CRACI vs. Cybellum

Lyhyt vastaus

Cybellum on tuoteturvallisuusalusta autoteollisuuden, lääkintälaitteiden ja teollisuuden laitevalmistajille. Se analysoi laiteohjelmistobinäärejä, yhdistää ne lähdekoodiin ja toimittajien SBOM:eihin, vertaa tulosta haavoittuvuustietoihin ja tukee työtä, jota PSIRT tekee julkaisun jälkeen: valvontaa, triagea, tutkintaa ja sääntelyn edellyttämää näyttöä. CRACI on GitHub Actions -runneri, joka tallentaa ajon aikana, mitä kukin buildi hakee, tuottaa SBOM:n tästä tallenteesta ja jatkaa sen valvontaa.

Jokaisen PSIRT-tapauksen ensimmäinen kysymys on, mitkä tuotteet ja versiot sisältävät haavoittuvan komponentin. Cybellum vastaa siihen analysoimalla sen, mitä toimitat, mistä tahansa se on peräisin. CRACI vastaa siihen tallenteesta siitä, mitä omat buildisi todella hakivat. GitHub Actionsissa rakentamasi ohjelmiston osalta CRACI kattaa inventaarion, valvonnan ja itse triagen. Binääreinä vastaanottamasi laiteohjelmiston osalta Cybellum kattaa alueen, jota CRACI ei kata.

Yhdellä silmäyksellä

Missä Cybellum on hyvä

Binäärin analyysi. Cybellumin mukaan sen Cyber Digital Twins -mallit "can be extracted from the binary files of any product or component", eli ne voidaan purkaa minkä tahansa tuotteen tai komponentin binääritiedostoista. Alusta analysoi kunkin tuotteen laiteohjelmistobinäärit ja paljastaa "SBOM, version history, licenses, HW architecture, OS configurations, and more", ja lähdekoodia se kysyy vain lisänä: "Have the source code too?" Tällä on merkitystä, kun suuri osa ajoneuvon tai lääkintälaitteen koodista tulee toimittajilta, joiden buildeja et koskaan näe.

Yksi SBOM monesta lähteestä. Cybellum yhdistää "data from binary scanners, source code and external SBOM sources in SPDX, CycloneDX or CPEs CSV formats", poistaa identtisten pakettien kaksoiskappaleet ja antaa tiimien korjata automaattisesti, validoida ja hyväksyä SBOM:t mille tahansa tuotteelle, versiolle tai haaralle ennen kuin ne jaetaan SPDX- tai CycloneDX-muodossa.

Löydökset tunnettujen CVE:iden lisäksi. Sen haavoittuvuustietokanta yhdistää julkisia ja yksityisiä syötteitä, EPSS:n ja tutkimuslöydöksiä, ja Cybellum lisää niihin "built-in malware and coding weakness detection engines", sisäänrakennetut moottorit haittaohjelmien ja koodin heikkouksien tunnistamiseen. Tiimit voivat tuoda uhkamalleja, TARA-analyyseja sekä fuzz- ja penetraatiotestien tuloksia ja tehdä triagen tekoälyavustajalla, VM CoPilotilla.

Rakennettu PSIRT-työhön. Sen poikkeamiin reagoinnin moduulin avulla tiimi voi "see exactly which products or components are affected by a new vulnerability or regulation", eli nähdä tarkalleen, mihin tuotteisiin tai komponentteihin uusi haavoittuvuus tai säädös vaikuttaa. Se antaa "a workbench for creating and managing investigations", avaa tikettejä ja jakaa haavoittuvuuksien tilan "via VEX/CSAF reports as needed."

Sääntelyn edellyttämä näyttö. Cybellum hallinnoi näyttöä vaatimuksiin "FDA PMA, ISO 21434, CRA as well as your own custom policy frameworks", ja sen vaatimukset on valmiiksi kohdistettu "50+ standards, regulations, and best practices." Se toimii julkisissa pilvissä tai omassa konesalissasi. LG Electronics osti enemmistöosuuden Cybellumista vuonna 2021, ja Cybellum jatkaa omana brändinään.

Missä CRACI on erilainen

Cybellum lähtee liikkeelle artefakteista: laiteohjelmiston levykuvasta, lähdekoodipuusta, toimittajan lähettämästä SBOM:sta. CRACI lähtee liikkeelle itse buildista, koska buildi ajetaan CRACI:lla.

Havaittu, ei päätelty

Vaihdat runs-on arvoon craci, ja jobi ajetaan eristetyssä virtuaalikoneessa CRACI:n runnerilla. Pakettitietoinen välityspalvelin (proxy) tallentaa, mitä jobi lataa pakettilähteistä, ja CI-välimuisteista palautetut paketit siirretään mukaan. Jokainen SBOM kertoo, kuinka kattava se on, jobikohtaisesti ja välimuistikohtaisesti: Complete, Complete with connections, Incomplete, Unavailable tai Not recorded. Laiteohjelmistotiimit voivat ajaa Yoctoa runnereilla, joissa on jopa 32 vCPU:ta ja 96 Gt RAM-muistia. core-image-sato-levykuvan rinnakkaisessa buildissa CRACI:n SBOM sisälsi jokaisen Yocton oman SPDX-tulosteen komponentin, 88 komponenttia lisää, kuten isäntäpaketteja ja GitHub Actionsin, sekä paketti-URL:n jokaiselle niistä 653 Rust-crate-versiosta, jotka Yocto listaa ilman sitä.

