CRACI vs. Cybeats SBOM Studio

Die kurze Antwort

Cybeats SBOM Studio bezeichnet sich selbst als „the SBOM system of record“, das maßgebliche System für SBOMs. Es speichert SBOMs Ihrer Produkte und Lieferanten, reichert sie mit Informationen zu Schwachstellen und Lizenzen an, überwacht sie laufend und teilt sie mit Kunden und Regulierungsbehörden. CRACI ist ein GitHub-Actions-Runner, der die Abhängigkeiten aufzeichnet, die jeder Job tatsächlich geladen hat, und aus dieser Aufzeichnung die SBOM erzeugt, mit einem Vollständigkeitsstatus.

Ein maßgebliches System ist nur so genau wie das, was hineinkommt. SBOM Studio verwaltet SBOMs, die ein anderes Tool erzeugt hat. CRACI erzeugt sie aus dem Build und überwacht sie, sodass CI, SBOM und Schwachstellenverfolgung aus einem Produkt kommen.

Auf einen Blick

Was Cybeats gut macht

• Ein verwalteter Ort für jede SBOM. SBOM Studio ist für Produktsicherheitsteams in ICS und OT, Medizintechnik, Telekommunikation, Automobilindustrie und Finanzdienstleistungen gebaut. Es gibt ihnen „one governed source of truth for every SBOM across your products and suppliers“, also eine verwaltete, maßgebliche Quelle für jede SBOM über Produkte und Lieferanten hinweg.
• Breite Formatunterstützung. SPDX 2.2 bis 3.0.1 und CycloneDX 1.2 bis 1.7, für Import und Export. Die Plattform verarbeitet außerdem VEX, AIBOM, CBOM und HBOM.
• Qualitätskontrolle am Eingang. Der SBOM Quality Score validiert Dateien vor dem Import, prüft, ob sie gemäß dem Standard korrekt formatiert sind, und protokolliert, warum eine SBOM die Anforderungen nicht erfüllt.
• Anreicherung und Überwachung. Jede Komponente wird laufend mit Schwachstelleninformationen abgeglichen, mit richtlinienbasierten Warnungen, VEX zur Mitteilung, welche Schwachstellen Ihre Produkte betreffen, und Lizenzanalyse für OSS und COTS.
• Weitergabe. Kontrollierter Austausch von SBOM und VEX mit Kunden, auch über die Transparency Exchange API. SBOM Consumer, ein separates Produkt, validiert und überwacht die SBOMs, die Sie von Herstellern erhalten.

Bei der Aufnahme von Lieferanten-SBOMs, der Lizenzanalyse und der gehosteten Weitergabe leistet SBOM Studio heute mehr als CRACI. Wenn Ihr Team ein SBOM-Programm über viele Produkte und Lieferanten hinweg betreibt, ist es genau dafür gebaut.

Worin sich CRACI unterscheidet

Es erzeugt die SBOM, aus dem Build

SBOM Studio nimmt SBOMs auf. Für die Generierung verweist Cybeats auf seinen Marketplace, der Anbieter von Tools für Binary Composition Analysis und SBOM-Generierung zusammenbringt. Die Komponentenliste im maßgeblichen System stammt also weiterhin aus einem Scanner.

CRACI führt den Job aus. Sie ändern runs-on auf craci, und ein paketbewusster Proxy zeichnet während des Builds den Datenverkehr zu Paketquellen auf: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen, dazu Download-Presets. Die Abhängigkeitsnachweise reisen mit CI-Caches, sodass ein aus einem Cache wiederhergestelltes Paket trotzdem in der Aufzeichnung steht. Die SBOM enthält alle transitiven Abhängigkeiten, die der Build tatsächlich verwendet hat.

Wohlgeformt heißt nicht vollständig

Ein Quality Score kann bestätigen, dass eine SBOM dem Standard folgt und die erwarteten Felder enthält. Er kann Ihnen nicht sagen, was der Generator nie gesehen hat. Generatoren weichen strukturell voneinander ab, weil jeder andere Dateien liest und sie anders auflöst, und ein wohlgeformtes Dokument sagt nichts darüber, ob die fehlende Abhängigkeit dem Tool überhaupt vorlag. Das NTIA-Feld für den Lieferanten ist ein gutes Beispiel: Es wird als vorhanden oder fehlend validiert, und die meisten Generatoren haben keine Quelle dafür. CRACI lässt sich so nicht bewerten, weil es Builds aufzeichnet und kein Verzeichnis scannen kann.

