CRACI vs. Cybellum

Det korte svar

Cybellum er en produktsikkerhedsplatform for producenter af enheder inden for bilindustrien, medicinsk udstyr og industri. Den analyserer firmware-binærfiler, fletter dem med kildekode og leverandørers SBOM'er, matcher resultatet mod sårbarhedsdata og understøtter det arbejde, et PSIRT udfører efter lancering: overvågning, triage, undersøgelser og dokumentation til myndigheder. CRACI er en GitHub Actions-runner, der registrerer, hvad hvert build trækker ind, mens det kører, producerer SBOM'en ud fra den registrering og bliver ved med at overvåge den.

Det første spørgsmål i hver PSIRT-sag er, hvilke produkter og versioner der indeholder den sårbare komponent. Cybellum besvarer det ud fra en analyse af det, du leverer, uanset hvor det kom fra. CRACI besvarer det ud fra en registrering af, hvad dine egne builds faktisk hentede. For software, du bygger i GitHub Actions, dækker CRACI selv inventaret, overvågningen og triagen. For firmware, du modtager som binærfiler, dækker Cybellum områder, som CRACI ikke gør.

Overblik

Hvad Cybellum gør godt

Analyse af binærfilen. Cybellums Cyber Digital Twins "kan udtrækkes fra binærfilerne i ethvert produkt eller enhver komponent". Platformen analyserer hvert produkts firmware-binærfiler for at afdække "SBOM, versionshistorik, licenser, HW-arkitektur, OS-konfigurationer og mere" og spørger kun som noget ekstra: "Har du også kildekoden?" Det betyder noget, når meget af et køretøj eller et stykke medicinsk udstyr kører kode fra leverandører, hvis builds du aldrig ser.

Én SBOM fra mange kilder. Cybellum kombinerer "data fra binærscannere, kildekode og eksterne SBOM-kilder i formaterne SPDX, CycloneDX eller CPE'er i CSV", deduplikerer identiske pakker og lader teams automatisk rette, validere og godkende SBOM'er for ethvert produkt, enhver version eller branch, før de deles som SPDX eller CycloneDX.

Fund ud over kendte CVE'er. Dets sårbarhedsdatabase kombinerer offentlige og private feeds, EPSS og forskningsresultater, og Cybellum tilføjer "indbyggede motorer til detektion af malware og svagheder i koden". Teams kan importere trusselsmodeller, TARA, fuzz- og pentestresultater og derefter triagere med en AI-assistent, VM CoPilot.

Bygget til PSIRT-arbejde. Dets modul til hændelseshåndtering lader et team "se præcis, hvilke produkter eller komponenter der berøres af en ny sårbarhed eller regulering", giver det "en arbejdsbænk til at oprette og administrere undersøgelser", opretter tickets og deler sårbarhedsstatus "via VEX/CSAF-rapporter efter behov".

Dokumentation til myndigheder. Cybellum administrerer dokumentation til "FDA PMA, ISO 21434, CRA samt dine egne brugerdefinerede politikrammer" med forhåndskoblede krav fra "50+ standarder, reguleringer og best practices". Det kører i offentlige clouds eller i dit eget datacenter. LG Electronics købte en majoritetsandel i Cybellum i 2021, og Cybellum fortsætter som sit eget brand.

Hvor CRACI er anderledes

Cybellum starter fra artefakter: firmware-imaget, kildetræet, den SBOM, en leverandør har sendt. CRACI starter fra selve buildet, fordi buildet kører på CRACI.

Observeret, ikke udledt

Du ændrer runs-on til craci, og jobbet kører i en isoleret virtuel maskine på en CRACI-runner. En pakkebevidst proxy registrerer, hvad jobbet downloader fra pakkekilder, og pakker gendannet fra CI-caches føres videre. Hver SBOM angiver, hvor komplet den er, pr. job og pr. cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Firmwareteams kan køre Yocto på runnere med op til 32 vCPU og 96 GB RAM. I et sammenlignende build af core-image-sato indeholdt CRACI's SBOM alle komponenter i Yoctos eget SPDX-output, 88 flere, såsom værtspakker og GitHub Actions, og en package URL for hver af de 653 versioner af Rust-crates, som Yocto lister uden en.

