CRACI vs Exein

간단한 답변

Exein은 임베디드 및 커넥티드 디바이스용 보안 제품을 만듭니다. Exein Runtime은 디바이스 자체에서 위협을 감시하고 차단하며, Exein Analyzer는 출시 전에 펌웨어의 취약점을 스캔합니다. Exein의 Yocto 레이어인 meta-exein은 런타임 에이전트를 이미지에 넣습니다. CRACI는 GitHub Actions 러너입니다. Yocto 빌드가 CRACI에서 실행되고, CRACI는 빌드가 다운로드한 항목을 기록하며 빌드가 연결할 수 있는 대상을 제한합니다. Exein은 디바이스와 펌웨어를 다루고, CRACI는 빌드를 다룹니다. 둘 다 필요한 팀은 대부분 두 제품을 함께 사용하게 됩니다.

한눈에 보기

Exein의 Yocto 통합이란

두 제품 모두 Yocto를 언급하기 때문에 혼동하기 쉬우므로 정확히 짚어 둘 필요가 있습니다. meta-exein은 오픈 소스 Yocto 레이어로, "이미지에 Pulsar 보안 프레임워크를 추가하기 위한 Pulsar 및 커널 레시피를 포함"합니다. 레이어를 bblayers.conf에 추가하고, pulsar를 IMAGE_INSTALL에 덧붙이고 BTF를 활성화하면, 이미지에 Exein의 eBPF 기반 런타임 보안 도구인 Pulsar가 포함됩니다. 이 레이어는 Kirkstone 이후의 Yocto 릴리스에서 테스트되었으며 2024년에 공식 Yocto Project Compatible 레이어가 되었습니다. Exein은 2023년에 Platinum Member로 Yocto Project에 합류했습니다.

즉, Exein의 레이어는 디바이스에서 실행되는 것을 바꿉니다. 빌드를 실행하거나 빌드가 가져온 항목을 기록하지는 않습니다. Exein은 또한 Exein Analyzer가 "Yocto, Buildroot 및 CI/CD 파이프라인에 네이티브로 통합"되어 모든 새 빌드를 스캔한다고 설명하는데, 이는 고객의 자체 파이프라인 안에서 빌드 산출물을 분석하는 것입니다.

Exein의 강점

디바이스의 런타임 보호. Exein Runtime은 Rust로 작성되었으며 eBPF를 사용해 커널 수준에서 악성 동작을 "실행을 시도하는 순간" 감시하고 차단합니다. 디바이스 플릿 전반에서 인시던트를 추적하고, 런타임 텔레메트리로부터 포렌식 및 컴플라이언스 보고서를 생성합니다. Exein은 또한 "eBPF 기반의 모듈식이며 매우 빠른 IoT용 런타임 보안 도구"인 Pulsar를 오픈 소스로 공개하고 있습니다.

출시 전 펌웨어 분석. Exein Analyzer는 최종 펌웨어를 직접 검사하거나, 바이너리를 사용할 수 없을 때는 SBOM을 수집합니다. Exein에 따르면 Linux, RTOS, Docker, UEFI, Android 등을 지원하며, 도달 가능성 점수와 LLM 기반 필터링으로 악용 가능한 CVE를 우선 표시합니다.

수정 및 CRA 매핑. Exein은 Yocto 및 CI/CD 파이프라인 안에서 실행되는 AI 기반 수정 기능을 소개하며, 발견 사항을 Cyber Resilience Act 요구 사항에 매핑합니다.

CRACI가 다른 점

빌드를 실행합니다

Yocto 빌드는 오래 걸리고 무겁습니다. CRACI는 GitHub Actions 워크플로에서 최대 32 vCPU, 96 GB RAM 러너로 BitBake를 실행하며, cracicorp/setup@v1과 size: "32"로 설정합니다. 작업은 격리된 가상 머신에서 실행되며, 실행 내역은 그대로 GitHub에 표시됩니다.

빌드가 가져온 항목을 기록합니다

작업이 실행되는 동안 CRACI는 패키지 및 소스 호스트로 향하는 트래픽을 관찰하여 빌드 증거로 보관하며, 작업별·캐시별 완전성 상태를 함께 기록합니다. Yocto의 경우 이는 네트워크를 통해 들어온 항목에 대한 독립적인 기록이며, Yocto의 create-spdx 클래스가 생성하는 SPDX SBOM에서 누락되는 항목도 포함합니다. core-image-sato를 나란히 빌드한 비교에서 CRACI의 SBOM은 Yocto SBOM의 모든 구성 요소를 포함했고, 호스트 패키지와 GitHub Actions 등 88개를 더 담았으며, Yocto가 패키지 URL 없이 나열한 653개 Rust crate 버전 각각에 패키지 URL을 붙였습니다. BitBake가 Yocto 소스 미러에서 가져오는 소스는 CRACI 작업 SBOM에 기록됩니다. 이미지 스캐너와 Yocto 자체 도구를 비교한 내용은 SBOM 스캐너가 Yocto 빌드의 구성 요소를 놓치는 이유를 참고하세요.

