CRACI vs. Medcrypt

Lyhyt vastaus

Medcrypt on lääkinnällisten laitteiden kyberturvallisuuteen erikoistunut yritys. Sen alusta, Medcrypt Security Intelligence (MSI), yhdistää ohjelmiston ja entisistä FDA-arvioijista koostuvan tiimin laitteen kyberturvallisuushakemuksen valmisteluun, auditointiin ja ylläpitoon. Sen etusivun lupaus on "Get your cybersecurity submission approved. The first time." Helm, sen SBOM- ja haavoittuvuuksien hallinnan tuote, on osa MSI:tä, ja sitä myydään myös erikseen.

CRACI on GitHub Actions -runneri, joka tallentaa riippuvuudet, jotka kukin jobi todella haki, ja tuottaa tallenteesta SBOM:n kattavuustiloineen. Sen jälkeen se arvioi valvotut SBOM:t uudelleen, kun tietoturvatiedotteita ilmestyy, ja tietoturvatiimit luokittelevat ja priorisoivat löydökset (triage) ja ohjaavat ne tiimille, joka omistaa korjauksen. CRACI ei valmistele eikä arvioi FDA-hakemuksia. Itse buildaamasi ohjelmiston SBOM:n ja markkinoille tulon jälkeisen haavoittuvuuksien seurannan osalta CRACI korvaa Helmin, ja se alkaa itse buildista.

Yhdellä silmäyksellä

Missä Medcrypt on hyvä

• FDA-osaamista omassa tiimissä. MSI:n tarkistukset, auditoinnit ja mallipohjat on rakentanut tiimi, johon Medcryptin sanoin kuuluu "former FDA reviewers and authors of the guidance itself." MSI-paketti sisältää 15 neuvontatuntia vuodessa heidän kanssaan, ja alusta skannaa hakemuspaketit sen varalta, mihin arvioija puuttuisi. Ensimmäiseen 510(k)- tai PMA-hakemukseen se on apua, jota CRACI ei tarjoa.
• Koko hakemus, ei vain SBOM. MSI kattaa uhkamallinnuksen, kyberturvallisuuden riskinarvioinnin, dokumenttien generoinnin (merkitty betaksi), vastaukset puutekirjeisiin sekä tunkeutumistestauksen lisäpalveluna tarkastettujen kumppanien kautta.
• Markkinoille tulon jälkeinen työ hyväksynnän jälkeen. MSI sisältää jatkuvan haavoittuvuuksien valvonnan ja MedISAO-jäsenyyden, joka Medcryptin mukaan tuo laitekohtaiset haavoittuvuushälytykset, koordinoidun haavoittuvuuksien julkistamisen ohjelman ja ohjeistuspäivitykset. Sen alustasivu sanoo sen suoraan: "Section 524B made post-market cybersecurity a legal duty."
• Helm on tehty laitevalmistajille. Helm järjestää löydökset EPSS-, CISA KEV-, ExploitDB- ja Metasploit-tietojen avulla, pisteyttää haavoittuvuuksia uudelleen massana kunkin laitteen kontekstiin sopiviksi, siirtää korjaukset tuoteversioiden välillä ja käyttää aliassääntöjä komponenttien yhdistämiseen NVD-merkintöihin. Se vie CycloneDX- ja SPDX-SBOM:t, VEX- ja VDR-raportit sekä Medcrypt FDA SBOM -muodon.
• Vakiintunut toimittaja omalla alallaan. Medcrypt perustettiin vuonna 2016, se kävi Y Combinatorin läpi ja ilmoittaa saaneensa $36.4M rahoitusta sijoittajilta, joihin kuuluvat Johnson & Johnson Innovation, Intuitive Ventures ja Dexcom Ventures. Sen mukaan yli 140 lääkintälaitevalmistajaa luottaa siihen, mukaan lukien 13 alan 50 suurimmasta.
• Julkinen hinnoittelu. MSI maksaa $35,000 tuotelinjaa kohden vuodessa rajattomalla käyttäjämäärällä, laskutetaan vuosittain.

