CRACI vs Finite State

La risposta breve

Finite State è una piattaforma di product security per dispositivi connessi. Analizza firmware, binari, codice sorgente e SBOM dei fornitori, dà priorità alle vulnerabilità in base alla raggiungibilità e trasforma i risultati in evidenze per normative come il CRA. CRACI è un runner GitHub Actions che registra ciò che ogni build scarica durante l'esecuzione, produce la SBOM da quella registrazione e controlla dove la build può connettersi. Finite State analizza ciò che Lei distribuisce, qualunque sia la sua provenienza; CRACI registra ciò che ha fatto la Sua build. Sono in gran parte complementari.

In sintesi

Che cosa fa bene Finite State

Copertura di binari e firmware. Finite State produce SBOM e un inventario software su firmware, binari e codice sorgente, "with support for 50+ binary instruction set architectures." Per un dispositivo che esegue codice di molti vendor su chip insoliti, questa ampiezza è il punto centrale.

Un'unica registrazione tra i fornitori. Riunisce firmware, binari, codice sorgente, SBOM dei fornitori e risultati di terze parti in un'unica piattaforma, il che aiuta quando deve riconciliare ciò che dichiara un fornitore con ciò che c'è realmente nel prodotto.

Meno rumore. Finite State ordina i risultati in base a raggiungibilità, intelligence sugli exploit e contesto del prodotto. Riferisce che dal 2024 il 40,5% dei risultati analizzati per la raggiungibilità è stato confermato come non raggiungibile. Registra le decisioni VEX con impatto sul prodotto e stato di sfruttabilità.

Evidenze di conformità. Il suo workflow di conformità copre la mappatura dei controlli del CRA dell'UE e il mantenimento delle evidenze, e genera report pronti per l'audit con artefatti SBOM e VEX. Affronta anche framework come le linee guida FDA, UN R155 e IEC 62443.

Integrazioni CI. Finite State integra controlli in GitHub Actions, GitLab CI e Jenkins. La sua action Binary Scan carica un binario compilato durante la CI sulla piattaforma Finite State per una scansione rapida o completa.

In che cosa CRACI è diverso

Finite State parte dagli artefatti: il binario finito, l'albero dei sorgenti, la SBOM inviata da un fornitore. CRACI parte dalla build stessa, perché la build gira su CRACI.

Osservato, non dedotto

Lei cambia runs-on in craci e il job gira in una macchina virtuale isolata su un runner CRACI. Un proxy che riconosce i pacchetti registra ciò che il job scarica dalle sorgenti dei pacchetti, e i pacchetti ripristinati dalle cache CI vengono riportati nella registrazione. Ogni SBOM indica quanto è completa, per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. I team firmware possono eseguire Yocto su runner fino a 32 vCPU e 96 GB di RAM. I sorgenti che BitBake scarica dal mirror dei sorgenti Yocto vengono registrati nella SBOM del job CRACI.

Controllo durante la build

Una scansione dell'output non può cambiare ciò che la build ha potuto raggiungere. La policy di egress di CRACI sì: è a negazione o autorizzazione predefinita, validata prima dell'avvio del job, opera in modalità fail closed e invia un avviso in caso di violazione.

Provenance e monitoraggio

L'API restituisce SBOM, tracce di rete e provenance. CRACI aggrega le vulnerabilità tra build e repository e continua a rivalutare le SBOM monitorate man mano che compaiono nuovi advisory.

CRACI non analizza i binari e non esegue analisi di raggiungibilità. La sua registrazione copre le build che girano su di esso, e Lei può aggiungere le SBOM fornite dai Suoi vendor. Per il firmware dei fornitori che riceve come binario senza SBOM, Finite State copre un terreno che CRACI non copre.

Un inventario di ciò che è distribuito e dove

La vista inventario di CRACI mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale. Quando arriva una nuova vulnerabilità, Lei può vedere quali prodotti eseguono la versione interessata, invece di ricostruirlo da note di rilascio e fogli di calcolo.

Quando usare l'uno, l'altro o entrambi

• Gran parte del Suo firmware arriva dai fornitori. Finite State. L'analisi binaria e l'acquisizione delle SBOM dei fornitori sono pensate per questo.
• Compila le Sue immagini e app in GitHub Actions. CRACI registra ogni build. Carichi lo stesso artefatto su Finite State e avrà la registrazione della build e l'analisi binaria fianco a fianco.
• Le serve un sistema di riferimento per molti prodotti e fornitori. Finite State. Le SBOM di CRACI si esportano in CycloneDX o SPDX, formati che Finite State accetta tramite la sua action di caricamento.
• Vuole limitare ciò che le build possono scaricare. CRACI. Questo controllo esiste solo dove gira la build.

Per il CRA

Il Cyber Resilience Act chiede ai fabbricanti di individuare e documentare i componenti dei loro prodotti, anche con una SBOM, di gestire le vulnerabilità per tutto il periodo di assistenza e, da settembre 2026, di segnalare le vulnerabilità attivamente sfruttate. Finite State aiuta a raccogliere queste evidenze su un prodotto e sui suoi fornitori, con la mappatura dei controlli CRA e i report. CRACI aiuta producendo per ogni build evidenze di ciò che è entrato nel software che compila Lei, con provenance, monitoraggio continuo ed esportazione delle SBOM in CycloneDX o SPDX. CRACI automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui i fabbricanti hanno bisogno per il loro più ampio processo di conformità al CRA; non rende conforme un prodotto da solo. Legga che cosa richiede il CRA.

Aggiungere CRACI accanto a Finite State

Non serve spostare nulla da Finite State. Indirizzi il Suo job di build su runs-on: craci, mantenga lo step di caricamento di Finite State, e lo stesso workflow gira su un runner CRACI mentre CRACI lo registra. Per Yocto, l'esempio nella documentazione di CRACI mostra un workflow BitBake completo. Oggi CRACI supporta solo GitHub Actions, quindi le pipeline GitLab CI o Jenkins dovrebbero essere migrate per usare i runner CRACI. GitLab CI e Jenkins sono in roadmap. Veda come funziona CRACI per l'IoT industriale e l'elettronica di consumo.

Sta valutando più di due strumenti? Alternative a Finite State confronta nove opzioni fianco a fianco.