CRACI vs. Exein | Buildin näyttö ja ajonaikainen tietoturva

Lyhyt vastaus

Exein tekee tietoturvatuotteita sulautetuille ja verkkoon kytketyille laitteille. Exein Runtime valvoo ja estää uhkia itse laitteessa, ja Exein Analyzer skannaa laiteohjelmiston haavoittuvuudet ennen julkaisua. Sen Yocto-kerros meta-exein lisää ajonaikaisen agentin kuvaasi. CRACI on GitHub Actions -runneri: Yocto-buildisi ajetaan sillä, ja CRACI tallentaa, mitä buildi latasi, ja rajoittaa, mihin se voi ottaa yhteyttä. Exein toimii laitteessa ja laiteohjelmistossa; CRACI toimii buildissa. Useimmat tiimit, jotka tarvitsevat molempia, käyttävät molempia.

Yhdellä silmäyksellä

Ominaisuus	CRACI	Exein
Ajaa Yocto-buildisi	BitBake runnereilla, joissa on enintään 32 vCPU:ta	Integroituu olemassa olevaan putkeesi
Tallentaa, mitä buildi haki	Runneri havaitsee sen jokaisen jobin aikana	Analysoi laiteohjelmiston tai toimittamasi SBOM:n
Egress-käytäntö buildin aikana	Tarkistetaan ennen jobia, fail closed	Sen toiminta-alueen ulkopuolella
Tietoturva-agentti laitteessa		Exein Runtime, eBPF-pohjainen
Yocto-kerros kuvaasi	CRACI ajaa buildin eikä lisää kuvaan mitään	meta-exein lisää Pulsarin kuvaan
Binäärisen laiteohjelmiston analyysi		Exein Analyzer
Priorisointi reachability-analyysin perusteella		Reachability-pisteytys ja LLM-suodatus
SBOM	Buildista, kattavuustilan kanssa	Exein Analyzerin generoima
CRA-näyttö	SBOM:t CycloneDX- tai SPDX-muodossa, tallenteet API:n kautta, CRA-ilmoitusten sisältö valmisteltuna; ei raporttien vientiä	CRA-näytön kohdistus Analyzerissa

Sisältyy
Osittain
Ei sisälly

Mikä Exeinin Yocto-integraatio on

Tuotteet on helppo sekoittaa toisiinsa, koska molemmat mainitsevat Yocton, joten kannattaa olla tarkka. meta-exein on avoimen lähdekoodin Yocto-kerros, joka "contains Pulsar and kernel recipes to add the Pulsar security framework to an image." Lisäät kerroksen tiedostoon bblayers.conf, lisäät pulsar-paketin muuttujaan IMAGE_INSTALL ja otat BTF:n käyttöön, jolloin kuvasi sisältää Pulsarin, Exeinin eBPF-pohjaisen ajonaikaisen tietoturvatyökalun. Kerros on testattu Yocto-julkaisuilla Kirkstonesta alkaen, ja siitä tuli virallinen Yocto Project Compatible -kerros vuonna 2024. Exein liittyi Yocto Projectiin Platinum Member -jäseneksi vuonna 2023.

Toisin sanoen Exeinin kerros muuttaa sitä, mitä laitteessa ajetaan. Se ei aja buildiasi eikä tallenna, mitä buildi haki. Exein kertoo myös, että Exein Analyzer on "natively integrated into Yocto, Buildroot, and your CI/CD pipeline", jotta se skannaa jokaisen uuden buildin. Kyse on buildin lopputuloksen analysoinnista omassa putkessasi.

Missä Exein on hyvä

Ajonaikainen suojaus laitteessa. Exein Runtime on kirjoitettu Rustilla, ja se valvoo ja estää eBPF:n avulla haitallista toimintaa ytimen tasolla, "the moment it tries to run." Koko laitekannan laajuisesti se jäljittää tapauksia ja tuottaa forensiikka- ja vaatimustenmukaisuusraportteja ajonaikaisesta telemetriasta. Exein julkaisee myös Pulsarin, "a modular and blazing fast runtime security tool for the IoT, powered by eBPF," avoimena lähdekoodina.

Laiteohjelmiston analyysi ennen julkaisua. Exein Analyzer tarkastelee valmista laiteohjelmistoa suoraan tai lukee SBOM:si, kun binääriä ei ole saatavilla. Exeinin mukaan se kattaa Linuxin, RTOS:n, Dockerin, UEFI:n, Androidin ja muita, ja se nostaa hyödynnettävät CVE:t etusijalle reachability-analyysipisteytyksen ja LLM-pohjaisen suodatuksen avulla.

Korjaaminen ja CRA-kohdistus. Exein kuvaa tekoälypohjaista korjaamista, joka toimii Yocto- ja CI/CD-putkissa, ja kohdistaa löydökset kyberkestävyyssäädöksen (Cyber Resilience Act) vaatimuksiin.

Missä CRACI on erilainen

Se ajaa buildin

Yocto-buildit ovat pitkiä ja raskaita. CRACI ajaa BitBaken GitHub Actions -työnkulustasi runnereilla, joissa on enintään 32 vCPU:ta ja 96 Gt RAM-muistia, ja koko asetetaan cracicorp/setup@v1:llä ja size: "32":lla. Jobit ajetaan eristetyissä virtuaalikoneissa, ja ajot näkyvät edelleen GitHubissa.

