CRACI vs. Cybeats SBOM Studio

Lyhyt vastaus

Cybeats SBOM Studio kutsuu itseään "SBOM:ien virallisen tiedon järjestelmäksi" (the SBOM system of record). Se säilyttää tuotteidesi ja toimittajiesi SBOM:t, rikastaa niitä haavoittuvuus- ja lisenssitiedoilla, seuraa niitä jatkuvasti ja jakaa niitä asiakkaille ja viranomaisille. CRACI on GitHub Actions -runneri, joka tallentaa riippuvuudet, jotka kukin jobi todella haki, ja tuottaa SBOM:n tämän kirjauksen pohjalta kattavuustiloineen.

Tietovarasto on vain niin tarkka kuin siihen syötetty tieto. SBOM Studio hallinnoi SBOM:ja, jotka jokin muu työkalu on generoinut. CRACI tuottaa ne buildista ja seuraa niitä, joten CI, SBOM ja haavoittuvuuksien seuranta tulevat yhdestä tuotteesta.

Yhdellä silmäyksellä

Missä Cybeats on hyvä

• Yksi hallittu paikka kaikille SBOM:ille. SBOM Studio on tehty tuoteturvallisuustiimeille, jotka toimivat ICS- ja OT-ympäristöissä, lääkintälaitteissa, tietoliikenteessä, autoteollisuudessa ja rahoituspalveluissa. Se antaa niille "yhden hallitun totuuden lähteen jokaiselle SBOM:ille kaikissa tuotteissasi ja toimittajillasi".
• Laaja formaattituki. SPDX 2.2–3.0.1 ja CycloneDX 1.2–1.7 sekä tuontiin että vientiin. Alusta käsittelee myös VEX:n, AIBOM:n, CBOM:n ja HBOM:n.
• Laadunvalvonta sisääntulossa. SBOM Quality Score validoi tiedostot ennen tuontia, tarkistaa, että ne on muotoiltu oikein standardin mukaan, ja kirjaa, miksi SBOM jää vajaaksi.
• Rikastaminen ja seuranta. Jokainen komponentti täsmätään jatkuvasti haavoittuvuustietoihin. Mukana ovat käytäntöihin perustuvat hälytykset, VEX sen viestimiseen, mitkä haavoittuvuudet koskevat tuotteitasi, sekä OSS- ja COTS-lisenssianalyysi.
• Jakaminen. Hallittu SBOM- ja VEX-tietojen vaihto asiakkaiden kanssa, myös Transparency Exchange API:n kautta. Erillinen tuote, SBOM Consumer, validoi ja seuraa vastaanottamiasi toimittajien SBOM:ja.

Toimittajien SBOM:ien vastaanotossa, lisenssianalyysissa ja hostatussa jakamisessa SBOM Studio tekee tällä hetkellä enemmän kuin CRACI. Jos tiimisi tehtävä on pyörittää SBOM-ohjelmaa monien tuotteiden ja toimittajien yli, se on tehty siihen.

Miten CRACI eroaa

Se tuottaa SBOM:n, buildista

SBOM Studio ottaa SBOM:ja vastaan. Generointia varten Cybeats ohjaa Marketplaceensa, joka kokoaa yhteen binäärien koostumusanalyysin ja SBOM-generoinnin työkalujen toimittajia. Komponenttiluettelo tietovarastossa tulee siis edelleen jonkinlaisesta skannerista.

CRACI ajaa jobin. Vaihdat runs-on-arvoksi craci, ja pakettitietoinen välityspalvelin tallentaa buildin aikana liikenteen pakettilähteisiin: npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk ja Git-lähteet sekä latausten esiasetukset. Riippuvuustiedot kulkevat CI-välimuistien mukana, joten välimuistista palautettu paketti on edelleen kirjauksessa. SBOM sisältää kaikki transitiiviset riippuvuudet, joita buildi todella käytti.

Oikein muotoiltu ei tarkoita kattavaa

Laatupisteet voivat vahvistaa, että SBOM noudattaa standardia ja sisältää odotetut kentät. Ne eivät voi kertoa, mitä generaattori ei koskaan nähnyt. Generaattorit ovat rakenteellisesti eri mieltä, koska kukin lukee eri joukon tiedostoja ja ratkaisee ne eri tavoin, eikä oikein muotoiltu dokumentti kerro mitään siitä, oliko siitä puuttuva riippuvuus koskaan työkalun nähtävillä. NTIA:n supplier-kenttä on hyvä esimerkki: se validoituu joko olemassa olevaksi tai puuttuvaksi, eikä useimmilla generaattoreilla ole sille lähdettä. CRACI:a ei voi pisteyttää näin, koska se tallentaa buildeja eikä voi skannata hakemistoa.

