Comparativa
CRACI frente a Finite State
Finite State crea un registro del riesgo del producto a partir de todo lo que entra en un dispositivo, incluido el c贸digo que usted no escribi贸. CRACI crea un registro desde el 煤nico lugar que usted controla por completo: su propio build.
Actualizado el
La respuesta corta
Finite State es una plataforma de seguridad de producto para dispositivos conectados. Analiza firmware, binarios, c贸digo fuente y SBOM de proveedores, prioriza las vulnerabilidades por alcanzabilidad y convierte los resultados en evidencia para normativas como el CRA. CRACI es un runner de GitHub Actions que registra lo que incorpora cada build mientras se ejecuta, genera la SBOM a partir de ese registro y controla a d贸nde puede conectarse el build. Finite State analiza lo que usted distribuye, venga de donde venga; CRACI registra lo que hizo su propio build. En su mayor parte son complementarios.
De un vistazo
| Funci贸n | CRACI | Finite State |
|---|---|---|
| Ejecuta sus builds | Los jobs se ejecutan en runners de CRACI | Su CI sube binarios o SBOM a la plataforma |
| Registra lo que descarg贸 el build | Lo observa el runner durante cada job | Analiza c贸digo fuente, binarios y SBOM de proveedores |
| Pol铆tica de egress mientras se ejecuta el build | Se comprueba antes del job; si falla, bloquea | Fuera de su alcance |
| An谩lisis de binarios y firmware | M谩s de 50 arquitecturas de conjuntos de instrucciones | |
| SBOM de proveedores y hallazgos de terceros | Se pueden a帽adir SBOM de proveedores; sin hallazgos de terceros | Se ingieren en un 煤nico registro de producto |
| An谩lisis de alcanzabilidad | Prioriza lo que es realmente explotable | |
| Decisiones de triaje registradas | Triaje y env铆o de hallazgos a los equipos | Decisiones VEX con estado de explotabilidad |
| SBOM en CycloneDX y SPDX | Por build, con estado de completitud | Por versi贸n, a partir de c贸digo fuente y binarios |
| Evidencia para el CRA | SBOM en CycloneDX o SPDX, registros mediante API; sin exportaci贸n de informes | Correspondencia con controles del CRA e informes para auditor铆a |
| Sistemas de CI | GitHub Actions hoy; GitLab CI y Jenkins en la hoja de ruta | GitHub Actions, GitLab CI, Jenkins y otros |
- Incluido
- En parte
- No incluido
Lo que Finite State hace bien
Cobertura de binarios y firmware. Finite State produce SBOM y un inventario de software de firmware, binarios y c贸digo fuente, con compatibilidad con m谩s de 50 arquitecturas de conjuntos de instrucciones binarias. Para un dispositivo que ejecuta c贸digo de muchos proveedores en chips poco habituales, esa amplitud es lo esencial.
Un registro para todos los proveedores. Re煤ne firmware, binarios, c贸digo fuente, SBOM de proveedores y hallazgos de terceros en una sola plataforma, lo que ayuda cuando necesita conciliar lo que dice un proveedor con lo que hay realmente en el producto.
Menos ruido. Finite State ordena los hallazgos por alcanzabilidad, inteligencia sobre exploits y contexto del producto. Informa de que, desde 2024, el 40,5 % de los hallazgos que analiz贸 por alcanzabilidad se confirmaron como inalcanzables. Registra decisiones VEX con el impacto en el producto y el estado de explotabilidad.
Evidencia de cumplimiento. Su workflow de cumplimiento abarca la correspondencia con los controles del CRA de la UE y el mantenimiento de la evidencia, y genera informes preparados para auditor铆a con artefactos de SBOM y VEX. Tambi茅n aborda marcos como las directrices de la FDA, UN R155 e IEC 62443.
Integraciones con CI. Finite State integra comprobaciones en GitHub Actions, GitLab CI y Jenkins. Su acci贸n Binary Scan sube a la plataforma de Finite State un binario compilado durante el CI para un escaneo r谩pido o completo.
En qu茅 se diferencia CRACI
Finite State parte de los artefactos: el binario terminado, el 谩rbol de c贸digo fuente, la SBOM que envi贸 un proveedor. CRACI parte del propio build, porque el build se ejecuta en CRACI.
Observado, no inferido
Cambie runs-on a craci y el job se ejecutar谩 en una m谩quina virtual aislada en un runner de CRACI.
