CRACI vs Cybellum | PSIRT와 빌드 증거

간단한 답

Cybellum은 자동차, 의료, 산업 시장의 기기 제조사를 위한 제품 보안 플랫폼입니다. 펌웨어 바이너리를 분석하고, 이를 소스 코드 및 공급업체 SBOM과 병합한 뒤, 그 결과를 취약점 데이터와 매칭하며, 출시 후 PSIRT가 수행하는 모니터링, 트리아지, 조사, 규제 증거 작업을 지원합니다. CRACI는 각 빌드가 실행 중에 가져오는 항목을 기록하고, 그 기록으로 SBOM을 생성하며, 이를 계속 모니터링하는 GitHub Actions 러너입니다.

모든 PSIRT 사안의 첫 질문은 어떤 제품과 버전에 취약한 구성 요소가 들어 있는가입니다. Cybellum은 출처와 관계없이 출시하는 제품을 분석해 이 질문에 답합니다. CRACI는 자체 빌드가 실제로 가져온 항목의 기록으로 답합니다. GitHub Actions에서 빌드하는 소프트웨어라면 CRACI가 인벤토리, 모니터링, 트리아지까지 다룹니다. 바이너리로 받는 펌웨어라면 Cybellum이 CRACI가 다루지 않는 영역을 맡습니다.

한눈에 보기

기능	CRACI	Cybellum
CI 빌드 실행	작업이 CRACI 러너에서 실행	바이너리, 소스 코드, SBOM을 바탕으로 작동
빌드가 가져온 항목 기록	각 작업 중 러너가 직접 관찰	바이너리 스캔, 소스 코드, 업로드된 SBOM을 병합
펌웨어 바이너리 분석		바이너리로부터 Cyber Digital Twins 구축
직접 빌드하지 않은 펌웨어 지원	빌드가 CRACI에서 실행되어야 함	소스 코드는 선택 사항
알려진 CVE 이외의 발견 사항		제로데이, 악성코드, 코딩 취약점
공급업체 SBOM 가져오기	공급업체 SBOM 추가 가능	SPDX, CycloneDX 또는 CPE CSV
CycloneDX 및 SPDX 형식의 SBOM	빌드에서 생성, 완전성 상태 포함	병합, 중복 제거, 검증 수행
출시 후 모니터링	모니터링 중인 SBOM을 지속적으로 재평가	새 버전, 브랜치, 출시 후 기기
새 CVE의 영향을 받는 제품	빌드 이력과 인벤토리 뷰	영향받는 제품과 구성 요소
분류(트리아지)와 VEX	트리아지, 팀 라우팅, VEX	AI 트리아지 어시스턴트, VEX 보고서
빌드 실행 중 이그레스 정책	작업 전에 검증, 실패 시 차단(fail closed)	범위 밖
규제 템플릿과 보고서	CycloneDX 또는 SPDX 형식의 SBOM, API로 기록 제공, 보고서 내보내기 없음	FDA PMA, ISO 21434, EU CRA 등 50개 이상의 표준
배포 방식	유럽 인프라의 관리형 러너. 고객 호스팅 러너는 로드맵에 포함.	퍼블릭 클라우드 또는 자체 데이터센터.
CI 시스템	현재 GitHub Actions 지원. GitLab CI와 Jenkins는 로드맵에 포함	GitLab, Jenkins, Bamboo 통합과 웹훅 및 API 제공
요금	vCPU 분당 $0.002(2 vCPU는 $0.004), 초 단위 측정, 월 요금 및 SBOM당 요금 없음	공개되지 않음

포함
일부 지원
미포함

Cybellum의 강점

바이너리 분석. Cybellum의 Cyber Digital Twins는 "모든 제품이나 구성 요소의 바이너리 파일에서 추출할 수 있습니다." 이 플랫폼은 각 제품의 펌웨어 바이너리를 분석해 "SBOM, 버전 이력, 라이선스, 하드웨어 아키텍처, OS 구성 등"을 드러내며, 소스 코드는 "소스 코드도 있으신가요?"라며 추가로만 요청합니다. 차량이나 의료 기기의 상당 부분이 빌드 과정을 전혀 볼 수 없는 공급업체의 코드로 동작한다면 이 점이 중요합니다.

