CRACI vs Medcrypt

Det korte svar

Medcrypt er en virksomhed inden for cybersikkerhed til medicinsk udstyr. Dets platform, Medcrypt Security Intelligence (MSI), kombinerer software med et team af tidligere FDA-reviewere for at forberede, auditere og vedligeholde en enheds cybersikkerhedsansøgning. Løftet på dets forside er "Get your cybersecurity submission approved. The first time." Helm, dets produkt til SBOM- og sårbarhedsstyring, er en del af MSI og sælges også separat.

CRACI er en GitHub Actions-runner, der registrerer de afhængigheder, hvert job faktisk hentede, og producerer SBOM'en ud fra den registrering, med en fuldstændighedsstatus. Derefter genvurderer det overvågede SBOM'er, efterhånden som advisories dukker op, og sikkerhedsteams triagerer fund og sender dem videre til det team, der ejer rettelsen. CRACI forbereder og gennemgår ikke FDA-ansøgninger. Til SBOM'en og sporingen af sårbarheder efter markedsføring for software, du bygger, erstatter CRACI Helm med udgangspunkt i selve buildet.

Overblik

Hvad Medcrypt gør godt

• FDA-ekspertise i huset. MSI's tjek, audits og skabeloner er bygget af et team, der ifølge Medcrypt omfatter "former FDA reviewers and authors of the guidance itself." MSI-planen indeholder 15 rådgivningstimer om året med dem, og platformen scanner ansøgningspakker for det, en reviewer ville markere. Til en første 510(k)- eller PMA-ansøgning er det hjælp, CRACI ikke tilbyder.
• Hele ansøgningen, ikke kun SBOM'en. MSI dækker trusselsmodellering, vurdering af cybersikkerhedsrisiko, dokumentgenerering (markeret som beta), svar på deficiency letters og penetrationstest som tilkøb via godkendte partnere.
• Postmarket-arbejde efter godkendelse. MSI omfatter løbende sårbarhedsovervågning og medlemskab af MedISAO, hvilket ifølge Medcrypt giver enhedsspecifikke sårbarhedsadvarsler, et program for koordineret offentliggørelse af sårbarheder og opdateringer af vejledninger. Dets platformside siger det ligeud: "Section 524B made post-market cybersecurity a legal duty."
• Helm er bygget til enhedsproducenter. Helm rangerer fund med data fra EPSS, CISA KEV, ExploitDB og Metasploit, omscorer sårbarheder i bulk, så de passer til hver enheds kontekst, fører afhjælpninger videre på tværs af produktversioner og bruger aliasregler til at matche komponenter med NVD-poster. Det eksporterer SBOM'er i CycloneDX og SPDX, VEX- og VDR-rapporter og et Medcrypt FDA SBOM-format.
• En etableret leverandør i sin niche. Medcrypt blev grundlagt i 2016, gik gennem Y Combinator og rapporterer $36.4M i finansiering med investorer som Johnson & Johnson Innovation, Intuitive Ventures og Dexcom Ventures. Det siger, at 140+ producenter af medicinsk udstyr stoler på det, herunder 13 af de 50 største.
• Offentliggjorte priser. MSI koster $35,000 pr. produktlinje pr. år med ubegrænset antal brugere, faktureret årligt.

Hvor CRACI er anderledes

Det producerer SBOM'en, fra buildet

Helm arbejder med de SBOM'er, du giver det. Du uploader eller opretter CycloneDX- eller SPDX-filer, eller en Helm GitHub Action uploader en SBOM-fil fra dit workflow (dokumentationen siger, at den understøtter CycloneDX JSON i dag). For teams uden en SBOM henviser Helms dokumentation til open source-generatorer, manuel oprettelse, eksperttjenester eller et genereringsværktøj fra Medcrypt, der fås efter aftale. Så den komponentliste, Helm overvåger, kommer stadig fra en scanner eller en håndbygget fil.

CRACI kører jobbet. Du ændrer runs-on til craci, og en pakkebevidst proxy registrerer trafik til pakkekilder under buildet: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Dokumentationen for afhængighederne følger med CI-caches, så en pakke gendannet fra en cache stadig er med i registreringen. Hver SBOM angiver, hvor komplet den er, pr. job og pr. cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Embedded Linux-builds

Kører din enhed et Yocto-image, er sammenligningen direkte. Helms dokumentation viser, hvordan du slår Yoctos eget SPDX-output til og uploader det. CRACI kører BitBake på runnere med op til 32 vCPU og 96 GB RAM. I et sammenlignende build af core-image-sato indeholdt CRACI's SBOM alle komponenter i Yoctos eget SPDX-output, 88 flere, såsom værtspakker og GitHub Actions, og en package URL for hver af de 653 versioner af Rust-crates, som Yocto lister uden en.

