CRACI vs Medcrypt

La risposta breve

Medcrypt è un'azienda di cybersecurity per dispositivi medici. La sua piattaforma, Medcrypt Security Intelligence (MSI), combina il software con un team di ex revisori FDA per preparare, verificare e mantenere la pratica di cybersecurity di un dispositivo. La promessa in homepage è "Get your cybersecurity submission approved. The first time." Helm, il suo prodotto per la gestione di SBOM e vulnerabilità, fa parte di MSI ed è venduto anche separatamente.

CRACI è un runner GitHub Actions che registra le dipendenze effettivamente scaricate da ogni job e produce la SBOM da quella registrazione, con uno stato di completezza. Poi rivaluta le SBOM monitorate man mano che compaiono nuovi advisory, e i team di sicurezza esaminano i risultati e li assegnano al team responsabile della correzione. CRACI non prepara né esamina pratiche FDA. Per la SBOM e il tracciamento post-market delle vulnerabilità del software che compila Lei, CRACI sostituisce Helm, partendo dalla build stessa.

In sintesi

Che cosa fa bene Medcrypt

• Competenza FDA in organico. I controlli, gli audit e i modelli di MSI sono realizzati da un team che, nelle parole di Medcrypt, include "former FDA reviewers and authors of the guidance itself." Il piano MSI include 15 ore di consulenza all'anno con loro, e la piattaforma scansiona i fascicoli della pratica alla ricerca di ciò che un revisore segnalerebbe. Per una prima pratica 510(k) o PMA, è un aiuto che CRACI non offre.
• L'intera pratica, non solo la SBOM. MSI copre threat modeling, valutazione del rischio di cybersecurity, generazione di documenti (indicata come beta), risposte alle deficiency letter e penetration test come componente aggiuntivo tramite partner selezionati.
• Lavoro post-market dopo l'autorizzazione. MSI include il monitoraggio continuo delle vulnerabilità e l'adesione a MedISAO, che secondo Medcrypt offre avvisi di vulnerabilità specifici per i dispositivi, un programma di divulgazione coordinata delle vulnerabilità e aggiornamenti sulle linee guida. La sua pagina della piattaforma lo dice chiaramente: "Section 524B made post-market cybersecurity a legal duty."
• Helm è costruito per i produttori di dispositivi. Helm ordina i risultati con dati di EPSS, CISA KEV, ExploitDB e Metasploit, riassegna in blocco i punteggi delle vulnerabilità in base al contesto di ogni dispositivo, riporta le remediation tra le versioni del prodotto e usa regole di alias per associare i componenti alle voci NVD. Esporta SBOM CycloneDX e SPDX, report VEX e VDR e un formato Medcrypt FDA SBOM.
• Un vendor affermato nella sua nicchia. Medcrypt è stata fondata nel 2016, ha partecipato a Y Combinator e riporta $36.4M di finanziamenti con investitori tra cui Johnson & Johnson Innovation, Intuitive Ventures e Dexcom Ventures. Afferma di avere la fiducia di 140+ produttori di dispositivi medici, tra cui 13 dei primi 50.
• Prezzi pubblicati. MSI costa $35,000 per linea di prodotto all'anno con utenti illimitati, con fatturazione annuale.

In che cosa CRACI è diverso

Produce la SBOM, dalla build

Helm lavora con le SBOM che riceve. Lei carica o crea file CycloneDX o SPDX, oppure una GitHub Action di Helm carica un file SBOM dal Suo workflow (la documentazione afferma che oggi supporta CycloneDX JSON). Per i team senza una SBOM, la documentazione di Helm rimanda a generatori open source, creazione manuale, servizi di esperti o uno strumento di generazione Medcrypt disponibile su richiesta. Quindi l'elenco dei componenti monitorato da Helm proviene comunque da uno scanner o da un file costruito a mano.

CRACI esegue il job. Lei cambia runs-on in craci e un proxy che riconosce i pacchetti registra il traffico verso le sorgenti dei pacchetti durante la build: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download. Le evidenze sulle dipendenze viaggiano con le cache CI, quindi anche un pacchetto ripristinato da una cache resta nella registrazione. Ogni SBOM indica quanto è completa, per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded.

Build Linux embedded

Se il Suo dispositivo esegue un'immagine Yocto, il confronto è diretto. La documentazione di Helm mostra come attivare l'output SPDX di Yocto e caricarlo. CRACI esegue BitBake su runner fino a 32 vCPU e 96 GB di RAM. In una build affiancata di core-image-sato, la SBOM di CRACI conteneva ogni componente dell'output SPDX di Yocto, 88 componenti in più come pacchetti dell'host e GitHub Actions, e un package URL per ciascuna delle 653 versioni di crate Rust che Yocto elenca senza indicarlo.

