CRACI vs. Cybeats SBOM Studio

Det korte svar

Cybeats SBOM Studio kalder sig selv "the SBOM system of record". Det opbevarer SBOM'er fra dine produkter og leverandører, beriger dem med data om sårbarheder og licenser, overvåger dem løbende og deler dem med kunder og myndigheder. CRACI er en GitHub Actions-runner, der registrerer de afhængigheder, hvert job faktisk hentede, og producerer SBOM'en ud fra den registrering, med en fuldstændighedsstatus.

Et system of record er kun så præcist som det, der kommer ind i det. SBOM Studio administrerer SBOM'er, som et andet værktøj har genereret. CRACI producerer dem fra buildet og overvåger dem, så CI, SBOM og sårbarhedssporing kommer fra ét produkt.

Overblik

Hvad Cybeats gør godt

• Ét styret sted til alle SBOM'er. SBOM Studio er bygget til produktsikkerhedsteams inden for ICS og OT, medicinsk udstyr, telekommunikation, bilindustrien og finansielle tjenester. Det giver dem "én styret sandhedskilde for hver SBOM på tværs af dine produkter og leverandører".
• Bred formatunderstøttelse. SPDX 2.2 til 3.0.1 og CycloneDX 1.2 til 1.7, til import og eksport. Platformen håndterer også VEX, AIBOM, CBOM og HBOM.
• Kvalitetskontrol ved døren. SBOM Quality Score validerer filer før import, kontrollerer, at de er korrekt formateret i forhold til standarden, og logger, hvorfor en SBOM ikke lever op til den.
• Berigelse og overvågning. Hver komponent matches løbende mod sårbarhedsdata, med politikbaserede advarsler, VEX til at kommunikere, hvilke sårbarheder der berører dine produkter, og licensanalyse for OSS og COTS.
• Deling. Kontrolleret udveksling af SBOM og VEX med kunder, herunder via Transparency Exchange API. SBOM Consumer, et separat produkt, validerer og overvåger de leverandør-SBOM'er, du modtager.

Modtagelse af leverandørers SBOM'er, licensanalyse og hostet deling er alle områder, hvor SBOM Studio gør mere end CRACI i dag. Er dit teams opgave at drive et SBOM-program på tværs af mange produkter og leverandører, er det bygget til det.

Hvor CRACI er anderledes

Det producerer SBOM'en, fra buildet

SBOM Studio indlæser SBOM'er. Til generering henviser Cybeats til sin Marketplace, som samler leverandører af binary composition analysis og værktøjer til SBOM-generering. Så komponentlisten i system of record kommer stadig fra en eller anden form for scanner.

CRACI kører jobbet. Du ændrer runs-on til craci, og en pakkebevidst proxy registrerer trafik til pakkekilder under buildet: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Dokumentationen for afhængighederne følger med CI-caches, så en pakke gendannet fra en cache stadig er med i registreringen. SBOM'en indeholder alle transitive afhængigheder, buildet faktisk brugte.

Velformet er ikke det samme som komplet

En kvalitetsscore kan bekræfte, at en SBOM følger standarden og har de forventede felter. Den kan ikke fortælle dig, hvad generatoren aldrig så. Generatorer er strukturelt uenige, fordi hver læser et andet sæt filer og resolver dem forskelligt, og et velformet dokument siger intet om, hvorvidt værktøjet nogensinde har set den afhængighed, det udelader. NTIA's supplier-felt er et godt eksempel: Det valideres som til stede eller fraværende, og de fleste generatorer har ingen kilde til det. CRACI kan ikke scores på denne måde, fordi det registrerer builds og ikke kan scanne en mappe.

CRACI angiver fuldstændigheden ud fra selve registreringen, pr. job og pr. cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Hullerne i registreringen er kendte frem for gættede.

Kontrol og provenance

Fordi CRACI kører jobbet, håndhæver det en egress-politik for netværket: default deny eller default allow, med 24 indbyggede presets for softwarekilder og typede brugerdefinerede kilder, valideret, før jobbet starter, og blokerer ved fejl (fail closed). API'et returnerer SBOM'er, netværkstraces og provenance.

Overvågning

CRACI genvurderer løbende overvågede SBOM'er og samler sårbarheder på tværs af builds og repositories.

Et inventar over, hvad der er udrullet hvor

CRACI's inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt. Når en ny sårbarhed dukker op, kan du se, hvilke produkter der kører den berørte version, i stedet for at stykke det sammen fra release notes og regneark.

Erstat SBOM Studio med CRACI

For softwareteams på GitHub Actions dækker CRACI det, et SBOM-system of record er der for at gøre for deres egne produkter: Det producerer SBOM'en i hvert build, genvurderer løbende overvågede SBOM'er, efterhånden som nye sårbarheder offentliggøres, samler fund på tværs af builds og repositories og lader sikkerhedsteams triagere dem og sende hvert enkelt videre til det team, der ejer rettelsen. Du kan også tilføje leverandørers SBOM'er, så indkøbte komponenter overvåges side om side med dine egne builds. Der er ingen separat generator at køre og intet importtrin at vedligeholde.

Vær klar over, hvad du giver afkald på. SBOM Studio håndterer licensanalyse for OSS og COTS, AIBOM, CBOM og HBOM, scorer SBOM-kvalitet ved import og deler SBOM'er med kunder via Transparency Exchange API. CRACI håndhæver licenspolitik på de deklarerede licenser, det registrerer, men har intet af resten i dag. Er din opgave at drive et SBOM-program på tværs af mange produkter, leverandører og kunder, er SBOM Studio bygget til det.

Til Cyber Resilience Act

Cybeats forholder sig direkte til CRA. Det kalder forordningen "den vigtigste drivkraft for udbredelsen af SBOM'er i dag" og siger, at SBOM Studio "producerer compliante, opdaterede SBOM'er" for at hjælpe producenter med at opretholde softwaregennemsigtighed gennem produktets livscyklus. Dets vejledning om regulering beskriver tidslinjen for rapportering med 24 timer, 72 timer og 14 dage.

CRA's rapporteringsforpligtelser gælder fra 11. september 2026 via CRA Single Reporting Platform, og dens hovedbestemmelser gælder fra 11. december 2027. En tidlig varsling inden for 24 timer afhænger af hurtigt at vide, hvilke releases der indeholder en berørt komponent, og af at kunne stole på det inventar, der fortæller dig det. CRACI's API returnerer SBOM'er, netværkstraces og provenance, og SBOM'er eksporteres i CycloneDX eller SPDX, inklusive sårbarheder.

CRACI automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces. Ingen af produkterne gør en producent compliant alene. Læs, hvad CRA kræver, og se CRA-compliance med CRACI og industriel IoT.

Overvejer du mere end to værktøjer? Alternativer til Cybeats sammenligner ni muligheder side om side.