CRACI gibt die Vollständigkeit aus der Aufzeichnung selbst an, pro Job und pro Cache: Complete, Complete with connections, Incomplete, Unavailable oder Not recorded. Die Lücken in der Aufzeichnung sind bekannt statt geraten.

Kontrolle und Provenienz

Weil CRACI den Job ausführt, setzt es eine Egress-Richtlinie für das Netzwerk durch: standardmäßig blockieren oder standardmäßig erlauben, mit 24 integrierten Presets für Softwarequellen und typisierten benutzerdefinierten Quellen, validiert vor dem Start des Jobs und im Zweifel blockierend (fail closed). Die API liefert SBOMs, Netzwerk-Traces und Provenienz.

Überwachung

CRACI bewertet überwachte SBOMs laufend neu und führt Schwachstellen über Builds und Repositories hinweg zusammen.

Ein Inventar dessen, was wo im Einsatz ist

Die Inventaransicht von CRACI zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit. Wenn eine neue Schwachstelle bekannt wird, sehen Sie, welche Produkte die betroffene Version ausführen, statt es aus Release Notes und Tabellen zusammenzusuchen.

SBOM Studio durch CRACI ersetzen

Für Softwareteams auf GitHub Actions deckt CRACI ab, wofür ein maßgebliches SBOM-System bei den eigenen Produkten da ist: Es erzeugt die SBOM in jedem Build, bewertet überwachte SBOMs laufend neu, sobald neue Schwachstellen veröffentlicht werden, führt Befunde über Builds und Repositories hinweg zusammen und lässt Sicherheitsteams sie sichten und jeden an das Team weiterleiten, das für die Behebung zuständig ist. Sie können auch SBOMs von Herstellern hinzufügen, sodass zugekaufte Komponenten zusammen mit Ihren eigenen Builds überwacht werden. Es gibt keinen separaten Generator und keinen Importschritt, den Sie pflegen müssen.

Seien Sie sich im Klaren, worauf Sie verzichten. SBOM Studio übernimmt die Lizenzanalyse für OSS und COTS, AIBOM, CBOM und HBOM, bewertet die SBOM-Qualität beim Import und teilt SBOMs über die Transparency Exchange API mit Kunden. CRACI setzt Lizenzrichtlinien für die deklarierten Lizenzen durch, die es aufzeichnet, bietet vom Rest aber heute nichts. Wenn Ihre Aufgabe ein SBOM-Programm über viele Produkte, Lieferanten und Kunden hinweg ist, ist SBOM Studio dafür gebaut.

Für den Cyber Resilience Act

Cybeats geht direkt auf den CRA ein. Es nennt die Verordnung „the main driver of SBOM adoption today“, den wichtigsten Treiber für die Verbreitung von SBOMs, und sagt, SBOM Studio „produces compliant, up to date SBOMs“, erzeuge also konforme, aktuelle SBOMs, um Herstellern zu helfen, die Transparenz ihrer Software über den gesamten Produktlebenszyklus aufrechtzuerhalten. Sein Leitfaden zu Regulierungen legt die Meldefristen von 24 Stunden, 72 Stunden und 14 Tagen dar.

Die Meldepflichten des CRA gelten ab dem 11. September 2026, über die einheitliche Meldeplattform des CRA, und seine wesentlichen Bestimmungen gelten ab dem 11. Dezember 2027. Eine Frühwarnung binnen 24 Stunden setzt voraus, dass Sie schnell wissen, welche Releases eine betroffene Komponente enthalten, und dem Inventar vertrauen, das es Ihnen sagt. Die API von CRACI liefert SBOMs, Netzwerk-Traces und Provenienz, und SBOMs lassen sich als CycloneDX oder SPDX exportieren, einschließlich Schwachstellen.

CRACI automatisiert einen erheblichen Teil der Transparenz und der Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen. Keines der beiden Produkte macht einen Hersteller für sich allein konform. Lesen Sie, was der CRA verlangt, und mehr zu CRA-Compliance mit CRACI und Industrial IoT.

Sie wägen mehr als zwei Tools ab? Cybeats-Alternativen stellt neun Optionen direkt gegenüber.