CRACI vs Cybellum

La risposta breve

Cybellum è una piattaforma di product security per i produttori di dispositivi nei settori automotive, medicale e industriale. Analizza i binari del firmware, li unisce al codice sorgente e alle SBOM dei fornitori, confronta il risultato con i dati sulle vulnerabilità e supporta il lavoro di un PSIRT dopo il lancio: monitoraggio, triage, indagini ed evidenze normative. CRACI è un runner GitHub Actions che registra ciò che ogni build scarica durante l'esecuzione, produce la SBOM da quella registrazione e continua a monitorarla.

La prima domanda in ogni caso PSIRT è quali prodotti e versioni contengono il componente vulnerabile. Cybellum risponde analizzando ciò che Lei distribuisce, qualunque sia la sua provenienza. CRACI risponde partendo da una registrazione di ciò che le Sue build hanno effettivamente scaricato. Per il software che compila in GitHub Actions, CRACI copre l'inventario, il monitoraggio e il triage stesso. Per il firmware che riceve sotto forma di binari, Cybellum copre un terreno che CRACI non copre.

In sintesi

Che cosa fa bene Cybellum

Analisi del binario. I Cyber Digital Twins di Cybellum, secondo l'azienda, "possono essere estratti dai file binari di qualsiasi prodotto o componente". La piattaforma analizza i binari del firmware di ogni prodotto per rivelare "SBOM, cronologia delle versioni, licenze, architettura HW, configurazioni del sistema operativo e altro", e chiede solo come elemento in più: "Ha anche il codice sorgente?" Questo conta quando gran parte di un veicolo o di un dispositivo medico esegue codice di fornitori di cui non vede mai le build.

Un'unica SBOM da molte fonti. Cybellum combina "dati provenienti da scanner di binari, codice sorgente e fonti SBOM esterne in formato SPDX, CycloneDX o CSV di CPE", deduplica i pacchetti identici e consente ai team di correggere automaticamente, validare e approvare le SBOM di qualsiasi prodotto, versione o branch prima di condividerle in SPDX o CycloneDX.

Risultati oltre le CVE note. Il suo database di vulnerabilità combina feed pubblici e privati, EPSS e risultati di ricerca, e Cybellum aggiunge "motori integrati di rilevamento di malware e debolezze del codice". I team possono importare threat model, TARA, risultati di fuzzing e penetration test, quindi fare il triage con un assistente AI, il VM CoPilot.

Pensata per il lavoro del PSIRT. Il suo modulo di risposta agli incidenti consente a un team di "vedere esattamente quali prodotti o componenti sono interessati da una nuova vulnerabilità o normativa", gli offre "un ambiente di lavoro per creare e gestire indagini", apre ticket e condivide lo stato delle vulnerabilità "tramite report VEX/CSAF secondo necessità".

Evidenze normative. Cybellum gestisce le evidenze per "FDA PMA, ISO 21434, CRA e i Suoi framework di policy personalizzati", con requisiti già mappati da "oltre 50 standard, normative e best practice". Gira su cloud pubblici o nel Suo datacenter. LG Electronics ha acquisito una quota di maggioranza di Cybellum nel 2021, e Cybellum prosegue con il proprio marchio.

In che cosa CRACI è diverso

Cybellum parte dagli artefatti: l'immagine del firmware, l'albero dei sorgenti, la SBOM inviata da un fornitore. CRACI parte dalla build stessa, perché la build gira su CRACI.

Osservato, non dedotto

Lei cambia runs-on in craci e il job gira in una macchina virtuale isolata su un runner CRACI. Un proxy che riconosce i pacchetti registra ciò che il job scarica dalle sorgenti dei pacchetti, e i pacchetti ripristinati dalle cache CI vengono riportati nella registrazione. Ogni SBOM indica quanto è completa, per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. I team firmware possono eseguire Yocto su runner fino a 32 vCPU e 96 GB di RAM. In una build di confronto di core-image-sato, la SBOM di CRACI conteneva ogni componente dell'output SPDX di Yocto, 88 componenti in più come pacchetti dell'host e GitHub Actions, e un package URL per ciascuna delle 653 versioni di crate Rust che in Yocto ne sono prive.

