CRACI vs Timesys Vigiles

Det korte svar

Vigiles er SBOM- og sårbarhedsstyringsproduktet fra Timesys, som Lynx Software Technologies opkøbte i december 2023; Lynx sælger det nu som Lynx Vigiles. Det er bygget til embedded Linux: Et Yocto-lag, meta-timesys, indsamler metadata om pakkerne i dit image og uploader dem, og Vigiles matcher dem mod en kurateret CVE-database, sporer derefter triage-beslutninger og eksporterer SBOM-, VEX- og sårbarhedsrapporter.

CRACI er en GitHub Actions-runner. Dit BitBake-build kører på den, og mens det kører, registrerer CRACI hver pakke og kilde, buildet hentede, begrænser, hvad buildet kan forbinde sig til, og bliver ved med at overvåge SBOM'en for sårbarheder. Begge produkter giver dig en SBOM og CVE-overvågning til et Yocto-image; de adskiller sig i, hvor SBOM'en kommer fra. Vigiles læser, hvad BitBakes metadata siger, der går ind i imaget. CRACI registrerer, hvad buildet faktisk trak ind.

Overblik

Hvad Vigiles gør godt

Lavet til embedded Linux. Vigiles integrerer med Yocto via meta-timesys og med Buildroot, OpenWrt, Timesys Factory og FreeRTOS og importerer SBOM'er i SPDX 2.2 til 3.0.1, CycloneDX 1.1 til 1.7 og CSV til alt andet. Lynx siger, at Vigiles, der blev lanceret i 2019, har behandlet mere end 90.000 SBOM'er.

Mindre CVE-støj. Vigiles matcher komponenter mod en kurateret CVE-database i stedet for rå offentlige data, hvilket ifølge Lynx fjerner de fleste af de falske positiver, offentlige data giver. Dets scanner kan uploade dine fulde .config-filer til Linux-kernen og U-Boot, så CVE'er i funktioner, du ikke bygger, filtreres fra. Det betyder noget på embedded Linux: I eksempelrapporten i README'en til meta-timesys ligger 60 af de 62 urettede CVE'er i kernen.

Beslutninger, der holder på tværs af releases. Teams registrerer, om hver CVE er affected, fixed, deferred eller not exploitable, og Vigiles gemmer de beslutninger pr. release, fremhæver CISA Known Exploited Vulnerabilities og eksporterer SBOM'er i CycloneDX, SPDX og SPDX Lite sammen med VEX- og sårbarhedsrapporter. Dets rapporter viser også CVE'er, der allerede er rettet af patches i dit build, og patches, der er tilgængelige i laget meta-timesys-security. Lynx nævner EU's CRA og EO 14028 blandt de standarder, det hjælper med, og Vigiles forbinder sig til Jira og Okta.

Hvor CRACI er anderledes

Vigiles' SBOM er kun så komplet som BitBakes syn på imaget. README'en til meta-timesys beskriver det som indsamling af metadata om de pakker, der skal installeres, og pakker bygget uden for BitBake, eller bygget af det men fraværende i manifestet for rodfilsystemet, skal angives manuelt. CRACI læser ikke metadata. Det er den maskine, buildet kører på.

Det, Yoctos egen SBOM udelader

Vi har ikke sammenlignet en Vigiles-SBOM med CRACI's. Vi har sammenlignet CRACI's med Yoctos indbyggede SPDX-SBOM, som også genereres ud fra BitBakes metadata. I et sammenlignende build af core-image-sato på en ARM64-runner med 32 vCPU havde CRACI's SBOM alle komponenter, Yoctos SBOM havde, plus 88, den overså: værtspakker på build-maskinen såsom Ubuntus cpio, GitHub-kilder og GitHub-actionen actions/upload-artifact samt andre kilder og værktøjer hentet under buildet. Ingen af dem er installeret i imaget, og alle er i buildets kritiske sti.