Postmarket-svar fra build-historikken

Når en ny sårbarhed lander, er postmarket-spørgsmålet, hvilke leverede versioner der indeholder den, og hvor længe. CRACI gemmer hvert tidligere build og dets SBOM, inden for opbevaringsperioden, og viser, hvilke builds der indeholdt den sårbare afhængighed, direkte eller transitiv, så du ved, i hvilken periode du var berørt. Dets inventaroversigt viser, hvilke softwareversioner der er udrullet til hvilke produkter. Policy gates kan stoppe et senere build, der stadig indeholder en bestemt CVE.

Kontrol over, hvad buildet kan nå

Fordi CRACI er runneren, håndhæver det en egress-politik for netværket: default deny eller default allow, med 24 indbyggede presets for softwarekilder og typede brugerdefinerede kilder, valideret før jobbet starter, og den blokerer ved fejl (fail closed). Det advarer ved overtrædelser af politikken. Medcrypt kører ikke dit build, så dette ligger uden for dets område.

Under FDA section 524B

Under section 524B skal en ansøgning for en cyberenhed indeholde en SBOM "including commercial, open-source, and off-the-shelf software components" og en plan for at overvåge og håndtere sårbarheder efter markedsføring. Begge produkter berører disse krav på forskellige måder.

Medcrypt arbejder på selve ansøgningen: trusselsmodellen, risikovurderingen, dokumenterne, audit mod det, FDA's reviewere markerer, og svaret, hvis FDA sender et deficiency letter. Dets prisside bemærker: "FDA is what the platform covers today."

CRACI leverer dokumentation, der kommer ud af buildet: en SBOM over det, buildet faktisk brugte, eksporteret som CycloneDX eller SPDX, og løbende overvågning af den SBOM efter release, med triage og videresendelse til det team, der ejer rettelsen. CRACI skriver, gennemgår og indsender ikke FDA-dokumentation, og det gør ikke en enhed compliant. Planen og ansøgningen forbliver producentens arbejde. Hvordan det passer til et produktsikkerhedsteam, kan du se i hvad et PSIRT gør og CRACI til PSIRT-teams.

Hvornår du skal vælge hvilken

• Du forbereder en første ansøgning eller besvarer et deficiency letter. Medcrypt. Tidligere FDA-reviewere, audit af ansøgninger og trusselsmodellering er det, det er bygget til, og CRACI gør intet af det.
• Du har brug for SBOM- og sårbarhedsstyring til software, du bygger i GitHub Actions. CRACI. Det producerer SBOM'en i hvert build og overvåger den, så der ikke er nogen separat generator at køre og intet upload-trin at vedligeholde.
• Du har brug for kryptering, nøglehåndtering eller enhedsidentitet i felten. Medcrypts Guardian dækker sikkerhed på enheden. CRACI arbejder på buildet, ikke på enheden.
• Dine builds kører i GitLab CI eller Jenkins. Helm tilbyder et API, en GitHub Action og en Azure DevOps-udvidelse til upload af SBOM'er. CRACI understøtter GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen.

Erstat Helm med CRACI

For enhedssoftware bygget i GitHub Actions dækker CRACI det, Helm er der for: Det producerer SBOM'en i hvert build, genvurderer overvågede SBOM'er, efterhånden som nye sårbarheder offentliggøres, samler fund på tværs af builds og repositories, understøtter VEX og lader sikkerhedsteams triagere fund og sende hvert enkelt videre til det team, der ejer rettelsen. Du kan også tilføje leverandørers SBOM'er, så indkøbte komponenter overvåges side om side med dine egne builds.

Vær klar over, hvad du giver afkald på. Helm rangerer fund med exploit intelligence som EPSS og CISA KEV, tilbyder AI-vejledning om afhjælpning, matcher komponenter med aliasregler, sporer data om end of support og eksporterer VDR-rapporter og Medcrypt FDA SBOM-formatet. Og intet af MSI's ansøgningsarbejde, rådgivningstimer eller MedISAO-medlemskab har et tilsvarende modstykke i CRACI. Er dit hovedbehov at få en ansøgning igennem FDA's gennemgang, er Medcrypt bygget til det.

Sammenligner du flere værktøjer til produktsikkerhedsteams? Se sammenligningen af PSIRT-værktøjer.