Missä CRACI on erilainen

Se tuottaa SBOM:n buildista

Helm käsittelee SBOM:ja, jotka annat sille. Lataat tai luot CycloneDX- tai SPDX-tiedostoja, tai Helmin GitHub Action lataa SBOM-tiedoston työnkulustasi (dokumentaation mukaan se tukee tällä hetkellä CycloneDX JSONia). Tiimeille, joilla ei ole SBOM:ia, Helmin dokumentaatio ohjaa avoimen lähdekoodin generaattoreihin, käsin tekemiseen, asiantuntijapalveluihin tai pyynnöstä saatavaan Medcryptin generointityökaluun. Komponenttiluettelo, jota Helm valvoo, tulee siis edelleen skannerista tai käsin tehdystä tiedostosta.

CRACI ajaa jobin. Vaihdat runs-on-arvoksi craci, ja pakettitietoinen välityspalvelin tallentaa buildin aikana liikenteen pakettilähteisiin: npm-, PyPI-, RubyGems-, Composer-, Cargo-, Go-, Nix-, OCI-, apt-, apk- ja Git-lähteet sekä latausesiasetukset. Riippuvuusnäyttö kulkee CI-välimuistien mukana, joten välimuistista palautettu paketti on yhä tallenteessa. Jokainen SBOM kertoo, kuinka kattava se on, jobeittain ja välimuisteittain: Complete, Complete with connections, Incomplete, Unavailable tai Not recorded.

Sulautetun Linuxin buildit

Jos laitteesi ajaa Yocto-kuvaa, vertailu on suora. Helmin dokumentaatio näyttää, miten Yocton oma SPDX-tuloste otetaan käyttöön ja ladataan. CRACI ajaa BitBakea runnereilla, joissa on enintään 32 vCPU:ta ja 96 Gt RAM-muistia. core-image-sato-kuvan rinnakkaisessa buildissa CRACI:n SBOM sisälsi jokaisen Yocton oman SPDX-tulosteen komponentin, 88 lisää, kuten isäntäpaketit ja GitHub Actionsin, sekä paketti-URL:n jokaiselle 653 Rust-crate-versiolle, jotka Yocto listaa ilman sitä.

Markkinoille tulon jälkeiset vastaukset buildihistoriasta

Kun uusi haavoittuvuus ilmenee, markkinoille tulon jälkeinen kysymys on, mitkä toimitetut versiot sisältävät sen ja kuinka pitkään. CRACI säilyttää jokaisen aiemman buildin ja sen SBOM:n säilytysajan puitteissa ja näyttää, mitkä buildit sisälsivät haavoittuvan riippuvuuden, suoran tai transitiivisen, joten tiedät, kuinka pitkään olit altistunut. Sen inventaarionäkymä näyttää, mitkä ohjelmistoversiot ovat käytössä missäkin tuotteessa. Käytäntöportit voivat pysäyttää myöhemmän buildin, joka sisältää yhä tietyn CVE:n.

Hallinta siitä, mihin buildi pääsee

Koska CRACI on runneri, se panee täytäntöön verkon lähtevän liikenteen käytännön (egress policy): oletuksena estävä tai oletuksena salliva, 24 valmista ohjelmistolähteiden esiasetusta ja tyypitetyt omat lähteet, validoitu ennen jobin alkua, ja virhetilanteessa liikenne estetään. Se hälyttää käytäntörikkomuksista. Medcrypt ei aja buildiasi, joten tämä on sen toiminta-alueen ulkopuolella.

FDA:n Section 524B -säännöksen mukaan

Section 524B -säännöksen mukaan kyberlaitteen hakemukseen on sisällyttävä SBOM "including commercial, open-source, and off-the-shelf software components" sekä suunnitelma markkinoille tulon jälkeisten haavoittuvuuksien valvontaan ja käsittelyyn. Molemmat tuotteet liittyvät näihin vaatimuksiin eri tavoin.

