CRACI vs. Medcrypt

Die kurze Antwort

Medcrypt ist ein Unternehmen für die Cybersicherheit von Medizinprodukten. Seine Plattform, Medcrypt Security Intelligence (MSI), verbindet Software mit einem Team ehemaliger FDA-Prüfer, um die Cybersicherheitseinreichung eines Geräts vorzubereiten, zu prüfen und zu pflegen. Das Versprechen auf der Startseite lautet: „Get your cybersecurity submission approved. The first time.“ Helm, das Produkt für SBOM- und Schwachstellenmanagement, ist Teil von MSI und wird auch einzeln verkauft.

CRACI ist ein GitHub-Actions-Runner, der die Abhängigkeiten aufzeichnet, die jeder Job tatsächlich geladen hat, und aus dieser Aufzeichnung die SBOM erzeugt, mit einem Vollständigkeitsstatus. Anschließend bewertet es überwachte SBOMs neu, sobald Advisories erscheinen, und Sicherheitsteams sichten Befunde und leiten sie an das Team weiter, das für die Behebung zuständig ist. CRACI bereitet keine FDA-Einreichungen vor und prüft sie nicht. Für die SBOM und die Post-Market-Schwachstellenverfolgung von Software, die Sie bauen, ersetzt CRACI Helm, ausgehend vom Build selbst.

Auf einen Blick

Was Medcrypt gut kann

• FDA-Expertise im Haus. Die Prüfungen, Audits und Vorlagen von MSI stammen von einem Team, zu dem laut Medcrypt „former FDA reviewers and authors of the guidance itself“ gehören. Der MSI-Plan enthält 15 Beratungsstunden pro Jahr mit ihnen, und die Plattform scannt Einreichungspakete auf das, was ein Prüfer beanstanden würde. Für eine erste 510(k)- oder PMA-Einreichung ist das Hilfe, die CRACI nicht bietet.
• Die gesamte Einreichung, nicht nur die SBOM. MSI umfasst Bedrohungsmodellierung, Cybersicherheits-Risikobewertung, Dokumentenerstellung (als Beta gekennzeichnet), Antworten auf Deficiency Letters und, als Zusatzleistung über geprüfte Partner, Penetrationstests.
• Post-Market-Arbeit nach der Zulassung. MSI enthält laufende Schwachstellenüberwachung und die Mitgliedschaft in MedISAO, die laut Medcrypt gerätespezifische Schwachstellenwarnungen, ein Programm zur koordinierten Offenlegung von Schwachstellen und Aktualisierungen zu Leitlinien bringt. Die Plattformseite sagt es deutlich: „Section 524B made post-market cybersecurity a legal duty.“
• Helm ist für Gerätehersteller gebaut. Helm ordnet Befunde mit Daten aus EPSS, CISA KEV, ExploitDB und Metasploit, bewertet Schwachstellen in großen Mengen neu, passend zum Kontext jedes Geräts, überträgt Behebungen über Produktversionen hinweg und nutzt Alias-Regeln, um Komponenten NVD-Einträgen zuzuordnen. Es exportiert CycloneDX- und SPDX-SBOMs, VEX- und VDR-Berichte sowie ein Medcrypt-FDA-SBOM-Format.
• Ein etablierter Anbieter in seiner Nische. Medcrypt wurde 2016 gegründet, durchlief Y Combinator und meldet $36.4M an Finanzierung mit Investoren wie Johnson & Johnson Innovation, Intuitive Ventures und Dexcom Ventures. Nach eigenen Angaben vertrauen ihm mehr als 140 Hersteller von Medizinprodukten, darunter 13 der Top 50.
• Veröffentlichte Preise. MSI kostet $35,000 pro Produktlinie und Jahr mit unbegrenzter Nutzerzahl, jährlich in Rechnung gestellt.

Worin sich CRACI unterscheidet

Es erzeugt die SBOM, und zwar aus dem Build

Helm arbeitet mit SBOMs, die Sie ihm geben. Sie laden CycloneDX- oder SPDX-Dateien hoch oder erstellen sie, oder eine GitHub Action von Helm lädt eine SBOM-Datei aus Ihrem Workflow hoch (laut Dokumentation wird heute CycloneDX JSON unterstützt). Für Teams ohne SBOM verweist die Helm-Dokumentation auf Open-Source-Generatoren, manuelle Erstellung, Expertendienste oder ein auf Anfrage verfügbares Generierungstool von Medcrypt. Die Komponentenliste, die Helm überwacht, stammt also weiterhin aus einem Scanner oder einer von Hand erstellten Datei.

CRACI führt den Job aus. Sie ändern runs-on auf craci, und ein paketbewusster Proxy zeichnet während des Builds den Datenverkehr zu Paketquellen auf: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen, dazu Download-Presets. Die Abhängigkeitsnachweise reisen mit CI-Caches mit, sodass auch ein aus einem Cache wiederhergestelltes Paket in der Aufzeichnung steht. Jede SBOM gibt an, wie vollständig sie ist, pro Job und pro Cache: Complete, Complete with connections, Incomplete, Unavailable oder Not recorded.

Embedded-Linux-Builds

Wenn auf Ihrem Gerät ein Yocto-Image läuft, lässt sich direkt vergleichen. Die Helm-Dokumentation zeigt, wie Sie die eigene SPDX-Ausgabe von Yocto aktivieren und hochladen. CRACI führt BitBake auf Runnern mit bis zu 32 vCPUs und 96 GB RAM aus. In einem direkten Vergleichsbuild von core-image-sato enthielt die SBOM von CRACI jede Komponente aus der eigenen SPDX-Ausgabe von Yocto, 88 weitere wie Host-Pakete und GitHub Actions sowie eine Package-URL für jede der 653 Rust-Crate-Versionen, die Yocto ohne eine solche aufführt.

