napříč mnoha produkty, dodavateli a zákazníky, SBOM Studio je pro to stavěné.

Pro Cyber Resilience Act

Cybeats se CRA věnuje přímo. Označuje nařízení za „hlavní hnací sílu dnešního zavádění SBOM“ a uvádí, že SBOM Studio „vytváří vyhovující, aktuální SBOM“, aby výrobcům pomohlo udržovat transparentnost softwaru po celý životní cyklus produktu. Jeho průvodce předpisy popisuje harmonogram hlášení 24 hodin, 72 hodin a 14 dní.

Oznamovací povinnosti podle CRA platí od 11. září 2026 prostřednictvím jednotné platformy pro podávání zpráv (CRA Single Reporting Platform) a jeho hlavní ustanovení platí od 11. prosince 2027. Včasné varování do 24 hodin závisí na tom, zda rychle víte, která vydání obsahují zasaženou komponentu, a zda můžete věřit inventáři, který vám to říká. API CRACI vrací SBOM, síťové záznamy a údaje o původu a SBOM se exportují jako CycloneDX nebo SPDX včetně zranitelností.

CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA. Ani jeden z produktů sám o sobě nezajistí, že výrobce bude v souladu. Viz co CRA požaduje, soulad s CRA pomocí CRACI a průmyslový IoT.

Zvažujete víc než dva nástroje? Alternativy k Cybeats srovnávají devět možností vedle sebe.