빌드가 연결할 수 있는 대상을 제어합니다

BitBake는 BB_ALLOWED_NETWORKS로 fetcher를 제한할 수 있습니다. CRACI는 러너 수준에서 이그레스 정책을 추가합니다. 이 정책은 작업 시작 전에 검증되고 실패 시 차단(fail closed)되므로, fetcher를 우회하는 스크립트나 도구도 허용하지 않은 호스트에는 접근할 수 없습니다. 위반이 발생하면 CRACI가 알림을 보냅니다.

출시된 것을 지켜봅니다

API는 SBOM, 네트워크 트레이스, 출처 증명을 반환합니다. CRACI는 빌드와 리포지토리 전반의 취약점을 집계하고, 모니터링 중인 SBOM을 지속적으로 재평가합니다.

CRACI는 디바이스에 아무것도 설치하지 않으며 바이너리를 분석하지 않습니다. 런타임 보호나 완성된 이미지의 스캔이 필요하다면 그것은 Exein의 영역입니다.

어디에 무엇이 배포되었는지에 대한 인벤토리

CRACI의 인벤토리 뷰는 어떤 소프트웨어 버전이 어떤 제품에 배포되었는지 전 세계 범위에서 정확히 보여 줍니다. 새로운 취약점이 발견되면 릴리스 노트와 스프레드시트를 맞춰 보는 대신, 영향을 받는 버전을 실행하는 제품을 바로 확인할 수 있습니다.

언제 무엇을, 그리고 언제 둘 다 사용해야 할까

• 현장의 디바이스에서 위협 탐지와 차단이 필요한 경우. Exein Runtime을 사용하세요. CRACI에는 디바이스 측 구성 요소가 없습니다.
• Yocto 빌드가 책상 밑 서버에서 돌아가거나, 작은 CI 러너에서 몇 시간씩 걸리는 경우. CRACI가 GitHub Actions에서 빌드를 실행하고 각 빌드의 기록을 남깁니다.
• meta-exein이 포함된 Yocto 이미지를 출시하는 경우. CRACI에서 빌드하세요. 이 레이어는 다른 레이어와 똑같이 빌드되며, CRACI가 빌드가 가져온 항목을 기록합니다.
• SBOM의 출처를 보여 주어야 하는 경우. CRACI의 러너 기록은 SBOM을 특정 빌드와 연결합니다. Exein Analyzer의 산출물 스캔은 유용한 두 번째 관점이 됩니다.

CRA 대응

Cyber Resilience Act는 제조업체에 SBOM을 포함해 제품의 구성 요소를 문서화하고, 지원 기간 동안 취약점을 처리하며, 2026년 9월부터는 적극적으로 악용되는 취약점을 보고하도록 요구합니다. Exein은 출시 전 펌웨어 분석, CRA 증거 매핑, 현장의 런타임 텔레메트리로 디바이스 측면을 지원합니다. CRACI는 펌웨어에 무엇이 들어갔는지에 대한 빌드별 증거, 출처 증명, 지속적인 모니터링, CycloneDX 또는 SPDX 형식의 SBOM 내보내기로 빌드 측면을 지원합니다. CRA 통지 내용도 준비하며, 제출은 고객이 Single Reporting Platform을 통해 직접 합니다. CRACI는 제조업체가 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화하지만, 그 자체로 제품을 규정에 부합하게 만들지는 않습니다. CRA의 요구 사항을 읽어 보세요.

Yocto 워크플로에 CRACI 추가하기

meta-exein을 포함한 레이어와 Exein Analyzer 단계는 그대로 유지하세요. 빌드 작업에 runs-on: craci를 설정하고 러너 크기를 선택하면 됩니다. CRACI 문서의 Yocto 예제는 core-image-sato를 빌드하며, 공식 Yocto 소스 미러와 이에 맞는 BB_ALLOWED_NETWORKS 설정을 사용합니다. CRACI는 현재 GitHub Actions만 지원하며, GitLab CI와 Jenkins는 로드맵에 있습니다. CRACI가 산업용 IoT 및 소비자 가전 분야에서 어떻게 작동하는지 확인해 보세요.