CRACI ilmoittaa kattavuuden itse kirjauksesta, jobi- ja välimuistikohtaisesti: Complete, Complete with connections, Incomplete, Unavailable tai Not recorded. Kirjauksen aukot tiedetään, niitä ei arvata.

Hallinta ja alkuperätiedot

Koska CRACI ajaa jobin, se valvoo verkon egress-käytäntöä: oletuksena estävä tai oletuksena salliva, 24 valmista ohjelmistolähteiden esiasetusta ja tyypitetyt omat lähteet. Käytäntö validoidaan ennen jobin käynnistymistä, ja virhetilanteessa liikenne estetään (fail closed). API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot (provenance).

Seuranta

CRACI arvioi seuratut SBOM:t jatkuvasti uudelleen ja kokoaa haavoittuvuudet buildien ja repositorioiden yli.

Inventaario siitä, mitä on käytössä missäkin

CRACI:n inventaarionäkymä näyttää tarkasti, mitkä ohjelmistoversiot ovat käytössä missäkin tuotteessa maailmanlaajuisesti. Kun uusi haavoittuvuus julkaistaan, näet, missä tuotteissa haavoittuvaa versiota ajetaan, eikä sinun tarvitse koota tietoa julkaisutiedoista ja taulukoista.

SBOM Studion korvaaminen CRACI:lla

GitHub Actionsia käyttäville ohjelmistotiimeille CRACI kattaa sen, mitä SBOM-tietovaraston on tarkoitus tehdä heidän omille tuotteilleen: se tuottaa SBOM:n jokaisessa buildissa, arvioi seuratut SBOM:t uudelleen aina, kun uusia haavoittuvuuksia julkaistaan, kokoaa löydökset buildien ja repositorioiden yli ja antaa tietoturvatiimien luokitella ne ja ohjata kunkin korjauksesta vastaavalle tiimille. Voit lisätä myös toimittajien SBOM:ja, jolloin ostettuja komponentteja seurataan omien buildiesi rinnalla. Erillistä generaattoria ei tarvitse ajaa eikä tuontivaihetta ylläpitää.

Ole selvillä siitä, mistä luovut. SBOM Studio hoitaa OSS- ja COTS-lisenssianalyysin, AIBOM:n, CBOM:n ja HBOM:n, pisteyttää SBOM:ien laadun tuonnissa ja jakaa SBOM:ja asiakkaille Transparency Exchange API:n kautta. CRACI valvoo lisenssikäytäntöä tallentamiensa ilmoitettujen lisenssien perusteella, mutta muuta näistä sillä ei tällä hetkellä ole. Jos tehtäväsi on pyörittää SBOM-ohjelmaa monien tuotteiden, toimittajien ja asiakkaiden yli, SBOM Studio on tehty siihen.

Kyberkestävyyssäädöstä varten

Cybeats käsittelee EU:n kyberkestävyyssäädöstä (Cyber Resilience Act, CRA) suoraan. Se kutsuu säädöstä "SBOM:ien käyttöönoton tärkeimmäksi ajuriksi nykyään" ja sanoo, että SBOM Studio "tuottaa vaatimusten mukaisia, ajantasaisia SBOM:ja" auttaakseen valmistajia ylläpitämään ohjelmistojen läpinäkyvyyttä koko tuotteen elinkaaren ajan. Sen sääntelyopas esittelee 24 tunnin, 72 tunnin ja 14 päivän raportointiaikataulun.

CRA:n raportointivelvoitteita sovelletaan 11.9.2026 alkaen CRA:n keskitetyn raportointialustan kautta, ja sen pääsäännöksiä sovelletaan 11.12.2027 alkaen. 24 tunnin ennakkovaroitus edellyttää, että tiedät nopeasti, mitkä julkaisut sisältävät haavoittuvan komponentin, ja että voit luottaa inventaarioon, joka sen kertoo. CRACI:n API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot, ja SBOM:t viedään CycloneDX- tai SPDX-muodossa haavoittuvuuksineen.

CRACI automatisoi merkittävän osan siitä ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritykset tarvitsevat laajempaan CRA-vaatimustenmukaisuuden prosessiinsa. Kumpikaan tuote ei yksin tee valmistajasta vaatimusten mukaista. Katso mitä CRA vaatii, CRA-vaatimustenmukaisuus CRACI:lla ja teollinen IoT.

Punnitsetko useampaa kuin kahta työkalua? Vaihtoehdot Cybeatsille vertailee yhdeksää vaihtoehtoa rinnakkain.