CRACI vs Cybeats SBOM Studio

La réponse courte

Cybeats SBOM Studio se présente comme « le système de référence des SBOM ». Il stocke les SBOM de vos produits et de vos fournisseurs, les enrichit de données sur les vulnérabilités et les licences, les surveille en continu et les partage avec les clients et les régulateurs. CRACI est un runner GitHub Actions qui enregistre les dépendances que chaque job a réellement récupérées et produit la SBOM à partir de cet enregistrement, avec un état de complétude.

Un système de référence n'est jamais plus exact que ce qu'on y fait entrer. SBOM Studio gère des SBOM générées par un autre outil. CRACI les produit à partir du build et les surveille : la CI, la SBOM et le suivi des vulnérabilités viennent donc d'un seul produit.

En un coup d'œil

Les points forts de Cybeats

• Un seul endroit gouverné pour toutes les SBOM. SBOM Studio est conçu pour les équipes de sécurité produit des secteurs ICS et OT, des dispositifs médicaux, des télécoms, de l'automobile et des services financiers. Il leur offre « une source de vérité unique et gouvernée pour chaque SBOM, dans tous vos produits et chez tous vos fournisseurs ».
• Une large prise en charge des formats. SPDX 2.2 à 3.0.1 et CycloneDX 1.2 à 1.7, en import comme en export. La plateforme gère aussi VEX, AIBOM, CBOM et HBOM.
• Un contrôle qualité à l'entrée. Le SBOM Quality Score valide les fichiers avant l'import, vérifie qu'ils respectent correctement le format de la norme et consigne les raisons pour lesquelles une SBOM est insuffisante.
• Enrichissement et surveillance. Chaque composant est comparé en continu aux données de veille sur les vulnérabilités, avec des alertes basées sur des politiques, des VEX pour indiquer quelles vulnérabilités affectent vos produits, et une analyse des licences OSS et COTS.
• Le partage. Un échange contrôlé de SBOM et de VEX avec les clients, y compris via la Transparency Exchange API. SBOM Consumer, un produit distinct, valide et surveille les SBOM que vous recevez de vos fournisseurs.

La collecte des SBOM des fournisseurs, l'analyse des licences et le partage hébergé sont autant de domaines où SBOM Studio en fait plus que CRACI aujourd'hui. Si le métier de votre équipe est de piloter un programme SBOM couvrant de nombreux produits et fournisseurs, il est conçu pour cela.

Ce qui distingue CRACI

Il produit la SBOM, à partir du build

SBOM Studio importe des SBOM. Pour la génération, Cybeats renvoie vers sa Marketplace, qui réunit des fournisseurs d'outils d'analyse de composition binaire et de génération de SBOM. La liste des composants du système de référence vient donc toujours d'un scanner, d'une forme ou d'une autre.

CRACI exécute le job. Vous remplacez runs-on par craci, et un proxy qui comprend les paquets enregistre le trafic vers les sources de paquets pendant le build : npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk et Git, ainsi que les presets de téléchargement. Les preuves de dépendances suivent les caches CI : un paquet restauré depuis un cache figure donc toujours dans l'enregistrement. La SBOM inclut toutes les dépendances transitives que le build a réellement utilisées.

Bien formée ne veut pas dire complète

Un score de qualité peut confirmer qu'une SBOM respecte la norme et contient les champs attendus. Il ne peut pas vous dire ce que le générateur n'a jamais vu. Les générateurs divergent structurellement, car chacun lit un ensemble de fichiers différent et les résout différemment, et un document bien formé ne dit rien sur le fait que la dépendance qu'il omet ait jamais été sous les yeux de l'outil. Le champ fournisseur de la NTIA en est un bon exemple : il est validé comme présent ou absent, et la plupart des générateurs n'ont aucune source pour le renseigner. CRACI ne peut pas être noté de cette manière, car il enregistre des builds et ne peut pas scanner un répertoire.

CRACI indique la complétude à partir de l'enregistrement lui-même, par job et par cache : Complete, Complete with connections, Incomplete, Unavailable ou Not recorded. Les lacunes de l'enregistrement sont connues, et non devinées.

Contrôle et provenance

Comme CRACI exécute le job, il applique une politique de trafic sortant : refus par défaut ou autorisation par défaut, avec 24 presets de sources logicielles intégrés et des sources personnalisées typées, validée avant le démarrage du job et bloquant tout en cas d'échec. L'API renvoie les SBOM, les traces réseau et la provenance.

Surveillance

CRACI réévalue en continu les SBOM surveillées et agrège les vulnérabilités de l'ensemble des builds et des dépôts.

Un inventaire de ce qui est déployé, et où

La vue d'inventaire de CRACI montre précisément quelles versions logicielles sont déployées dans quels produits, à l'échelle mondiale. Lorsqu'une nouvelle vulnérabilité apparaît, vous voyez quels produits exécutent la version concernée au lieu de le reconstituer à partir de notes de version et de tableurs.

Remplacer SBOM Studio par CRACI

Pour les équipes logicielles sur GitHub Actions, CRACI couvre ce qu'un système de référence des SBOM doit faire pour leurs propres produits : il produit la SBOM à chaque build, continue de réévaluer les SBOM surveillées à mesure que de nouvelles vulnérabilités sont publiées, agrège les résultats de l'ensemble des builds et des dépôts, et permet aux équipes sécurité de les trier et d'envoyer chacun à l'équipe chargée de la correction. Vous pouvez aussi ajouter les SBOM de vos fournisseurs, afin que les composants achetés soient surveillés aux côtés de vos propres builds. Il n'y a ni générateur distinct à exécuter ni étape d'import à maintenir.

Soyez lucide sur ce à quoi vous renoncez. SBOM Studio prend en charge l'analyse des licences OSS et COTS, AIBOM, CBOM et HBOM, note la qualité des SBOM à l'import, et partage les SBOM avec les clients via la Transparency Exchange API. CRACI applique une politique de licences sur les licences déclarées qu'il enregistre, mais ne propose rien du reste aujourd'hui. Si votre métier est de piloter un programme SBOM couvrant de nombreux produits, fournisseurs et clients, SBOM Studio est conçu pour cela.

Pour le Cyber Resilience Act

Cybeats traite directement du CRA. Il qualifie le règlement de « principal moteur de l'adoption des SBOM aujourd'hui » et affirme que SBOM Studio « produit des SBOM conformes et à jour » pour aider les fabricants à maintenir la transparence logicielle tout au long du cycle de vie du produit. Son guide des réglementations présente le calendrier de signalement de 24 heures, 72 heures et 14 jours.

Les obligations de signalement du CRA s'appliquent à partir du 11 septembre 2026, via la plateforme unique de signalement du CRA, et ses principales dispositions à partir du 11 décembre 2027. Une alerte précoce sous 24 heures suppose de savoir rapidement quelles releases contiennent un composant concerné, et de faire confiance à l'inventaire qui vous le dit. L'API de CRACI renvoie les SBOM, les traces réseau et la provenance, et les SBOM s'exportent en CycloneDX ou SPDX, vulnérabilités comprises.

CRACI automatise une part importante de la visibilité sur la chaîne d'approvisionnement logicielle et des preuves dont les entreprises ont besoin pour leur démarche plus large de conformité au CRA. Aucun des deux produits ne rend un fabricant conforme à lui seul. Voir ce qu'exige le CRA, la conformité au CRA avec CRACI et l'IoT industriel.

Vous comparez plus de deux outils ? Alternatives à Cybeats compare neuf options côte à côte.