CRACI vs Cybellum

Stručná odpověď

Cybellum je platforma produktové bezpečnosti pro výrobce zařízení v automobilovém, zdravotnickém a průmyslovém sektoru. Analyzuje binárky firmwaru, slučuje je se zdrojovým kódem a SBOM dodavatelů, porovnává výsledek s daty o zranitelnostech a podporuje práci, kterou PSIRT dělá po uvedení produktu na trh: monitorování, triáž, vyšetřování a regulatorní důkazy. CRACI je runner GitHub Actions, který během běhu zaznamenává, co každý build stahuje, z tohoto záznamu vytváří SBOM a dál ho monitoruje.

První otázka v každém případu PSIRT zní, které produkty a verze obsahují zranitelnou komponentu. Cybellum na ni odpovídá analýzou toho, co dodáváte, ať to pochází odkudkoli. CRACI odpovídá ze záznamu toho, co vaše vlastní buildy skutečně stáhly. U softwaru, který sestavujete v GitHub Actions, pokrývá CRACI inventář, monitorování i samotnou triáž. U firmwaru, který dostáváte jako binárky, pokrývá Cybellum oblast, kterou CRACI nepokrývá.

Přehled

V čem je Cybellum dobrý

Analýza binárky. Cyber Digital Twins od Cybellum „lze extrahovat z binárních souborů jakéhokoli produktu nebo komponenty“. Platforma analyzuje binárky firmwaru každého produktu a odhaluje „SBOM, historii verzí, licence, architekturu HW, konfigurace OS a další“, a zdrojový kód chce jen jako doplněk: „Máte i zdrojový kód?“ To je důležité, když velká část vozidla nebo zdravotnického zařízení spouští kód od dodavatelů, jejichž buildy nikdy nevidíte.

Jeden SBOM z mnoha zdrojů. Cybellum kombinuje „data z binárních skenerů, zdrojového kódu a externích zdrojů SBOM ve formátech SPDX, CycloneDX nebo CPE CSV“, deduplikuje identické balíčky a umožňuje týmům automaticky opravit, validovat a schválit SBOM pro jakýkoli produkt, verzi nebo větev, než je sdílejí jako SPDX nebo CycloneDX.

Nálezy nad rámec známých CVE. Jeho databáze zranitelností kombinuje veřejné a soukromé zdroje, EPSS a výsledky výzkumu a Cybellum přidává „vestavěné nástroje pro detekci malwaru a slabin v kódu“. Týmy mohou importovat modely hrozeb, TARA, výsledky fuzzingu a penetračních testů a pak provádět triáž s AI asistentem VM CoPilot.

Postavený pro práci PSIRT. Jeho modul reakce na incidenty umožňuje týmu „přesně vidět, které produkty nebo komponenty zasahuje nová zranitelnost nebo regulace“, dává mu „pracovní plochu pro vytváření a správu vyšetřování“, otevírá tickety a sdílí stav zranitelností „podle potřeby prostřednictvím reportů VEX/CSAF“.

Regulatorní důkazy. Cybellum spravuje důkazy pro „FDA PMA, ISO 21434, CRA i vaše vlastní rámce politik“ s předem namapovanými požadavky z „více než 50 norem, regulací a osvědčených postupů“. Běží ve veřejných cloudech nebo ve vašem vlastním datovém centru. LG Electronics získala v roce 2021 většinový podíl v Cybellum a Cybellum dál působí jako samostatná značka.

V čem je CRACI jiný

Cybellum vychází z artefaktů: z image firmwaru, ze stromu zdrojového kódu, ze SBOM, který poslal dodavatel. CRACI vychází ze samotného buildu, protože build běží na CRACI.

Pozorované, ne odvozené

Změníte runs-on na craci a job poběží v izolovaném virtuálním stroji na runneru CRACI. Proxy, která rozumí balíčkům, zaznamenává, co job stahuje ze zdrojů balíčků, a balíčky obnovené z cache CI se přenášejí dál. Každý SBOM uvádí, jak je úplný, pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded. Týmy pracující s firmwarem mohou spouštět Yocto na runnerech s až 32 vCPU a 96 GB RAM. Při srovnávacím buildu core-image-sato obsahoval SBOM od CRACI každou komponentu z vlastního výstupu SPDX od Yocta, 88 dalších, například hostitelské balíčky a GitHub Actions, a package URL pro každou z 653 verzí crate v Rustu, které Yocto uvádí bez něj.

