CRACI vs Cybeats SBOM Studio

La risposta breve

Cybeats SBOM Studio si definisce "the SBOM system of record", il sistema di riferimento per le SBOM. Archivia le SBOM dei Suoi prodotti e fornitori, le arricchisce con informazioni su vulnerabilità e licenze, le monitora di continuo e le condivide con clienti e autorità di regolamentazione. CRACI è un runner GitHub Actions che registra le dipendenze effettivamente scaricate da ogni job e produce la SBOM da quella registrazione, con uno stato di completezza.

Un sistema di riferimento è accurato solo quanto ciò che vi entra. SBOM Studio gestisce SBOM generate da qualche altro strumento. CRACI le produce dalla build e le monitora, così la CI, la SBOM e il monitoraggio delle vulnerabilità provengono da un unico prodotto.

In sintesi

Che cosa fa bene Cybeats

• Un unico luogo governato per ogni SBOM. SBOM Studio è pensato per i team di product security in ambito ICS e OT, dispositivi medici, telecomunicazioni, automotive e servizi finanziari. Offre loro, nelle parole di Cybeats, "un'unica fonte di verità governata per ogni SBOM di tutti i Suoi prodotti e fornitori".
• Ampio supporto ai formati. SPDX da 2.2 a 3.0.1 e CycloneDX da 1.2 a 1.7, in importazione ed esportazione. La piattaforma gestisce anche VEX, AIBOM, CBOM e HBOM.
• Controllo qualità all'ingresso. Lo SBOM Quality Score valida i file prima dell'importazione, verifica che siano formattati correttamente secondo lo standard e registra perché una SBOM non è all'altezza.
• Arricchimento e monitoraggio. Ogni componente viene confrontato di continuo con la vulnerability intelligence, con avvisi basati su policy, VEX per comunicare quali vulnerabilità riguardano i Suoi prodotti, e analisi delle licenze OSS e COTS.
• Condivisione. Scambio controllato di SBOM e VEX con i clienti, anche tramite la Transparency Exchange API. SBOM Consumer, un prodotto separato, valida e monitora le SBOM dei fornitori che Lei riceve.

L'acquisizione delle SBOM dei fornitori, l'analisi delle licenze e la condivisione in hosting sono tutti ambiti in cui SBOM Studio oggi fa più di CRACI. Se il compito del Suo team è gestire un programma SBOM su molti prodotti e fornitori, SBOM Studio è pensato per questo.

In che cosa CRACI è diverso

Produce la SBOM, dalla build

SBOM Studio importa le SBOM. Per la generazione, Cybeats rimanda al suo Marketplace, che riunisce fornitori di strumenti di binary composition analysis e di generazione di SBOM. Quindi l'elenco dei componenti nel sistema di riferimento proviene comunque da uno scanner di qualche tipo.

CRACI esegue il job. Lei cambia runs-on in craci, e un proxy che riconosce i pacchetti registra il traffico verso le sorgenti dei pacchetti durante la build: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download. Le evidenze sulle dipendenze viaggiano con le cache CI, quindi un pacchetto ripristinato da una cache resta nella registrazione. La SBOM include tutte le dipendenze transitive effettivamente usate dalla build.

Ben formata non significa completa

Un punteggio di qualità può confermare che una SBOM segue lo standard e contiene i campi attesi. Non può dirLe ciò che il generatore non ha mai visto. I generatori divergono strutturalmente, perché ciascuno legge un insieme diverso di file e li risolve in modo diverso, e un documento ben formato non dice nulla sul fatto che la dipendenza omessa sia mai stata davanti allo strumento. Il campo supplier dell'NTIA ne è un buon esempio: viene validato come presente o assente, e la maggior parte dei generatori non ha una fonte per compilarlo. CRACI non può essere valutato in questo modo, perché registra le build e non può scansionare una directory.

CRACI indica la completezza a partire dalla registrazione stessa, per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Le lacune nella registrazione sono note, non ipotizzate.

Controllo e provenance

Poiché CRACI esegue il job, applica una policy di egress di rete: negazione o autorizzazione predefinita, con 24 preset integrati di sorgenti software e sorgenti personalizzate tipizzate, convalidata prima dell'avvio del job e in modalità fail closed. L'API restituisce SBOM, tracce di rete e provenance.

Monitoraggio

CRACI rivaluta di continuo le SBOM monitorate e aggrega le vulnerabilità di tutte le build e di tutti i repository.

Un inventario di che cosa è distribuito e dove

La vista inventario di CRACI mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale. Quando emerge una nuova vulnerabilità, Lei vede quali prodotti eseguono la versione interessata invece di ricostruirlo da note di rilascio e fogli di calcolo.

Sostituire SBOM Studio con CRACI

Per i team software su GitHub Actions, CRACI copre ciò che un sistema di riferimento per le SBOM deve fare per i loro prodotti: produce la SBOM in ogni build, continua a rivalutare le SBOM monitorate man mano che vengono pubblicate nuove vulnerabilità, aggrega i risultati di tutte le build e di tutti i repository e consente ai team di sicurezza di esaminarli e di assegnare ciascuno al team responsabile della correzione. Può aggiungere anche le SBOM dei fornitori, così i componenti acquistati vengono monitorati insieme alle Sue build. Non c'è un generatore separato da eseguire né un passaggio di importazione da mantenere.

Tenga ben presente a che cosa rinuncia. SBOM Studio gestisce l'analisi delle licenze OSS e COTS, AIBOM, CBOM e HBOM, valuta la qualità delle SBOM all'importazione e condivide le SBOM con i clienti tramite la Transparency Exchange API. CRACI applica la policy sulle licenze alle licenze dichiarate che registra, ma oggi non offre nient'altro di tutto questo. Se il Suo compito è gestire un programma SBOM su molti prodotti, fornitori e clienti, SBOM Studio è pensato per questo.

Per il Cyber Resilience Act

Cybeats affronta direttamente il CRA. Definisce il regolamento "il principale motore dell'adozione delle SBOM oggi" e afferma che SBOM Studio "produce SBOM conformi e aggiornate" per aiutare i fabbricanti a mantenere la trasparenza del software lungo il ciclo di vita del prodotto. La sua guida alle normative illustra la sequenza di segnalazione di 24 ore, 72 ore e 14 giorni.

Gli obblighi di segnalazione del CRA si applicano dall'11 settembre 2026, tramite la piattaforma unica di segnalazione del CRA, e le sue disposizioni principali dall'11 dicembre 2027. Un preallarme entro 24 ore dipende dal sapere rapidamente quali release contengono un componente interessato, e dal potersi fidare dell'inventario che lo indica. L'API di CRACI restituisce SBOM, tracce di rete e provenance, e le SBOM si esportano in CycloneDX o SPDX, vulnerabilità comprese.

CRACI automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno per il loro più ampio processo di conformità al CRA. Nessuno dei due prodotti rende conforme un fabbricante da solo. Veda che cosa richiede il CRA, la conformità al CRA con CRACI e l'IoT industriale.

Sta valutando più di due strumenti? Alternative a Cybeats mette a confronto nove opzioni.