Post-Market-Antworten aus der Build-Historie

Wenn eine neue Schwachstelle bekannt wird, lautet die Post-Market-Frage, welche ausgelieferten Versionen sie enthalten und wie lange schon. CRACI bewahrt jeden früheren Build und seine SBOM innerhalb der Aufbewahrungsfrist auf und zeigt, welche Builds die verwundbare Abhängigkeit enthielten, direkt oder transitiv, sodass Sie den Zeitraum kennen, in dem Sie betroffen waren. Seine Inventaransicht zeigt, welche Softwareversionen in welchen Produkten im Einsatz sind. Policy-Gates können einen späteren Build stoppen, der eine bestimmte CVE noch enthält.

Kontrolle darüber, was der Build erreichen kann

Weil CRACI der Runner ist, setzt es eine Egress-Richtlinie für das Netzwerk durch: standardmäßig sperrend oder standardmäßig erlaubend, mit 24 integrierten Presets für Softwarequellen und typisierten eigenen Quellen, vor dem Start des Jobs validiert und im Zweifel blockierend (fail closed). Bei Richtlinienverstößen warnt es. Medcrypt führt Ihren Build nicht aus, das liegt also außerhalb seines Umfangs.

Nach FDA Section 524B

Nach Section 524B muss die Einreichung für ein Cyber Device eine SBOM „including commercial, open-source, and off-the-shelf software components“ und einen Plan zur Überwachung und Behandlung von Schwachstellen nach dem Inverkehrbringen enthalten. Beide Produkte berühren diese Anforderungen auf unterschiedliche Weise.

Medcrypt arbeitet an der Einreichung selbst: am Bedrohungsmodell, an der Risikobewertung, an den Dokumenten, am Audit anhand dessen, was FDA-Prüfer beanstanden, und an der Antwort, wenn die FDA einen Deficiency Letter schickt. Seine Preisseite hält fest: „FDA is what the platform covers today.“

CRACI liefert Nachweise, die aus dem Build stammen: eine SBOM dessen, was der Build tatsächlich genutzt hat, exportiert als CycloneDX oder SPDX, und die laufende Überwachung dieser SBOM nach dem Release, mit Triage und Weiterleitung an das Team, das für die Behebung zuständig ist. CRACI schreibt, prüft oder übermittelt keine FDA-Dokumentation und macht ein Gerät nicht konform. Plan und Einreichung bleiben Aufgabe des Herstellers. Wie das zu einem Produktsicherheitsteam passt, zeigen Was ein PSIRT tut und CRACI für PSIRT-Teams.

Wann Sie welches Tool wählen

• Sie bereiten eine erste Einreichung vor oder beantworten einen Deficiency Letter. Medcrypt. Ehemalige FDA-Prüfer, Einreichungs-Audits und Bedrohungsmodellierung sind das, wofür es gebaut ist, und CRACI leistet nichts davon.
• Sie brauchen SBOM- und Schwachstellenmanagement für Software, die Sie in GitHub Actions bauen. CRACI. Es erzeugt die SBOM in jedem Build und überwacht sie, sodass kein separater Generator läuft und kein Upload-Schritt zu pflegen ist.
• Sie brauchen Verschlüsselung, Schlüsselverwaltung oder Geräteidentität im Feld. Guardian von Medcrypt deckt die Sicherheit auf dem Gerät ab. CRACI arbeitet am Build, nicht am Gerät.
• Ihre Builds laufen in GitLab CI oder Jenkins. Helm bietet eine API, eine GitHub Action und eine Azure-DevOps-Erweiterung zum Hochladen von SBOMs. CRACI unterstützt heute GitHub Actions; GitLab CI und Jenkins sind auf der Roadmap.

Helm durch CRACI ersetzen

Für Gerätesoftware, die in GitHub Actions gebaut wird, deckt CRACI ab, wofür Helm da ist: Es erzeugt die SBOM in jedem Build, bewertet überwachte SBOMs neu, sobald neue Schwachstellen veröffentlicht werden, führt Befunde über Builds und Repositories hinweg zusammen, unterstützt VEX und lässt Sicherheitsteams Befunde sichten und jeden an das Team weiterleiten, das für die Behebung zuständig ist. Sie können auch Hersteller-SBOMs ergänzen, sodass zugekaufte Komponenten neben Ihren eigenen Builds überwacht werden.

Seien Sie sich im Klaren darüber, worauf Sie verzichten. Helm ordnet Befunde mit Exploit-Intelligence wie EPSS und CISA KEV, bietet KI-Hinweise zu Gegenmaßnahmen, ordnet Komponenten mit Alias-Regeln zu, verfolgt End-of-Support-Daten und exportiert VDR-Berichte und das Medcrypt-FDA-SBOM-Format. Und für die Einreichungsarbeit, die Beratungsstunden und die MedISAO-Mitgliedschaft von MSI hat CRACI keine Entsprechung. Wenn es Ihnen vor allem darum geht, eine Einreichung durch die FDA-Prüfung zu bringen, ist Medcrypt dafür gebaut.

Sie vergleichen weitere Tools für Produktsicherheitsteams? Siehe den Vergleich von PSIRT-Tools.