Medcrypt työskentelee itse hakemuksen parissa: uhkamalli, riskinarviointi, dokumentit, auditointi sen suhteen, mihin FDA:n arvioijat puuttuvat, ja vastaus, jos FDA lähettää puutekirjeen. Sen hinnoittelusivu toteaa: "FDA is what the platform covers today."

CRACI toimittaa näyttöä, joka syntyy buildista: SBOM:n siitä, mitä buildi todella käytti, vietynä CycloneDX- tai SPDX-muodossa, sekä tuon SBOM:n jatkuvan valvonnan julkaisun jälkeen, triagen ja ohjauksen tiimille, joka omistaa korjauksen. CRACI ei kirjoita, arvioi eikä jätä FDA-dokumentaatiota, eikä se tee laitteesta vaatimustenmukaista. Suunnitelma ja hakemus jäävät valmistajan työksi. Miten tämä sopii tuoteturvallisuustiimin työhön, kerrotaan sivuilla mitä PSIRT tekee ja CRACI PSIRT-tiimeille.

Milloin valita kumpi

• Valmistelet ensimmäistä hakemusta tai vastaat puutekirjeeseen. Medcrypt. Entiset FDA-arvioijat, hakemusauditoinnit ja uhkamallinnus ovat sitä, mihin se on tehty, eikä CRACI tee mitään niistä.
• Tarvitset SBOM- ja haavoittuvuuksien hallintaa GitHub Actionsissa buildaamallesi ohjelmistolle. CRACI. Se tuottaa SBOM:n jokaisessa buildissa ja valvoo sitä, joten erillistä generaattoria ei tarvitse ajaa eikä latausvaihetta ylläpitää.
• Tarvitset salausta, avaintenhallintaa tai laitteen identiteetin kentällä. Medcryptin Guardian kattaa laitepuolen tietoturvan. CRACI toimii buildin, ei laitteen, parissa.
• Buildisi ajetaan GitLab CI:ssä tai Jenkinsissä. Helm tarjoaa API:n, GitHub Actionin ja Azure DevOps -laajennuksen SBOM:ien lataamiseen. CRACI tukee toistaiseksi GitHub Actionsia, ja GitLab CI ja Jenkins ovat tiekartalla.

Helmin korvaaminen CRACI:lla

GitHub Actionsissa buildatun laiteohjelmiston osalta CRACI kattaa sen, mitä varten Helm on olemassa: se tuottaa SBOM:n jokaisessa buildissa, arvioi valvotut SBOM:t uudelleen, kun uusia haavoittuvuuksia julkaistaan, kokoaa löydökset buildien ja repositorioiden yli, tukee VEX:iä ja antaa tietoturvatiimien luokitella löydökset ja ohjata kunkin tiimille, joka omistaa korjauksen. Voit lisätä myös toimittajien SBOM:ja, joten ostettuja komponentteja valvotaan omien buildiesi rinnalla.

Ole selvillä siitä, mistä luovut. Helm järjestää löydökset hyödyntämistiedon, kuten EPSS:n ja CISA KEV:n, avulla, tarjoaa tekoälyohjeistusta lieventämiseen, yhdistää komponentit aliassäännöillä, seuraa tuen päättymistietoja ja vie VDR-raportit sekä Medcrypt FDA SBOM -muodon. Eikä millekään MSI:n hakemustyölle, neuvontatunneille tai MedISAO-jäsenyydelle ole vastinetta CRACI:ssa. Jos päätarpeesi on saada hakemus FDA:n arvioinnin läpi, Medcrypt on tehty siihen.

Vertailetko lisää työkaluja tuoteturvallisuustiimeille? Katso PSIRT-työkalujen vertailu.