CRACI vs. Timesys Vigiles

Lyhyt vastaus

Vigiles on Timesysin SBOM- ja haavoittuvuuksien hallinnan tuote. Lynx Software Technologies osti Timesysin joulukuussa 2023, ja Lynx myy tuotetta nyt nimellä Lynx Vigiles. Se on tehty sulautetulle Linuxille: Yocto-kerros meta-timesys kerää metatiedot levykuvasi paketeista ja lataa ne, ja Vigiles vertaa niitä kuratoituun CVE-tietokantaan, seuraa sitten triage-päätöksiä ja vie SBOM-, VEX- ja haavoittuvuusraportteja.

CRACI on GitHub Actions -runneri. BitBake-buildisi ajetaan sillä, ja ajon aikana CRACI tallentaa jokaisen paketin ja lähteen, jonka build haki, rajaa, mihin build voi muodostaa yhteyden, ja seuraa SBOM:n haavoittuvuuksia jatkuvasti. Molemmat tuotteet antavat Yocto-levykuvalle SBOM:n ja CVE-seurannan; ne eroavat siinä, mistä SBOM tulee. Vigiles lukee sen, mitä BitBaken metatietojen mukaan levykuvaan menee. CRACI tallentaa sen, mitä build oikeasti haki.

Yhdellä silmäyksellä

Missä Vigiles on hyvä

Tehty sulautetulle Linuxille. Vigiles integroituu Yoctoon meta-timesysin kautta sekä Buildrootiin, OpenWrt:hen, Timesys Factoryyn ja FreeRTOS:iin, ja tuo SBOM:eja SPDX 2.2–3.0.1-, CycloneDX 1.1–1.7- ja CSV-muodossa kaikelle muulle. Lynxin mukaan vuonna 2019 julkaistu Vigiles on käsitellyt yli 90 000 SBOM:ia.

Vähemmän CVE-kohinaa. Vigiles vertaa komponentteja kuratoituun CVE-tietokantaan eikä raakaan julkiseen dataan, mikä Lynxin mukaan poistaa suurimman osan julkisen datan tuottamista vääristä positiivisista. Sen skanneri voi ladata Linux-kernelisi ja U-Bootin täydet .config-tiedostot, jolloin CVE:t ominaisuuksissa, joita et buildaa, suodatetaan pois. Sillä on merkitystä sulautetussa Linuxissa: meta-timesysin README:n esimerkkiraportissa 62 korjaamattomasta CVE:stä 60 on kernelissä.

Päätökset, jotka säilyvät julkaisujen yli. Tiimit kirjaavat, onko kukin CVE affected, fixed, deferred vai not exploitable, ja Vigiles säilyttää päätökset julkaisukohtaisesti, korostaa CISA:n Known Exploited Vulnerabilities -luettelon haavoittuvuudet ja vie SBOM:t CycloneDX-, SPDX- ja SPDX Lite -muodossa sekä VEX- ja haavoittuvuusraportit. Sen raportit näyttävät myös CVE:t, jotka buildisi paikkaukset jo korjaavat, ja meta-timesys-security-kerroksessa saatavilla olevat paikkaukset. Lynx mainitsee EU:n CRA:n ja EO 14028:n standardeina, joiden täyttämisessä se auttaa, ja Vigiles liittyy Jiraan ja Oktaan.

Missä CRACI eroaa

Vigilesin SBOM on vain niin kattava kuin BitBaken näkymä levykuvaan. Meta-timesysin README kuvaa sen keräävän metatietoja asennettavista paketeista, ja paketit, jotka on buildattu BitBaken ulkopuolella tai joita BitBake buildaa mutta jotka puuttuvat juuritiedostojärjestelmän manifestista, on listattava käsin. CRACI ei lue metatietoja. Se on kone, jolla build ajetaan.

Mitä Yocton oma SBOM jättää pois

Emme ole verranneet Vigilesin SBOM:ia CRACI:n SBOM:iin. Olemme verranneet CRACI:n SBOM:ia Yocton sisäänrakennettuun SPDX-SBOM:iin, joka sekin generoidaan BitBaken metatiedoista. Rinnakkaisessa core-image-sato-buildissa 32 vCPU:n ARM64-runnerilla CRACI:n SBOM:ssa oli jokainen Yocton SBOM:n komponentti ja lisäksi 88, jotka siitä puuttuivat: build-koneen isäntäpaketteja, kuten Ubuntun cpio, GitHub-lähteitä ja GitHub Action actions/upload-artifact sekä muita buildin aikana haettuja lähteitä ja työkaluja. Yhtäkään niistä ei asenneta levykuvaan, ja kaikki ne ovat buildin kriittisellä polulla.