Se tallentaa, mitä buildi haki

Jobin aikana CRACI havainnoi liikenteen paketti- ja lähdekoodipalvelimille ja säilyttää sen buildin näyttönä jobi- ja välimuistikohtaisen kattavuustilan kanssa. Yoctolle se on riippumaton selvitys siitä, mitä verkon yli tuli, myös siitä, mitä Yocton create-spdx-luokan tuottama SPDX-SBOM jättää pois: kun core-image-sato rakennettiin rinnakkain, CRACI:n SBOM sisälsi jokaisen komponentin, joka Yocton SBOM:ssa oli, 88 komponenttia lisää, kuten isäntäkoneen paketteja ja GitHub Actionsin, sekä paketti-URL:n jokaiselle niistä 653 Rust-crate-versiosta, jotka Yocto luettelee ilman sitä. Lähteet, jotka BitBake hakee Yocton lähdekoodipeilistä, tallennetaan CRACI-jobin SBOM:iin. Kuvaskannereiden ja Yocton omien työkalujen vertailu: miksi SBOM-skannerit eivät näe kaikkea, mitä Yocto-buildeissa on.

Se määrää, mihin buildi voi ottaa yhteyttä

BitBake voi rajoittaa hakijaansa asetuksella BB_ALLOWED_NETWORKS. CRACI lisää runnerille egress-käytännön, joka validoidaan ennen jobin alkua ja joka toimii fail closed -periaatteella, joten hakijan ohittava skripti tai työkalu ei silti tavoita palvelinta, jota et sallinut. CRACI hälyttää rikkomuksesta.

Se valvoo sitä, mitä toimitettiin

API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot. CRACI kokoaa haavoittuvuudet kaikista buildeista ja repositorioista ja arvioi valvotut SBOM:t jatkuvasti uudelleen.

CRACI ei asenna laitteeseen mitään eikä analysoi binäärejä. Jos tarvitset ajonaikaista suojausta tai valmiin kuvan skannauksen, se on Exeinin aluetta.

Inventaario siitä, mitä on otettu käyttöön missäkin

CRACI:n inventaarionäkymä näyttää tarkasti, mitkä ohjelmistoversiot on otettu käyttöön missäkin tuotteessa maailmanlaajuisesti. Kun uusi haavoittuvuus tulee tietoon, näet, missä tuotteissa haavoittuva versio on käytössä, eikä sinun tarvitse koota sitä julkaisutiedotteista ja taulukoista.

Milloin kumpaakin, ja milloin molempia

Haluat uhkien havaitsemisen ja estämisen kentällä oleviin laitteisiin. Exein Runtime. CRACI:ssa ei ole laitteessa toimivaa osaa.
Yocto-buildisi ajetaan pöydän alla olevalla palvelimella tai kestävät tunteja pienillä CI-runnereilla. CRACI ajaa ne GitHub Actionsista ja tallentaa jokaisesta tallenteen.
Toimitat Yocto-kuvan, jossa on meta-exein. Rakenna se CRACI:lla. Kerros buildataan kuten mikä tahansa muu, ja CRACI tallentaa, mitä buildi haki.
Sinun on näytettävä, mistä SBOM on peräisin. CRACI-runnerin tallenne sitoo SBOM:n tiettyyn buildiin. Exein Analyzerin skannaus lopputuloksesta on hyödyllinen toinen näkökulma.

CRA:ta varten

EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) edellyttää, että valmistajat dokumentoivat tuotteidensa komponentit SBOM mukaan lukien, käsittelevät haavoittuvuudet koko tukiajan ja syyskuusta 2026 alkaen ilmoittavat aktiivisesti hyödynnetyistä haavoittuvuuksista. Exein auttaa laitepuolella: laiteohjelmiston analyysi ennen julkaisua, CRA-näytön kohdistus ja ajonaikainen telemetria kentältä. CRACI auttaa buildin puolella: buildikohtainen näyttö siitä, mitä laiteohjelmistoon meni, alkuperätiedot, jatkuva valvonta ja SBOM-vienti CycloneDX- tai SPDX-muodossa. Se valmistelee CRA-ilmoitusten sisällön, jonka sinä lähetät keskitetyn raportointialustan kautta. CRACI automatisoi merkittävän osan ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, joita valmistajat tarvitsevat laajempaan CRA-vaatimustenmukaisuusprosessiinsa; se ei yksin tee tuotteesta vaatimustenmukaista. Lue, mitä CRA vaatii.

CRACI:n lisääminen Yocto-työnkulkuun

Pidä kerroksesi, myös meta-exein, ja Exein Analyzer -vaiheesi. Aseta runs-on: craci build-jobiin ja valitse runnerin koko. CRACI-dokumentaation Yocto-esimerkki rakentaa core-image-sato:n Yocton virallisella lähdekoodipeilillä ja siihen sopivalla BB_ALLOWED_NETWORKS-asetuksella. CRACI tukee toistaiseksi vain GitHub Actionsia; GitLab CI ja Jenkins ovat tiekartalla. Katso, miten CRACI toimii teollisessa IoT:ssä ja kuluttajaelektroniikassa.