여러 소스를 하나의 SBOM으로. Cybellum은 "바이너리 스캐너, 소스 코드, SPDX, CycloneDX 또는 CPE CSV 형식의 외부 SBOM 소스의 데이터"를 결합하고, 동일한 패키지의 중복을 제거하며, 팀이 모든 제품, 버전, 브랜치의 SBOM을 자동 수정, 검증, 승인한 뒤 SPDX 또는 CycloneDX로 공유할 수 있게 합니다.

알려진 CVE 이외의 발견 사항. 취약점 데이터베이스는 공개 및 비공개 피드, EPSS, 연구 결과를 결합하며, Cybellum은 여기에 "내장된 악성코드 및 코딩 취약점 탐지 엔진"을 더합니다. 팀은 위협 모델, TARA, 퍼징 및 모의 침투 테스트 결과를 가져온 뒤 AI 어시스턴트인 VM CoPilot으로 트리아지할 수 있습니다.

PSIRT 업무를 위한 설계. 사고 대응 모듈을 통해 팀은 "새로운 취약점이나 규제가 정확히 어떤 제품이나 구성 요소에 영향을 미치는지 확인"할 수 있고, "조사를 생성하고 관리하는 워크벤치"를 사용하며, 티켓을 발행하고, 취약점 상태를 "필요에 따라 VEX/CSAF 보고서로" 공유합니다.

규제 증거. Cybellum은 "FDA PMA, ISO 21434, CRA는 물론 자체 정책 프레임워크"에 대한 증거를 관리하며, "50개 이상의 표준, 규제, 모범 사례"의 요구 사항이 사전 매핑되어 있습니다. 퍼블릭 클라우드나 자체 데이터센터에서 실행됩니다. LG전자는 2021년 Cybellum의 지분 과반을 인수했으며, Cybellum은 독자 브랜드로 계속 운영되고 있습니다.

CRACI의 차이점

Cybellum은 펌웨어 이미지, 소스 트리, 공급업체가 보낸 SBOM 같은 아티팩트에서 출발합니다. CRACI는 빌드 자체에서 출발합니다. 빌드가 CRACI에서 실행되기 때문입니다.

추정이 아닌 관찰

runs-on을 craci로 바꾸면 작업이 CRACI 러너의 격리된 가상 머신에서 실행됩니다. 패키지를 인식하는 프록시가 작업이 패키지 소스에서 내려받는 항목을 기록하고, CI 캐시에서 복원된 패키지도 그대로 이어서 기록됩니다. 각 SBOM은 작업과 캐시마다 자신이 얼마나 완전한지를 Complete, Complete with connections, Incomplete, Unavailable, Not recorded 중 하나로 표시합니다. 펌웨어 팀은 최대 32 vCPU와 96 GB RAM의 러너에서 Yocto를 실행할 수 있습니다. core-image-sato를 나란히 빌드한 비교에서 CRACI의 SBOM은 Yocto 자체 SPDX 출력의 모든 구성 요소를 포함했고, 호스트 패키지와 GitHub Actions 등 88개를 더 담았으며, Yocto가 패키지 URL 없이 나열한 Rust 크레이트 653개 버전 각각에 패키지 URL을 부여했습니다.

CVE가 도달한 빌드와 제품

CRACI는 과거의 모든 빌드를 SBOM과 함께 보관하므로, 보안 권고가 발표되면 보존 기간 내에서 어떤 빌드에 취약한 종속성이 직접 또는 전이적으로 포함되어 있었는지, 그리고 얼마나 오래 포함되어 있었는지 확인할 수 있습니다. 인벤토리 뷰는 어떤 소프트웨어 버전이 어떤 제품에 배포되어 있는지 전 세계적으로 정확히 보여 줍니다. CRACI는 모니터링 중인 SBOM을 지속적으로 재평가하고, VEX를 지원하며, 보안 팀이 발견 사항을 트리아지하고 각 항목을 수정 책임이 있는 팀에 전달할 수 있게 합니다. 공급업체 SBOM을 추가할 수 있으므로 구매한 구성 요소도 자체 빌드와 함께 모니터링됩니다.