Molemmat SBOM:t listasivat samat 653 Rust-crate-versiota, mutta Yocton SBOM listaa ne vain tiedostonimen ja latausosoitteen mukaan, ilman package URL:ia. Haavoittuvuuksien täsmäytys perustuu package URL:eihin, joten näitä crateja ei voi seurata Yocton SBOM:n avulla. CRACI tallentaa jokaisen niistä pkg:cargo-package URL:lla. Miten levykuvaskannerit, binäärianalyysi ja Yocton cve-check vertautuvat, kerrotaan sivulla miksi SBOM-skannerit eivät näe, mitä Yocto-buildeissa on.

Hallinta siihen, mihin build pääsee

Runnerin egress-käytäntö päättää, mihin isäntiin jobi saa muodostaa yhteyden. Se validoidaan ennen jobin alkua, toimii fail closed -periaatteella ja lähettää hälytyksen rikkomuksesta. Yoctossa se lisää toisen kerroksen BitBaken omalle BB_ALLOWED_NETWORKS-asetukselle, ja oletuksena estävä käytäntö estää kaapattua build-työkalua lähettämästä salaisuuksia isäntään, jota build ei tarvitse.

Alkuperätiedot ja seuranta samasta kirjauksesta

API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot. CRACI ei allekirjoita alkuperätietoja. CRACI kokoaa haavoittuvuudet buildien ja repojen yli, arvioi seurattuja SBOM:eja jatkuvasti uudelleen sitä mukaa kuin tietoturvatiedotteita ilmestyy, antaa tietoturvatiimien tehdä löydöksille triagen ja ohjata ne korjauksesta vastaavalle tiimille, ja näyttää, missä aiemmissa buildeissa oli haavoittuva riippuvuus, joten tiedät, minkä ajanjakson olit altistuneena. CRACI tukee VEX:iä, ja se valmistelee CRA:n mukaisten haavoittuvuusilmoitusten sisällön, jonka sinä lähetät.

Itse build, isommilla runnereilla

Vigiles ei aja buildiasi; CRACI ajaa. Yocto-buildit ajetaan runnereilla, joissa on enintään 32 vCPU:ta ja 96 Gt RAM-muistia, ja ne laskutetaan sekunneittain hintaan $0.002 vCPU-minuutilta ($0.004 oletuksena käytettävällä 2 vCPU:n runnerilla). Samassa core-image-sato-vertailussa build ilman Yocton SBOM-generointia vei 43 % vähemmän aikaa kuin build, jossa se oli käytössä.

Vigilesin korvaaminen CRACI:lla

GitHub Actionsissa buildatuille Yocto-levykuville CRACI kattaa sen, mitä varten Vigiles ostetaan: SBOM:n jokaisesta buildista, CVE-seurannan julkaisun jälkeen, triage-päätökset ja VEX:n. Lisäksi se antaa sen, mitä metatietopohjainen SBOM ei voi antaa: buildin käyttämät isäntäkoneen paketit, GitHub-lähteet ja actionit sekä egress-käytännön ajon aikana.

Ole selvillä siitä, mistä luovut. Vigilesin kuratoitu CVE-data sekä kernelin ja U-Bootin konfiguraatiosuodattimet vähentävät CVE-kohinaa tavalla, johon CRACI ei pysty. Vigiles raportoi, mitkä CVE:t buildisi paikkaukset jo korjaavat, mitä CRACI ei tallenna; Yocton oma SPDX sisältää myös nämä reseptin metatiedot, joten pidä create-spdx päällä, jos luotat niihin. Vigiles kattaa myös Buildrootin, OpenWrt:n ja FreeRTOS:n, toimii missä tahansa CI:ssä ja tuo SBOM:eja monessa muodossa. CRACI tukee nyt vain GitHub Actionsia, ja GitLab CI ja Jenkins ovat tiekartalla, joten Jenkins- tai GitLab-putket pitäisi ensin siirtää GitHub Actionsiin.

CRA:ta varten

EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) edellyttää, että valmistajat dokumentoivat tuotteidensa komponentit, myös SBOM:n, ja käsittelevät haavoittuvuudet niin kauan kuin tuotetta tuetaan, ja raportointivelvollisuudet alkavat syyskuussa 2026. Vigiles auttaa säilyttämällä SBOM:t, CVE-päätökset ja raportit julkaisukohtaisesti. CRACI tuottaa buildikohtaisen näytön siitä, mitä laiteohjelmistoon meni, sekä alkuperätiedot, jatkuvan seurannan ja SBOM-viennin CycloneDX- tai SPDX-muodossa. Se automatisoi merkittävän osan siitä ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota valmistaja tarvitsee laajempaan CRA-prosessiinsa; kumpikaan työkalu ei yksinään tee tuotteesta vaatimustenmukaista. Lue mitä CRA vaatii.

Yocto-buildin siirtäminen CRACI:lle

Aseta BitBake-jobille runs-on: craci ja valitse runnerin koko; työnkulku toimii edelleen GitHub Actionsissa. CRACI:n dokumentaation Yocto-esimerkki buildaa core-image-sato-levykuvan suurimmalla koolla. Katso, miten CRACI toimii teollisessa IoT:ssä ja kuluttajaelektroniikassa.