Un proxy que entiende de paquetes registra lo que el job descarga de las fuentes de paquetes, y los paquetes restaurados
desde cach茅s de CI se arrastran al registro. Cada SBOM indica su grado de completitud, por job y por cach茅: Complete, Complete with
connections, Incomplete, Unavailable o Not recorded. Los equipos de firmware pueden ejecutar Yocto en runners de hasta
32 vCPU y 96 GB de RAM. Las fuentes que BitBake descarga del mirror de c贸digo fuente de Yocto quedan registradas en la SBOM
del job de CRACI.
Control durante el build
Un escaneo de la salida no puede cambiar a qu茅 pudo acceder el build. La pol铆tica de egress de CRACI s铆: es de denegaci贸n o permiso por defecto, se valida antes de que empiece el job, bloquea si falla y env铆a una alerta ante una infracci贸n.
Procedencia y monitorizaci贸n
La API devuelve SBOM, trazas de red y procedencia. CRACI agrega las vulnerabilidades de todos los builds y repositorios y sigue reevaluando las SBOM monitorizadas a medida que aparecen avisos.
CRACI no analiza binarios ni realiza an谩lisis de alcanzabilidad. Su registro del build cubre los builds que se ejecutan en 茅l, y usted puede a帽adir las SBOM que le faciliten sus proveedores. Para el firmware de proveedores que recibe como binario sin SBOM, Finite State cubre un terreno que CRACI no cubre.
Un inventario de qu茅 est谩 desplegado y d贸nde
La vista de inventario de CRACI muestra exactamente qu茅 versiones de software est谩n desplegadas en qu茅 productos, a escala global. Cuando aparece una nueva vulnerabilidad, puede ver qu茅 productos ejecutan la versi贸n afectada en lugar de reconstruirlo a partir de notas de versi贸n y hojas de c谩lculo.
Cu谩ndo usar cada uno y cu谩ndo usar los dos
- La mayor parte de su firmware procede de proveedores. Finite State. El an谩lisis de binarios y la ingesta de SBOM de proveedores est谩n pensados para eso.
- Compila sus propias im谩genes y aplicaciones en GitHub Actions. CRACI registra cada build. Suba el mismo artefacto a Finite State y tendr谩 el registro del build y el an谩lisis binario uno junto a otro.
- Necesita un sistema de registro para muchos productos y proveedores. Finite State. Las SBOM de CRACI se exportan en CycloneDX o SPDX, formatos que Finite State acepta mediante su acci贸n de subida.
- Quiere limitar lo que pueden descargar los builds. CRACI. Ese control solo existe donde se ejecuta el build.
Para el CRA
El Cyber Resilience Act pide a los fabricantes que identifiquen y documenten los componentes de sus productos, incluida una SBOM, que gestionen las vulnerabilidades durante el periodo de soporte y que, desde septiembre de 2026, notifiquen las vulnerabilidades explotadas activamente. Finite State ayuda a reunir esa evidencia para un producto y sus proveedores, con correspondencia con los controles del CRA e informes. CRACI ayuda generando evidencia por build de lo que entr贸 en el software que usted compila, con procedencia, monitorizaci贸n continua y exportaci贸n de SBOM en CycloneDX o SPDX. CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que los fabricantes necesitan para su proceso m谩s amplio de cumplimiento del CRA; por s铆 solo no hace que un producto cumpla. Lea qu茅 exige el CRA.
A帽adir CRACI junto a Finite State
No hace falta sacar nada de Finite State. Dirija su job de build a runs-on: craci, conserve el paso de subida a
Finite State, y el mismo workflow se ejecutar谩 en un runner de CRACI mientras CRACI lo registra. Para Yocto, el
ejemplo de la documentaci贸n de CRACI muestra un workflow
completo de BitBake. CRACI solo es compatible hoy con GitHub Actions, as铆 que los pipelines de GitLab CI o Jenkins tendr铆an
que migrar para usar runners de CRACI. GitLab CI y Jenkins est谩n en la hoja de ruta. Vea c贸mo funciona CRACI para
el IoT industrial y
la electr贸nica de consumo.
驴Valora m谩s de dos herramientas? Alternativas a Finite State compara nueve opciones una junto a otra.
Vea el registro de uno de sus builds
Reserve una demo y ejecutaremos en CRACI uno de sus builds de firmware de GitHub Actions y repasaremos con usted lo que descarg贸.
Reservar una demo