Kterých buildů a produktů se CVE týkala

CRACI uchovává každý minulý build s jeho SBOM, takže když vyjde advisory, vidíte v rámci doby uchování, které buildy obsahovaly zranitelnou závislost, přímou nebo tranzitivní, a jak dlouho. Jeho pohled na inventář přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, a to globálně. CRACI průběžně znovu vyhodnocuje monitorované SBOM, podporuje VEX a umožňuje bezpečnostním týmům provést triáž nálezů a každý předat týmu, který má opravu na starosti. Můžete přidat SBOM dodavatelů, takže nakoupené komponenty se monitorují vedle vašich vlastních buildů.

Kontrola během buildu

Sken výstupu nemůže změnit, kam se build mohl dostat. Egress policy v CRACI to dokáže: je to výchozí zákaz nebo povolení, validuje se před startem jobu, je fail-closed a při porušení odešle výstrahu. Policy gates také mohou zastavit build, který obsahuje konkrétní CVE.

Čeho se s CRACI vzdáváte

CRACI neanalyzuje binárky, takže vám neřekne, co je uvnitř binárního blobu od dodavatele, který váš build stáhne, jen že ho build stáhl a odkud. Nehledá zero-day zranitelnosti, skenování zdrojového kódu kvůli slabinám je mimo jeho rozsah a nemá řízené kontroly vůči normám ani export reportů. Dnes podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje, a běží jako spravované runnery na evropské infrastruktuře, runnery hostované zákazníkem jsou v plánu vývoje.

Kdy použít který

• Většina vašeho firmwaru přichází od dodavatelů jako binárky. Cybellum. Analýza binárky je způsob, jak do ní nahlédnout.
• Svůj software a image sestavujete sami v GitHub Actions. CRACI spouští build, zaznamenává jeho vstupy a sleduje zranitelnosti v tom, co zaznamenal, takže inventář PSIRT vychází přímo z buildu.
• Potřebujete důkazy pro regulatorní podání v automobilovém nebo zdravotnickém sektoru. Cybellum má regulatorní šablony pro FDA PMA, ISO 21434 a EU CRA. CRACI exportuje SBOM jako CycloneDX nebo SPDX a jeho API vrací SBOM, síťové stopy a údaje o původu pro váš širší proces.
• Chcete omezit, co mohou buildy stahovat. CRACI. Tato kontrola existuje jen tam, kde build běží.

Pro CRA

Cyber Resilience Act požaduje po výrobcích, aby identifikovali a zdokumentovali komponenty ve svých produktech, včetně SBOM, řešili zranitelnosti po celou dobu podpory a od září 2026 oznamovali aktivně zneužívané zranitelnosti. Cybellum pomáhá šablonami a důkazy pro CRA napříč produkty a dodavateli. CRACI pomáhá tím, že pro každý build vytváří důkazy o tom, co se dostalo do softwaru, který sestavujete, s průběžným monitorováním a exportem SBOM jako CycloneDX nebo SPDX, a připravuje obsah oznámení podle CRA, které podáte vy. CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které výrobci potřebují pro svůj širší proces souladu s CRA; sám o sobě produkt do souladu neuvede. Přečtěte si, co CRA vyžaduje.

Spouštění vašich buildů na CRACI

Nasměrujte svůj job buildu na runs-on: craci a stejné workflow dál poběží v GitHub Actions, zatímco ho CRACI zaznamenává. Pro Yocto ukazuje příklad v dokumentaci CRACI celé workflow BitBake. Podívejte se, jak CRACI funguje pro průmyslový IoT a spotřební elektroniku.

Jste v této roli noví? Přečtěte si, co dělá PSIRT, a CRACI pro týmy PSIRT. Zvažujete více než dva nástroje? Podívejte se na srovnání nástrojů PSIRT a alternativy k Cybellum.