CRACI vs Medcrypt

Stručná odpověď

Medcrypt je firma zaměřená na kybernetickou bezpečnost zdravotnických prostředků. Její platforma Medcrypt Security Intelligence (MSI) kombinuje software s týmem bývalých posuzovatelů FDA, kteří připravují, auditují a udržují podání týkající se kybernetické bezpečnosti zařízení. Slib na její domovské stránce zní: „Get your cybersecurity submission approved. The first time.“ Helm, její produkt pro správu SBOM a zranitelností, je součástí MSI a prodává se i samostatně.

CRACI je runner pro GitHub Actions, který zaznamenává závislosti, které každý job skutečně stáhl, a z tohoto záznamu vytváří SBOM se stavem úplnosti. Monitorované SBOM pak znovu vyhodnocuje, jakmile se objeví bezpečnostní upozornění, a bezpečnostní týmy provádějí triáž nálezů a směrují je na tým, který vlastní opravu. CRACI nepřipravuje ani nepřezkoumává podání u FDA. Pro SBOM a sledování zranitelností po uvedení na trh u softwaru, který sestavujete, CRACI nahrazuje Helm, a to přímo od buildu.

Přehled

Co Medcrypt dělá dobře

• Odborníci na FDA ve vlastním týmu. Kontroly, audity a šablony MSI vytváří tým, do kterého podle slov Medcryptu patří „bývalí posuzovatelé FDA a autoři samotných pokynů“. Plán MSI zahrnuje 15 hodin poradenství s nimi ročně a platforma prověřuje balíčky podání na to, co by posuzovatel označil. U prvního podání 510(k) nebo PMA jde o pomoc, kterou CRACI nenabízí.
• Celé podání, ne jen SBOM. MSI pokrývá modelování hrozeb, posouzení kybernetických rizik, generování dokumentů (označené jako beta), odpovědi na dopisy o nedostatcích a jako doplněk penetrační testy prostřednictvím prověřených partnerů.
• Práce po uvedení na trh i po schválení. MSI zahrnuje průběžné monitorování zranitelností a členství v MedISAO, které podle Medcryptu přináší upozornění na zranitelnosti specifická pro zařízení, program koordinovaného zveřejňování zranitelností a aktualizace pokynů. Stránka platformy to říká jasně: „Section 524B made post-market cybersecurity a legal duty.“
• Helm je stavěný pro výrobce zařízení. Helm řadí nálezy pomocí dat z EPSS, CISA KEV, ExploitDB a Metasploit, hromadně přehodnocuje skóre zranitelností podle kontextu každého zařízení, přenáší nápravy napříč verzemi produktu a pomocí pravidel aliasů páruje komponenty se záznamy NVD. Exportuje SBOM ve formátech CycloneDX a SPDX, reporty VEX a VDR a formát Medcrypt FDA SBOM.
• Zavedený dodavatel ve svém oboru. Medcrypt byl založen v roce 2016, prošel Y Combinatorem a uvádí financování $36.4M od investorů včetně Johnson & Johnson Innovation, Intuitive Ventures a Dexcom Ventures. Uvádí, že mu důvěřuje více než 140 výrobců zdravotnických prostředků, včetně 13 z první padesátky.
• Zveřejněné ceny. MSI stojí $35,000 za produktovou řadu ročně s neomezeným počtem uživatelů, fakturováno ročně.

V čem je CRACI jiný

Vytváří SBOM, a to z buildu

Helm pracuje se SBOM, které mu dodáte. Soubory CycloneDX nebo SPDX nahrajete či vytvoříte, nebo soubor SBOM z vašeho workflow nahraje GitHub Action pro Helm (podle dokumentace dnes podporuje CycloneDX JSON). Týmům bez SBOM dokumentace Helmu doporučuje open source generátory, ruční vytvoření, expertní služby nebo nástroj Medcryptu pro generování dostupný na vyžádání. Seznam komponent, který Helm monitoruje, tedy stále pochází ze skeneru nebo z ručně sestaveného souboru.

CRACI job spouští. Změníte runs-on na craci a proxy, která rozumí balíčkům, během buildu zaznamenává provoz ke zdrojům balíčků: npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git a navíc předvolby pro stahování. Důkazy o závislostech putují spolu s cache CI, takže balíček obnovený z cache v záznamu zůstává. Každá SBOM uvádí, jak je úplná, pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded.

Buildy embedded Linuxu

Pokud vaše zařízení běží na image z Yocta, je srovnání přímé. Dokumentace Helmu ukazuje, jak zapnout vlastní výstup SPDX z Yocta a nahrát ho. CRACI spouští BitBake na runnerech až s 32 vCPU a 96 GB RAM. Při srovnávacím buildu core-image-sato obsahovala SBOM z CRACI každou komponentu z vlastního výstupu SPDX Yocta, dalších 88 komponent, například hostitelské balíčky a GitHub Actions, a package URL pro každou z 653 verzí crate pro Rust, které Yocto uvádí bez něj.