Quali build e prodotti ha raggiunto una CVE

CRACI conserva ogni build passata con la sua SBOM, così quando arriva un advisory Lei vede quali build contenevano la dipendenza vulnerabile, diretta o transitiva, e per quanto tempo, entro il periodo di conservazione. La sua vista inventario mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale. CRACI rivaluta di continuo le SBOM monitorate, supporta VEX e consente ai team di sicurezza di esaminare i risultati e di assegnare ciascuno al team responsabile della correzione. Può aggiungere le SBOM dei fornitori, così i componenti acquistati vengono monitorati accanto alle Sue build.

Controllo durante la build

Una scansione dell'output non può cambiare ciò che la build ha potuto raggiungere. La policy di egress di CRACI sì: prevede la negazione o l'autorizzazione predefinita, viene convalidata prima dell'avvio del job, opera in modalità fail closed e invia un avviso in caso di violazione. I policy gate possono anche fermare una build che contiene una CVE specifica.

A che cosa rinuncia con CRACI

CRACI non analizza i binari, quindi non può dirLe che cosa c'è dentro un blob di un fornitore scaricato dalla Sua build, solo che la build lo ha scaricato e da dove. Non cerca zero-day, la scansione del codice sorgente alla ricerca di debolezze è fuori dal suo perimetro, e non offre verifiche guidate rispetto agli standard né esportazione di report. Oggi supporta solo GitHub Actions, con GitLab CI e Jenkins in roadmap, e funziona come runner gestiti su infrastruttura europea, con runner ospitati dal cliente in roadmap.

Quando usare l'uno o l'altro

• Gran parte del Suo firmware arriva dai fornitori sotto forma di binari. Cybellum. L'analisi del binario è il modo per vederci dentro.
• Compila il Suo software e le Sue immagini in GitHub Actions. CRACI esegue la build, ne registra gli input e monitora le vulnerabilità in ciò che ha registrato, così l'inventario del PSIRT proviene dalla build stessa.
• Le servono evidenze per le pratiche normative in ambito automotive o medicale. Cybellum dispone di modelli normativi per FDA PMA, ISO 21434 e il CRA dell'UE. CRACI esporta le SBOM in CycloneDX o SPDX, e la sua API restituisce SBOM, tracce di rete e provenance, per il Suo processo più ampio.
• Vuole limitare ciò che le build possono scaricare. CRACI. Questo controllo esiste solo dove gira la build.

Per il CRA

Il Cyber Resilience Act chiede ai fabbricanti di individuare e documentare i componenti dei loro prodotti, anche con una SBOM, di gestire le vulnerabilità per tutto il periodo di assistenza e, da settembre 2026, di segnalare le vulnerabilità attivamente sfruttate. Cybellum aiuta con modelli ed evidenze per il CRA su prodotti e fornitori. CRACI aiuta producendo per ogni build evidenze di ciò che è entrato nel software che compila Lei, con monitoraggio continuo ed esportazione delle SBOM in CycloneDX o SPDX, e invia le notifiche previste dal CRA per Suo conto. CRACI automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui i fabbricanti hanno bisogno per il loro più ampio processo di conformità al CRA; non rende conforme un prodotto da solo. Legga che cosa richiede il CRA.

Eseguire le Sue build su CRACI

Indirizzi il Suo job di build su runs-on: craci e lo stesso workflow continua a girare in GitHub Actions mentre CRACI lo registra. Per Yocto, l'esempio nella documentazione di CRACI mostra un workflow BitBake completo. Veda come funziona CRACI per l'IoT industriale e l'elettronica di consumo.

È nuovo nel ruolo? Legga che cosa fa un PSIRT e CRACI per i team PSIRT. Sta valutando più di due strumenti? Veda gli strumenti PSIRT a confronto e le alternative a Cybellum.