Begge SBOM'er angav de samme 653 versioner af Rust-crates, men Yoctos angiver dem kun ved filnavn og download-URL, uden package URL. Sårbarhedsmatchning virker på package URLs, så de crates kan ikke overvåges ud fra Yoctos SBOM. CRACI registrerer hver eneste af dem med en pkg:cargo-package URL.

Kontrol over, hvad buildet kan nå

En egress-politik på runneren afgør, hvilke hosts et job må forbinde sig til. Den valideres, før jobbet starter, blokerer ved fejl (fail closed) og sender en advarsel ved en overtrædelse. Til Yocto tilføjer den et ekstra lag oven på BitBakes egen BB_ALLOWED_NETWORKS, og en default deny-politik forhindrer et kompromitteret build-værktøj i at sende secrets til en host, buildet ikke har brug for.

Provenance og overvågning fra den samme registrering

API'et returnerer SBOM'er, netværkstraces og provenance. CRACI signerer ikke provenance. CRACI samler sårbarheder på tværs af builds og repositories, bliver ved med at genvurdere overvågede SBOM'er, efterhånden som advisories dukker op, lader sikkerhedsteams triagere fund og sende dem videre til det team, der ejer rettelsen, og viser, hvilke tidligere builds der indeholdt en sårbar afhængighed, så du kender den periode, du var berørt. CRACI understøtter VEX og kan indsende CRA-sårbarhedsunderretninger på dine vegne.

Selve buildet, på større runnere

Vigiles kører ikke dit build; det gør CRACI. Yocto-builds kører på runnere med op til 32 vCPU og 96 GB RAM, målt pr. sekund til $0.002 pr. vCPU-minut ($0.004 for en standard-runner med 2 vCPU). I den samme core-image-sato-sammenligning tog buildet uden Yoctos SBOM-generering 43 % kortere tid end buildet med den.

Erstat Vigiles med CRACI

For Yocto-images bygget i GitHub Actions dækker CRACI det, Vigiles købes for: en SBOM for hvert build, CVE-overvågning efter release, triage-beslutninger og VEX. Det tilføjer det, en metadatabaseret SBOM ikke kan give dig: de værtspakker, GitHub-kilder og Actions, buildet brugte, og en egress-politik, mens det kører.

Vær klar over, hvad du opgiver. Vigiles' kuraterede CVE-data og konfigurationsfiltre til kerne og U-Boot skærer ned på CVE-støjen på en måde, CRACI ikke gør. Vigiles rapporterer, hvilke CVE'er patches i dit build allerede retter, hvilket CRACI ikke registrerer; Yoctos egen SPDX indeholder også de recipe-metadata, så behold create-spdx slået til, hvis du er afhængig af det. Vigiles dækker også Buildroot, OpenWrt og FreeRTOS, kører inde i enhver CI og importerer SBOM'er i mange formater. CRACI understøtter kun GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen, så Jenkins- eller GitLab-pipelines skal først flyttes til GitHub Actions.

Til CRA

Cyber Resilience Act kræver, at producenter dokumenterer komponenterne i deres produkter, herunder med en SBOM, og håndterer sårbarheder, så længe et produkt understøttes, med rapporteringsforpligtelser fra september 2026. Vigiles hjælper ved at gemme SBOM'er, CVE-beslutninger og rapporter pr. release. CRACI producerer dokumentationen pr. build for, hvad der gik ind i firmwaren, med provenance, løbende overvågning og SBOM-eksport som CycloneDX eller SPDX. Det automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som en producent har brug for i sin bredere CRA-proces; ingen af værktøjerne gør et produkt compliant alene. Læs hvad CRA kræver.

Flyt et Yocto-build til CRACI

Sæt runs-on: craci på BitBake-jobbet, og vælg en runner-størrelse; workflowet bliver ved med at køre i GitHub Actions. Yocto-eksemplet i CRACI's dokumentation bygger core-image-sato på den største størrelse. Se, hvordan CRACI fungerer til industriel IoT og forbrugerelektronik.