Hvilke builds og produkter en CVE nåede

CRACI gemmer hvert tidligere build med dets SBOM, så når en advisory dukker op, kan du se, hvilke builds der indeholdt den sårbare afhængighed, direkte eller transitiv, og hvor længe, inden for din opbevaringsperiode. Dets inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt. CRACI genvurderer løbende overvågede SBOM'er, understøtter VEX og lader sikkerhedsteams triagere fund og sende hvert enkelt videre til det team, der ejer rettelsen. Du kan tilføje leverandørers SBOM'er, så indkøbte komponenter overvåges side om side med dine egne builds.

Kontrol under buildet

En scanning af outputtet kan ikke ændre, hvad buildet kunne nå. Det kan CRACI's egress-politik: Den er default deny eller allow, valideres, før jobbet starter, blokerer ved fejl (fail closed) og sender en advarsel ved en overtrædelse. Politikbaserede kontrolpunkter kan også stoppe et build, der indeholder en bestemt CVE.

Hvad du giver afkald på med CRACI

CRACI analyserer ikke binærfiler, så det kan ikke fortælle dig, hvad der er inde i en binær leverandørfil, dit build downloader, kun at buildet hentede den, og hvorfra. Det leder ikke efter zero-days, scanning af kildekode for svagheder i koden ligger uden for dets område, og det har ingen guidede kontroller mod standarder og ingen rapporteksport. Det understøtter kun GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen, og kører som administrerede runnere på europæisk infrastruktur, med kundehostede runnere på roadmappen.

Hvornår du skal bruge hvilken

• Det meste af din firmware kommer fra leverandører som binærfiler. Cybellum. Analyse af binærfilen er måden at se ind i den på.
• Du bygger din egen software og dine egne images i GitHub Actions. CRACI kører buildet, registrerer dets input og sporer sårbarhederne i det, det registrerede, så PSIRT'ets inventar kommer fra selve buildet.
• Du har brug for dokumentation til myndighedsansøgninger inden for bilindustri eller medicinsk udstyr. Cybellum har skabeloner til FDA PMA, ISO 21434 og EU CRA. CRACI eksporterer SBOM'er i CycloneDX eller SPDX, og dets API returnerer SBOM'er, netværkstraces og provenance til din bredere proces.
• Du vil begrænse, hvad builds kan downloade. CRACI. Den kontrol findes kun dér, hvor buildet kører.

Til CRA

Cyber Resilience Act kræver, at producenter identificerer og dokumenterer komponenterne i deres produkter, herunder med en SBOM, håndterer sårbarheder gennem supportperioden og fra september 2026 rapporterer aktivt udnyttede sårbarheder. Cybellum hjælper med CRA-skabeloner og dokumentation på tværs af produkter og leverandører. CRACI hjælper ved at producere dokumentation pr. build for, hvad der gik ind i den software, du bygger, med løbende overvågning og SBOM-eksport i CycloneDX eller SPDX, og det indsender CRA-underretningerne på dine vegne. CRACI automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som producenter har brug for i deres bredere CRA-compliance-proces; det gør ikke et produkt compliant alene. Læs, hvad CRA kræver.

Kør dine builds på CRACI

Sæt dit build-job til runs-on: craci, så bliver det samme workflow ved med at køre i GitHub Actions, mens CRACI registrerer det. Til Yocto viser eksemplet i CRACI's dokumentation et komplet BitBake-workflow. Se, hvordan CRACI fungerer til industriel IoT og forbrugerelektronik.

Ny i rollen? Læs, hvad et PSIRT gør, og se CRACI til PSIRT-teams. Overvejer du mere end to værktøjer? Se PSIRT-værktøjer sammenlignet og alternativer til Cybellum.