Odpovědi po uvedení na trh z historie buildů

Když se objeví nová zranitelnost, otázka po uvedení na trh zní, které dodané verze ji obsahují a jak dlouho. CRACI uchovává každý dřívější build a jeho SBOM v rámci doby uchování a ukáže, které buildy obsahovaly zranitelnou závislost, přímou nebo tranzitivní, takže víte, po jakou dobu jste byli zasaženi. Pohled inventáře ukazuje, které verze softwaru jsou nasazeny ve kterých produktech. Policy gates mohou zastavit pozdější build, který stále obsahuje konkrétní CVE.

Kontrola nad tím, kam se build může dostat

Protože CRACI je runner, vynucuje politiku odchozího síťového provozu: výchozí zákaz nebo výchozí povolení, s 24 vestavěnými předvolbami softwarových zdrojů a typovanými vlastními zdroji, ověřenou před spuštěním jobu a s blokováním při selhání (fail-closed). Na porušení politiky upozorňuje. Medcrypt váš build nespouští, takže to je mimo jeho rozsah.

Podle oddílu 524B předpisů FDA

Podle oddílu 524B musí podání pro kybernetické zařízení obsahovat SBOM „včetně komerčních, open source a hotových (off-the-shelf) softwarových komponent“ a plán monitorování a řešení zranitelností po uvedení na trh. Oba produkty se těchto požadavků dotýkají různými způsoby.

Medcrypt pracuje na samotném podání: na modelu hrozeb, posouzení rizik, dokumentech, auditu podle toho, co posuzovatelé FDA označují, a na odpovědi, pokud FDA pošle dopis o nedostatcích. Jeho stránka s cenami uvádí: „FDA is what the platform covers today.“

CRACI dodává důkazy, které vznikají z buildu: SBOM toho, co build skutečně použil, exportovanou jako CycloneDX nebo SPDX, a průběžné monitorování této SBOM po vydání s triáží a směrováním na tým, který vlastní opravu. CRACI nepíše, nepřezkoumává ani nepodává dokumentaci pro FDA a nezajišťuje soulad zařízení s předpisy. Plán i podání zůstávají prací výrobce. Jak to zapadá do práce týmu pro bezpečnost produktů, popisují stránky co dělá PSIRT a CRACI pro týmy PSIRT.

Kdy zvolit které řešení

• Připravujete první podání nebo odpovídáte na dopis o nedostatcích. Medcrypt. Je stavěný právě pro bývalé posuzovatele FDA, audity podání a modelování hrozeb a CRACI nic z toho nedělá.
• Potřebujete správu SBOM a zranitelností pro software, který sestavujete v GitHub Actions. CRACI. Vytváří SBOM v každém buildu a monitoruje ji, takže nemusíte spouštět samostatný generátor ani udržovat krok nahrávání.
• Potřebujete šifrování, správu klíčů nebo identitu zařízení v provozu. Guardian od Medcryptu pokrývá zabezpečení na straně zařízení. CRACI pracuje s buildem, ne se zařízením.
• Vaše buildy běží v GitLab CI nebo Jenkins. Helm nabízí pro nahrávání SBOM API, GitHub Action a rozšíření Azure DevOps. CRACI zatím podporuje GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje.

Nahrazení Helmu za CRACI

U softwaru zařízení sestavovaného v GitHub Actions pokrývá CRACI to, k čemu Helm slouží: vytváří SBOM v každém buildu, znovu vyhodnocuje monitorované SBOM, jakmile jsou zveřejněny nové zranitelnosti, agreguje nálezy napříč buildy a repozitáři, podporuje VEX a umožňuje bezpečnostním týmům provádět triáž nálezů a směrovat každý z nich na tým, který vlastní opravu. Můžete přidat i SBOM od dodavatelů, takže nakoupené komponenty se monitorují spolu s vašimi vlastními buildy.

Ujasněte si, čeho se vzdáváte. Helm řadí nálezy pomocí informací o zneužití, jako jsou EPSS a CISA KEV, nabízí AI doporučení k mitigacím, páruje komponenty pomocí pravidel aliasů, sleduje data o konci podpory a exportuje reporty VDR a formát Medcrypt FDA SBOM. A žádná z prací MSI na podání, hodin poradenství ani členství v MedISAO nemá v CRACI obdobu. Pokud je vaší hlavní potřebou dostat podání přes posouzení FDA, Medcrypt je stavěný právě na to.

Porovnáváte další nástroje pro týmy bezpečnosti produktů? Podívejte se na srovnání nástrojů PSIRT.