Mihin buildeihin ja tuotteisiin CVE ulottui

CRACI säilyttää jokaisen aiemman buildin SBOM:ineen, joten kun tietoturvatiedote julkaistaan, näet säilytysajan puitteissa, mitkä buildit sisälsivät haavoittuvan riippuvuuden, suoran tai transitiivisen, ja kuinka kauan. Sen inventaarionäkymä näyttää tarkalleen, mitkä ohjelmistoversiot on otettu käyttöön missäkin tuotteessa maailmanlaajuisesti. CRACI arvioi valvotut SBOM:t jatkuvasti uudelleen, tukee VEX:iä ja antaa tietoturvatiimien tehdä löydöksille triagen ja ohjata kunkin korjauksesta vastaavalle tiimille. Voit lisätä toimittajien SBOM:eja, jolloin ostettuja komponentteja valvotaan omien buildiesi rinnalla.

Hallinta buildin aikana

Lopputuloksen skannaus ei voi muuttaa sitä, mihin buildi pääsi käsiksi. CRACI:n egress-käytäntö voi: se on oletuksena estävä tai salliva, validoidaan ennen jobin alkua, noudattaa fail closed -periaatetta ja lähettää hälytyksen rikkeestä. Käytäntöportit voivat myös pysäyttää buildin, joka sisältää tietyn CVE:n.

Mistä luovut CRACI:n kanssa

CRACI ei analysoi binäärejä, joten se ei voi kertoa, mitä on buildisi lataaman toimittajan binäärimöhkäleen sisällä, vain sen, että buildi haki sen ja mistä. Se ei etsi nollapäivähaavoittuvuuksia, lähdekoodin skannaus koodin heikkouksien varalta on sen soveltamisalan ulkopuolella, eikä siinä ole ohjattuja tarkistuksia standardeja vastaan eikä raporttien vientiä. Se tukee tällä hetkellä vain GitHub Actionsia, GitLab CI ja Jenkins ovat tiekartalla, ja se toimii hallinnoituina runnereina eurooppalaisella infrastruktuurilla, asiakkaan ylläpitämät runnerit tiekartalla.

Milloin kumpikin

• Suurin osa laiteohjelmistostasi tulee toimittajilta binääreinä. Cybellum. Binäärin analyysi on tapa nähdä sen sisään.
• Rakennat omat ohjelmistosi ja levykuvasi GitHub Actionsissa. CRACI ajaa buildin, tallentaa sen syötteet ja seuraa tallennetun sisällön haavoittuvuuksia, joten PSIRT:n inventaario tulee suoraan buildista.
• Tarvitset näyttöä autoteollisuuden tai lääkintälaitteiden viranomaishakemuksiin. Cybellumilla on sääntelypohjat FDA PMA:lle, ISO 21434:lle ja EU:n CRA:lle. CRACI vie SBOM:t CycloneDX- tai SPDX-muodossa, ja sen API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot laajempaa prosessiasi varten.
• Haluat rajoittaa, mitä buildit voivat ladata. CRACI. Tämä hallinta on olemassa vain siellä, missä buildi ajetaan.

CRA:n näkökulmasta

EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) edellyttää, että valmistajat tunnistavat ja dokumentoivat tuotteidensa komponentit, SBOM mukaan lukien, käsittelevät haavoittuvuuksia koko tukiajan ja syyskuusta 2026 alkaen ilmoittavat aktiivisesti hyödynnetyistä haavoittuvuuksista. Cybellum auttaa CRA-pohjilla ja näytöllä tuotteiden ja toimittajien yli. CRACI auttaa tuottamalla buildikohtaista näyttöä siitä, mitä rakentamaasi ohjelmistoon meni, jatkuvan valvonnan ja SBOM-viennin CycloneDX- tai SPDX-muodossa, ja se laatii CRA-ilmoitusten sisällön sinun toimitettavaksesi. CRACI automatisoi merkittävän osan ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, joita valmistajat tarvitsevat laajemmassa CRA-vaatimustenmukaisuusprosessissaan; se ei yksinään tee tuotteesta vaatimustenmukaista. Lue mitä CRA vaatii.

Buildien ajaminen CRACI:lla

Ohjaa build-jobisi kohteeseen runs-on: craci, niin sama työnkulku jatkaa ajoaan GitHub Actionsissa samalla, kun CRACI tallentaa sen. Yoctoa varten CRACI:n dokumentaation esimerkki näyttää kokonaisen BitBake-työnkulun. Katso, miten CRACI toimii teollisessa IoT:ssä ja kuluttajaelektroniikassa.

Uusi rooli? Lue mitä PSIRT tekee ja CRACI PSIRT-tiimeille. Punnitsetko useampaa kuin kahta työkalua? Katso PSIRT-työkalut vertailussa ja vaihtoehdot Cybellumille.