CRACI frente a Cybeats SBOM Studio

La respuesta corta

Cybeats SBOM Studio se define como «el sistema de registro de SBOM». Almacena las SBOM de sus productos y proveedores, las enriquece con inteligencia sobre vulnerabilidades y licencias, las monitoriza de forma continua y las comparte con clientes y reguladores. CRACI es un runner de GitHub Actions que registra las dependencias que cada job descargó realmente y genera la SBOM a partir de ese registro, con un estado de completitud.

Un sistema de registro solo es tan preciso como lo que entra en él. SBOM Studio gestiona SBOM que generó alguna otra herramienta. CRACI las genera a partir del build y las monitoriza, de modo que el CI, la SBOM y el seguimiento de vulnerabilidades proceden de un solo producto.

De un vistazo

Lo que Cybeats hace bien

• Un único lugar gobernado para cada SBOM. SBOM Studio está pensado para equipos de seguridad de producto en ICS y OT, dispositivos médicos, telecomunicaciones, automoción y servicios financieros. Les ofrece «una única fuente de verdad gobernada para cada SBOM de sus productos y proveedores».
• Amplia compatibilidad de formatos. De SPDX 2.2 a 3.0.1 y de CycloneDX 1.2 a 1.7, para importar y exportar. La plataforma también gestiona VEX, AIBOM, CBOM y HBOM.
• Control de calidad en la entrada. El SBOM Quality Score valida los archivos antes de importarlos, comprueba que tienen el formato correcto según el estándar y registra por qué una SBOM no da la talla.
• Enriquecimiento y monitorización. Cada componente se coteja de forma continua con inteligencia sobre vulnerabilidades, con alertas basadas en políticas, VEX para comunicar qué vulnerabilidades afectan a sus productos y análisis de licencias OSS y COTS.
• Intercambio. Intercambio controlado de SBOM y VEX con los clientes, también a través de la Transparency Exchange API. SBOM Consumer, un producto aparte, valida y monitoriza las SBOM de proveedores que usted recibe.

La recepción de SBOM de proveedores, el análisis de licencias y el intercambio alojado son áreas en las que SBOM Studio hace hoy más que CRACI. Si el trabajo de su equipo es dirigir un programa de SBOM para muchos productos y proveedores, está hecho para eso.

En qué se diferencia CRACI

Genera la SBOM, a partir del build

SBOM Studio importa SBOM. Para la generación, Cybeats remite a su Marketplace, que reúne a proveedores de análisis de composición binaria y de herramientas de generación de SBOM. Así que la lista de componentes del sistema de registro sigue procediendo de algún tipo de escáner.

CRACI ejecuta el job. Usted cambia runs-on a craci y un proxy que entiende de paquetes registra el tráfico hacia las fuentes de paquetes durante el build: fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de los presets de descarga. La evidencia de dependencias viaja con las cachés de CI, así que un paquete restaurado desde una caché sigue en el registro. La SBOM incluye todas las dependencias transitivas que el build utilizó realmente.

Bien formada no es lo mismo que completa

Una puntuación de calidad puede confirmar que una SBOM sigue el estándar y lleva los campos esperados. No puede decirle lo que el generador nunca vio. Los generadores discrepan de forma estructural, porque cada uno lee un conjunto distinto de archivos y los resuelve de otra manera, y un documento bien formado no dice nada sobre si la dependencia que omite llegó a estar delante de la herramienta. El campo de proveedor de la NTIA es un buen ejemplo: se valida como presente o ausente, y la mayoría de los generadores no tienen ninguna fuente para él. CRACI no puede puntuarse de esta manera, porque registra builds y no puede escanear un directorio.

CRACI indica la completitud a partir del propio registro, por job y por caché: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Las lagunas del registro se conocen en lugar de suponerse.

Control y procedencia

Como CRACI ejecuta el job, aplica una política de egress de red: denegación por defecto o permiso por defecto, con 24 presets de fuentes de software integrados y fuentes personalizadas tipadas, validada antes de que empiece el job y que, si falla, bloquea. La API devuelve SBOM, trazas de red y procedencia.

Monitorización

CRACI reevalúa de forma continua las SBOM monitorizadas y agrega las vulnerabilidades de todos los builds y repositorios.

Un inventario de qué está desplegado y dónde

La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. Cuando aparece una nueva vulnerabilidad, puede ver qué productos ejecutan la versión afectada en lugar de reconstruirlo a partir de notas de versión y hojas de cálculo.

Sustituir SBOM Studio por CRACI

Para los equipos de software que usan GitHub Actions, CRACI cubre lo que un sistema de registro de SBOM debe hacer para sus propios productos: genera la SBOM en cada build, sigue reevaluando las SBOM monitorizadas a medida que se publican nuevas vulnerabilidades, agrega los hallazgos de todos los builds y repositorios, y permite a los equipos de seguridad hacer el triaje y enviar cada uno al equipo responsable de la corrección. También puede añadir SBOM de proveedores, de modo que los componentes adquiridos se monitorizan junto con sus propios builds. No hay un generador aparte que ejecutar ni un paso de importación que mantener.

Tenga claro a qué renuncia. SBOM Studio ofrece análisis de licencias OSS y COTS, AIBOM, CBOM y HBOM, puntúa la calidad de las SBOM al importarlas y comparte las SBOM con los clientes a través de la Transparency Exchange API. CRACI aplica la política de licencias sobre las licencias declaradas que registra, pero hoy no ofrece nada de lo demás. Si su trabajo es dirigir un programa de SBOM para muchos productos, proveedores y clientes, SBOM Studio está hecho para eso.

Para el Cyber Resilience Act

Cybeats aborda el CRA directamente. Califica el reglamento como «el principal motor de la adopción de SBOM hoy» y afirma que SBOM Studio «produce SBOM conformes y actualizadas» para ayudar a los fabricantes a mantener la transparencia del software a lo largo del ciclo de vida del producto. Su guía de normativas expone el calendario de notificación de 24 horas, 72 horas y 14 días.

Las obligaciones de notificación del CRA se aplican desde el 11 de septiembre de 2026, a través de la plataforma única de notificación del CRA, y sus disposiciones principales se aplican desde el 11 de diciembre de 2027. Una alerta temprana en 24 horas depende de saber rápidamente qué lanzamientos contienen un componente afectado, y de confiar en el inventario que se lo indica. La API de CRACI devuelve SBOM, trazas de red y procedencia, y las SBOM se exportan en CycloneDX o SPDX, vulnerabilidades incluidas.

CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA. Ninguno de los dos productos hace que un fabricante cumpla por sí solo. Consulte qué exige el CRA, el cumplimiento del CRA con CRACI y el IoT industrial.

¿Valora más de dos herramientas? Alternativas a Cybeats compara nueve opciones una junto a otra.