Risposte post-market dalla cronologia delle build

Quando arriva una nuova vulnerabilità, la domanda post-market è quali versioni distribuite la contengono e da quanto tempo. CRACI conserva ogni build passata e la sua SBOM, entro il periodo di conservazione, e mostra quali build contenevano la dipendenza vulnerabile, diretta o transitiva, così Lei conosce il periodo di esposizione. La sua vista inventario mostra quali versioni del software sono distribuite in quali prodotti. I policy gate possono fermare una build successiva che contiene ancora una CVE specifica.

Controllo su ciò che la build può raggiungere

Poiché CRACI è il runner, applica una policy di egress di rete: negazione o autorizzazione predefinita, con 24 preset integrati di sorgenti software e sorgenti personalizzate tipizzate, validata prima dell'avvio del job e in modalità fail closed. Invia avvisi in caso di violazione della policy. Medcrypt non esegue la Sua build, quindi questo è fuori dal suo perimetro.

Ai sensi della sezione 524B della FDA

Ai sensi della sezione 524B, la pratica di un cyber device deve includere una SBOM "including commercial, open-source, and off-the-shelf software components" e un piano per monitorare e affrontare le vulnerabilità post-market. I due prodotti toccano questi requisiti in modi diversi.

Medcrypt lavora sulla pratica stessa: il threat model, la valutazione del rischio, i documenti, l'audit rispetto a ciò che segnalano i revisori FDA e la risposta se la FDA invia una deficiency letter. La sua pagina dei prezzi osserva: "FDA is what the platform covers today."

CRACI fornisce evidenze che derivano dalla build: una SBOM di ciò che la build ha effettivamente usato, esportata in CycloneDX o SPDX, e il monitoraggio continuo di quella SBOM dopo la release, con triage e assegnazione al team responsabile della correzione. CRACI non scrive, non esamina e non presenta documentazione FDA, e non rende conforme un dispositivo. Il piano e la pratica restano compito del fabbricante. Per capire come si inserisce in un team di product security, veda che cosa fa un PSIRT e CRACI per i team PSIRT.

Quando scegliere l'uno o l'altro

• Sta preparando una prima pratica o rispondendo a una deficiency letter. Medcrypt. Ex revisori FDA, audit delle pratiche e threat modeling sono ciò per cui è pensata, e CRACI non fa nulla di tutto ciò.
• Le serve la gestione di SBOM e vulnerabilità per il software che compila in GitHub Actions. CRACI. Produce la SBOM in ogni build e la monitora, quindi non c'è un generatore separato da eseguire né uno step di caricamento da mantenere.
• Le servono crittografia, gestione delle chiavi o identità dei dispositivi sul campo. Guardian di Medcrypt copre la sicurezza lato dispositivo. CRACI lavora sulla build, non sul dispositivo.
• Le Sue build girano in GitLab CI o Jenkins. Helm offre un'API, una GitHub Action e un'estensione Azure DevOps per caricare le SBOM. CRACI oggi supporta GitHub Actions, con GitLab CI e Jenkins in roadmap.

Sostituire Helm con CRACI

Per il software dei dispositivi compilato in GitHub Actions, CRACI copre ciò per cui esiste Helm: produce la SBOM in ogni build, rivaluta le SBOM monitorate man mano che vengono pubblicate nuove vulnerabilità, aggrega i risultati tra build e repository, supporta VEX e consente ai team di sicurezza di esaminare i risultati e di assegnare ciascuno al team responsabile della correzione. Può anche aggiungere le SBOM dei vendor, così i componenti acquistati vengono monitorati accanto alle Sue build.

Sia consapevole di ciò a cui rinuncia. Helm ordina i risultati con exploit intelligence come EPSS e CISA KEV, offre indicazioni AI sulle mitigazioni, associa i componenti con regole di alias, traccia i dati di fine supporto ed esporta report VDR e il formato Medcrypt FDA SBOM. E nulla del lavoro sulle pratiche, delle ore di consulenza o dell'adesione a MedISAO di MSI ha un equivalente in CRACI. Se la Sua esigenza principale è far superare a una pratica la revisione FDA, Medcrypt è pensata per questo.

Sta confrontando altri strumenti per i team di product security? Veda gli strumenti PSIRT a confronto.