CRACI vs Timesys Vigiles

Stručná odpověď

Vigiles je produkt pro SBOM a správu zranitelností od společnosti Timesys, kterou v prosinci 2023 koupila Lynx Software Technologies; Lynx ho nyní prodává jako Lynx Vigiles. Je určen pro embedded Linux: vrstva Yocto meta-timesys shromažďuje metadata o balíčcích ve vašem image a nahrává je, Vigiles je porovná s kurátorovanou databází CVE, následně sleduje rozhodnutí z triáže a exportuje SBOM, VEX a reporty o zranitelnostech.

CRACI je runner pro GitHub Actions. Běží na něm váš build BitBake a během běhu CRACI zaznamenává každý balíček a zdroj, který build stáhl, omezuje, kam se build může připojit, a průběžně monitoruje SBOM z hlediska zranitelností. Oba produkty vám pro image Yocto dají SBOM a monitorování CVE; liší se v tom, odkud SBOM pochází. Vigiles čte, co podle metadat BitBake do image patří. CRACI zaznamenává, co build skutečně stáhl.

Přehled

V čem je Vigiles dobrý

Vytvořený pro embedded Linux. Vigiles se integruje s Yocto přes meta-timesys a také s Buildroot, OpenWrt, Timesys Factory a FreeRTOS a importuje SBOM ve formátech SPDX 2.2 až 3.0.1, CycloneDX 1.1 až 1.7 a CSV pro vše ostatní. Lynx uvádí, že Vigiles, spuštěný v roce 2019, zpracoval více než 90 000 SBOM.

Méně šumu kolem CVE. Vigiles porovnává komponenty s kurátorovanou databází CVE místo surových veřejných dat, což podle Lynx odstraňuje většinu falešně pozitivních nálezů, které veřejná data vytvářejí. Jeho skener umí nahrát vaše úplné soubory .config jádra Linuxu a U-Boot, takže CVE ve funkcích, které nesestavujete, se odfiltrují. Na embedded Linuxu na tom záleží: v ukázkovém reportu v README meta-timesys je 60 z 62 neopravených CVE v jádře.

Rozhodnutí, která vydrží napříč vydáními. Týmy u každé CVE zaznamenávají, zda je affected, fixed, deferred nebo not exploitable, a Vigiles tato rozhodnutí uchovává pro každé vydání, zvýrazňuje CISA Known Exploited Vulnerabilities a exportuje SBOM ve formátech CycloneDX, SPDX a SPDX Lite spolu s VEX a reporty o zranitelnostech. Jeho reporty ukazují i CVE, které už opravují patche ve vašem buildu, a patche dostupné ve vrstvě meta-timesys-security. Lynx mezi normami, se kterými pomáhá, jmenuje EU CRA a EO 14028 a Vigiles se propojuje s Jirou a Oktou.

V čem se CRACI liší

SBOM od Vigiles je jen tak úplný, jak úplný je pohled BitBake na image. README meta-timesys ho popisuje jako shromažďování metadat o balíčcích, které se mají nainstalovat, a balíčky sestavené mimo BitBake, nebo jím sestavené, ale chybějící v manifestu kořenového souborového systému, je nutné uvést ručně. CRACI metadata nečte. Je to stroj, na kterém build běží.

Co vlastní SBOM od Yocto vynechává

SBOM od Vigiles jsme se SBOM od CRACI neporovnávali. Porovnali jsme SBOM od CRACI s vestavěným SPDX SBOM od Yocto, který se rovněž generuje z metadat BitBake. Při souběžném buildu core-image-sato na runneru ARM64 s 32 vCPU obsahoval SBOM od CRACI všechny komponenty ze SBOM od Yocto a navíc 88, které Yocto vynechal: balíčky hostitele na build stroji, například cpio z Ubuntu, zdroje z GitHubu a GitHub Action actions/upload-artifact a další zdroje a nástroje stažené během buildu. Žádný z nich není v image nainstalovaný a všechny leží na kritické cestě buildu.