빌드 중 통제

결과물 스캔으로는 빌드가 접근할 수 있었던 대상을 바꿀 수 없습니다. CRACI의 이그레스 정책은 바꿀 수 있습니다. 기본 거부 또는 기본 허용으로 설정하며, 작업 시작 전에 검증되고, 실패 시 차단(fail closed)되며, 위반 시 알림을 보냅니다. 정책 게이트로 특정 CVE를 포함한 빌드를 중단할 수도 있습니다.

CRACI를 선택할 때 포기하는 것

CRACI는 바이너리를 분석하지 않으므로, 빌드가 내려받는 공급업체 블롭 내부에 무엇이 있는지는 알려 줄 수 없고, 빌드가 그것을 가져왔다는 사실과 어디서 가져왔는지만 알려 줍니다. 제로데이를 찾지 않으며, 소스 코드에서 코딩 취약점을 스캔하는 기능은 범위 밖이고, 표준 대비 가이드형 점검이나 보고서 내보내기 기능도 없습니다. 현재는 GitHub Actions만 지원하며 GitLab CI와 Jenkins는 로드맵에 있습니다. 유럽 인프라의 관리형 러너로 운영되며, 고객 호스팅 러너는 로드맵에 있습니다.

어떤 경우에 무엇을 쓸까

펌웨어 대부분을 공급업체로부터 바이너리로 받는 경우. Cybellum. 바이너리 내부를 보려면 바이너리 분석이 필요합니다.
자체 소프트웨어와 이미지를 GitHub Actions에서 빌드하는 경우. CRACI가 빌드를 실행하고, 입력을 기록하며, 기록된 항목의 취약점을 추적하므로, PSIRT의 인벤토리가 빌드 자체에서 나옵니다.
자동차 또는 의료 규제 제출용 증거가 필요한 경우. Cybellum은 FDA PMA, ISO 21434, EU CRA용 규제 템플릿을 갖추고 있습니다. CRACI는 SBOM을 CycloneDX 또는 SPDX로 내보내며, API로 SBOM, 네트워크 추적, 출처 증명을 반환해 더 넓은 프로세스에 활용할 수 있게 합니다.
빌드가 내려받을 수 있는 대상을 제한하고 싶은 경우. CRACI. 이 통제는 빌드가 실행되는 곳에서만 가능합니다.

CRA 대응

EU Cyber Resilience Act는 제조사에게 SBOM을 포함해 제품의 구성 요소를 식별하고 문서화할 것, 지원 기간 동안 취약점을 처리할 것, 그리고 2026년 9월부터는 실제로 악용되고 있는 취약점을 보고할 것을 요구합니다. Cybellum은 제품과 공급업체 전반에 걸친 CRA 템플릿과 증거로 이를 지원합니다. CRACI는 기업이 빌드하는 소프트웨어에 무엇이 들어갔는지에 대한 빌드별 증거를 생성하고, 지속적인 모니터링과 CycloneDX 또는 SPDX 형식의 SBOM 내보내기를 제공하며, CRA 통지의 내용을 준비합니다. 제출은 고객이 직접 합니다. CRACI는 제조사가 더 넓은 CRA 컴플라이언스 프로세스에 필요한 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화하지만, 그것만으로 제품이 규정을 준수하게 되지는 않습니다. CRA의 요구 사항을 읽어 보세요.

CRACI에서 빌드 실행하기

빌드 작업을 runs-on: craci로 지정하면 동일한 워크플로가 GitHub Actions에서 계속 실행되는 동안 CRACI가 이를 기록합니다. Yocto의 경우 CRACI 문서의 예제에서 전체 BitBake 워크플로를 보여 줍니다. 산업용 IoT와 가전제품 분야에서 CRACI가 어떻게 작동하는지 확인하세요.

이 역할이 처음이신가요? PSIRT가 하는 일과 PSIRT 팀을 위한 CRACI를 읽어 보세요. 두 가지보다 많은 도구를 비교하고 계신가요? PSIRT 도구 비교와 Cybellum 대안을 확인하세요.