CRACI vs Exein

La risposta breve

Exein realizza prodotti di sicurezza per dispositivi embedded e connessi. Exein Runtime sorveglia e blocca le minacce sul dispositivo stesso, ed Exein Analyzer scansiona il firmware alla ricerca di vulnerabilità prima della release. Il layer Yocto di Exein, meta-exein, inserisce l'agente runtime nella Sua immagine. CRACI è un runner GitHub Actions: la Sua build Yocto gira su di esso, e CRACI registra ciò che la build ha scaricato e limita dove può connettersi. Exein lavora sul dispositivo e sul firmware; CRACI lavora sulla build. La maggior parte dei team che ha bisogno di entrambi userà entrambi.

In sintesi

Che cos'è l'integrazione Yocto di Exein

I due prodotti si confondono facilmente perché entrambi citano Yocto, quindi vale la pena essere precisi. meta-exein è un layer Yocto open source che "contains Pulsar and kernel recipes to add the Pulsar security framework to an image." Lei aggiunge il layer a bblayers.conf, accoda pulsar a IMAGE_INSTALL e abilita BTF, e la Sua immagine viene distribuita con Pulsar, lo strumento di sicurezza a runtime di Exein basato su eBPF. Il layer è testato sulle release Yocto da Kirkstone in poi ed è diventato un layer ufficiale Yocto Project Compatible nel 2024. Exein è entrata nello Yocto Project come Platinum Member nel 2023.

In altre parole, il layer di Exein cambia ciò che gira sul dispositivo. Non esegue la Sua build né registra ciò che la build ha scaricato. Exein afferma inoltre che Exein Analyzer è "natively integrated into Yocto, Buildroot, and your CI/CD pipeline" così da scansionare ogni nuova build, il che significa analizzare l'output della build all'interno della Sua pipeline.

Che cosa fa bene Exein

Protezione a runtime sul dispositivo. Exein Runtime è scritto in Rust e usa eBPF per monitorare e bloccare i comportamenti malevoli a livello di kernel, "the moment it tries to run." Su tutta una flotta traccia gli incidenti e genera report forensi e di conformità dalla telemetria a runtime. Exein pubblica inoltre come open source Pulsar, "a modular and blazing fast runtime security tool for the IoT, powered by eBPF".

Analisi del firmware prima della release. Exein Analyzer ispeziona direttamente il firmware finale, oppure acquisisce la Sua SBOM quando il binario non è disponibile. Exein afferma di coprire Linux, RTOS, Docker, UEFI, Android e altro, e usa un punteggio di raggiungibilità e un filtro basato su LLM per mettere al primo posto le CVE sfruttabili.

Remediation e mappatura sul CRA. Exein descrive una remediation guidata dall'AI che gira all'interno delle pipeline Yocto e CI/CD, e mappa i risultati sui requisiti del Cyber Resilience Act.

In che cosa CRACI è diverso

Esegue la build

Le build Yocto sono lunghe e pesanti. CRACI esegue BitBake dal Suo workflow GitHub Actions su runner fino a 32 vCPU e 96 GB di RAM, impostati con cracicorp/setup@v1 e size: "32". I job girano in macchine virtuali isolate, e le esecuzioni continuano a comparire in GitHub.

Registra ciò che la build ha scaricato

Durante l'esecuzione di un job, CRACI osserva il traffico verso gli host di pacchetti e sorgenti e lo conserva come evidenza della build, con uno stato di completezza per job e per cache. Per Yocto si tratta di un resoconto indipendente di ciò che è arrivato dalla rete, compreso ciò che la SBOM SPDX della classe create-spdx di Yocto tralascia: in una build affiancata di core-image-sato, la SBOM di CRACI conteneva ogni componente di quella di Yocto, 88 componenti in più come pacchetti dell'host e GitHub Actions, e un package URL per ciascuna delle 653 versioni di crate Rust che Yocto elenca senza URL. I sorgenti che BitBake scarica dal mirror dei sorgenti Yocto vengono registrati nella SBOM del job CRACI.

Controlla dove la build può connettersi

BitBake può limitare il proprio fetcher con BB_ALLOWED_NETWORKS. CRACI aggiunge una policy di egress sul runner, validata prima dell'avvio del job e in modalità fail closed, così uno script o uno strumento che aggira il fetcher non può comunque raggiungere un host che Lei non ha autorizzato. CRACI La avvisa in caso di violazione.

Sorveglia ciò che è stato distribuito

L'API restituisce SBOM, tracce di rete e provenance. CRACI aggrega le vulnerabilità tra build e repository e continua a rivalutare le SBOM monitorate.

CRACI non installa nulla sul dispositivo e non analizza i binari. Se Le servono protezione a runtime o la scansione di un'immagine finita, quello è il terreno di Exein.

Un inventario di ciò che è distribuito e dove

La vista inventario di CRACI mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale. Quando arriva una nuova vulnerabilità, Lei può vedere quali prodotti eseguono la versione interessata, invece di ricostruirlo da note di rilascio e fogli di calcolo.

Quando usare l'uno, l'altro o entrambi

• Vuole rilevare e bloccare le minacce sui dispositivi sul campo. Exein Runtime. CRACI non ha alcun componente sul dispositivo.
• Le Sue build Yocto girano su un server sotto una scrivania, o richiedono ore su piccoli runner CI. CRACI le esegue da GitHub Actions e conserva una registrazione di ciascuna.
• Distribuisce un'immagine Yocto con meta-exein. La compili su CRACI. Il layer si compila come qualsiasi altro, e CRACI registra ciò che la build ha scaricato.
• Deve dimostrare da dove proviene la SBOM. La registrazione del runner di CRACI lega la SBOM a una build specifica. La scansione dell'output di Exein Analyzer è una seconda prospettiva utile.

Per il CRA

Il Cyber Resilience Act chiede ai fabbricanti di documentare i componenti dei loro prodotti, anche con una SBOM, di gestire le vulnerabilità per tutto il periodo di assistenza e, da settembre 2026, di segnalare le vulnerabilità attivamente sfruttate. Exein aiuta sul lato del dispositivo, con l'analisi del firmware prima della release, la mappatura delle evidenze CRA e la telemetria a runtime dal campo. CRACI aiuta sul lato della build, con evidenze per ogni build di ciò che è entrato nel firmware, provenance, monitoraggio continuo ed esportazione delle SBOM in CycloneDX o SPDX. CRACI automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui i fabbricanti hanno bisogno per il loro più ampio processo di conformità al CRA; non rende conforme un prodotto da solo. Legga che cosa richiede il CRA.

Aggiungere CRACI a un workflow Yocto

Mantenga i Suoi layer, compreso meta-exein, e il Suo step Exein Analyzer. Imposti runs-on: craci sul job di build e scelga una dimensione del runner. L'esempio Yocto nella documentazione di CRACI compila core-image-sato con il mirror ufficiale dei sorgenti Yocto e una corrispondente impostazione di BB_ALLOWED_NETWORKS. Oggi CRACI supporta solo GitHub Actions, con GitLab CI e Jenkins in roadmap. Veda come funziona CRACI per l'IoT industriale e l'elettronica di consumo.