Oba SBOM uváděly stejných 653 verzí Rust crates, ale Yocto je uvádí jen podle názvu souboru a URL stažení, bez package URL. Porovnávání zranitelností funguje na základě package URL, takže tyto crates nelze ze SBOM od Yocto monitorovat. CRACI každou z nich zaznamenává s package URL pkg:cargo. Jak si vedou skenery image, binární analýza a cve-check od Yocto, se dočtete v článku proč skenery SBOM přehlížejí, co je v buildech Yocto.

Kontrola nad tím, kam se build může připojit

Politika odchozího provozu na runneru rozhoduje, ke kterým hostitelům se job smí připojit. Ověří se před spuštěním jobu, při selhání vše zablokuje a při porušení odešle upozornění. U Yocto přidává druhou vrstvu k vlastnímu BB_ALLOWED_NETWORKS v BitBake a politika s výchozím zákazem zabrání kompromitovanému build nástroji odeslat tajné klíče na hostitele, kterého build nepotřebuje.

Původ a monitorování ze stejného záznamu

API vrací SBOM, síťové záznamy a údaje o původu (provenance). CRACI údaje o původu nepodepisuje. CRACI agreguje zranitelnosti napříč buildy a repozitáři, průběžně znovu vyhodnocuje monitorované SBOM, jak se objevují nová bezpečnostní oznámení, umožňuje bezpečnostním týmům provést triáž nálezů a předat je týmu, který odpovídá za opravu, a ukazuje, které dřívější buildy obsahovaly zranitelnou závislost, takže víte, po jakou dobu jste byli zasaženi. CRACI podporuje VEX a připravuje obsah oznámení o zranitelnostech podle CRA, která pak podáváte vy.

Samotný build, na větších runnerech

Vigiles váš build nespouští; CRACI ano. Buildy Yocto běží na runnerech až s 32 vCPU a 96 GB RAM, účtováno po sekundách za $0.002 za vCPU-minutu ($0.004 za výchozí runner se 2 vCPU). Ve stejném srovnání core-image-sato trval build bez generování SBOM od Yocto o 43 % kratší dobu než build s ním.

Nahrazení Vigiles platformou CRACI

Pro image Yocto sestavované v GitHub Actions pokrývá CRACI to, kvůli čemu se Vigiles kupuje: SBOM pro každý build, monitorování CVE po vydání, rozhodnutí z triáže a VEX. Přidává to, co SBOM založený na metadatech dát nemůže: balíčky hostitele, zdroje z GitHubu a Actions, které build použil, a politiku odchozího provozu během běhu.

Buďte si vědomi toho, čeho se vzdáváte. Kurátorovaná data CVE a filtry konfigurace jádra a U-Boot ve Vigiles snižují šum kolem CVE způsobem, jakým to CRACI nedělá. Vigiles hlásí, které CVE už opravují patche ve vašem buildu, což CRACI nezaznamenává; tato metadata receptů nese i vlastní SPDX od Yocto, takže pokud na ně spoléháte, nechte create-spdx zapnuté. Vigiles navíc pokrývá Buildroot, OpenWrt a FreeRTOS, běží v jakémkoli CI a importuje SBOM v mnoha formátech. CRACI dnes podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje, takže pipeline v Jenkinsu nebo GitLabu by se nejprve musely přesunout do GitHub Actions.

Pro CRA

Cyber Resilience Act požaduje, aby výrobci dokumentovali komponenty ve svých produktech, včetně SBOM, a řešili zranitelnosti po celou dobu podpory produktu, přičemž povinnosti hlášení platí od září 2026. Vigiles pomáhá tím, že uchovává SBOM, rozhodnutí o CVE a reporty pro každé vydání. CRACI vytváří pro každý build důkazy o tom, co se dostalo do firmwaru, s údaji o původu, průběžným monitorováním a exportem SBOM ve formátu CycloneDX nebo SPDX. Automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které výrobce potřebuje pro svůj širší proces podle CRA; ani jeden z nástrojů sám o sobě produkt do souladu nedostane. Přečtěte si, co CRA požaduje.

Přesun buildu Yocto na CRACI

U jobu BitBake nastavte runs-on: craci a zvolte velikost runneru; workflow dál běží v GitHub Actions. Příklad Yocto v dokumentaci CRACI sestavuje core-image-sato na největší velikosti. Podívejte se, jak CRACI funguje pro průmyslový IoT a spotřební elektroniku.