CRACI vs Cybeats SBOM Studio

Het korte antwoord

Cybeats SBOM Studio noemt zichzelf "het system of record voor SBOM's". Het slaat SBOM's van uw producten en leveranciers op, verrijkt ze met informatie over kwetsbaarheden en licenties, monitort ze continu en deelt ze met klanten en toezichthouders. CRACI is een GitHub Actions-runner die de afhankelijkheden vastlegt die elke job daadwerkelijk heeft opgehaald en op basis daarvan de SBOM maakt, met een volledigheidsstatus.

Een system of record is maar zo nauwkeurig als wat erin gaat. SBOM Studio beheert SBOM's die een andere tool heeft gegenereerd. CRACI maakt ze uit de build en monitort ze, zodat de CI, de SBOM en het volgen van kwetsbaarheden uit één product komen.

In één oogopslag

Waar Cybeats sterk in is

• Eén beheerde plek voor elke SBOM. SBOM Studio is gebouwd voor productsecurityteams in ICS en OT, medische apparatuur, telecom, automotive en financiële dienstverlening. Het geeft hun "één beheerde bron van waarheid voor elke SBOM in al uw producten en bij al uw leveranciers".
• Brede formaatondersteuning. SPDX 2.2 tot en met 3.0.1 en CycloneDX 1.2 tot en met 1.7, voor import en export. Het platform verwerkt ook VEX, AIBOM, CBOM en HBOM.
• Kwaliteitscontrole aan de poort. De SBOM Quality Score valideert bestanden vóór de import, controleert of ze correct volgens de standaard zijn opgemaakt en legt vast waarom een SBOM tekortschiet.
• Verrijking en monitoring. Elk component wordt continu gematcht met informatie over kwetsbaarheden, met meldingen op basis van beleid, VEX om te communiceren welke kwetsbaarheden uw producten raken, en licentieanalyse voor OSS en COTS.
• Delen. Gecontroleerde uitwisseling van SBOM's en VEX met klanten, ook via de Transparency Exchange API. SBOM Consumer, een apart product, valideert en monitort de SBOM's die u van leveranciers ontvangt.

Intake van SBOM's van leveranciers, licentieanalyse en gehost delen zijn allemaal gebieden waar SBOM Studio vandaag meer doet dan CRACI. Bestaat de taak van uw team uit het runnen van een SBOM-programma voor veel producten en leveranciers, dan is het daarvoor gebouwd.

Waarin CRACI verschilt

Het maakt de SBOM, uit de build

SBOM Studio neemt SBOM's in. Voor het genereren verwijst Cybeats naar de eigen Marketplace, die leveranciers van tools voor binaire compositieanalyse en SBOM-generatie samenbrengt. De componentenlijst in het system of record komt dus nog steeds van een of ander soort scanner.

CRACI draait de job. U wijzigt runs-on in craci, en een proxy die pakketten herkent, legt tijdens de build het verkeer naar pakketbronnen vast: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Het bewijs van afhankelijkheden reist mee met CI-caches, dus een pakket dat uit een cache wordt teruggezet, staat nog steeds in de vastlegging. De SBOM bevat alle transitieve afhankelijkheden die de build daadwerkelijk heeft gebruikt.

Goed opgemaakt is niet hetzelfde als volledig

Een kwaliteitsscore kan bevestigen dat een SBOM de standaard volgt en de verwachte velden bevat. Hij kan u niet vertellen wat de generator nooit heeft gezien. Generatoren verschillen structureel van elkaar, omdat elke generator andere bestanden leest en ze anders oplost, en een goed opgemaakt document zegt niets over de vraag of de afhankelijkheid die erin ontbreekt, ooit door de tool is gezien. Het supplier-veld van NTIA is een goed voorbeeld: het valideert als aanwezig of afwezig, en de meeste generatoren hebben er geen bron voor. CRACI kan niet op deze manier worden gescoord, omdat het builds vastlegt en geen map kan scannen.

CRACI geeft de volledigheid aan op basis van de vastlegging zelf, per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded. De gaten in de vastlegging zijn bekend in plaats van geraden.

Controle en herkomst

Omdat CRACI de job draait, dwingt het een egressbeleid voor het netwerk af: standaard weigeren of standaard toestaan, met 24 ingebouwde presets voor softwarebronnen en getypeerde eigen bronnen, gevalideerd voordat de job start en fail-closed. De API levert SBOM's, netwerktraces en herkomstgegevens.

Monitoring

CRACI beoordeelt gemonitorde SBOM's continu opnieuw en bundelt kwetsbaarheden over builds en repositories heen.

Een inventaris van wat waar is uitgerold

De inventarisweergave van CRACI toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. Wordt er een nieuwe kwetsbaarheid bekend, dan ziet u welke producten de getroffen versie draaien, in plaats van het bij elkaar te zoeken uit release notes en spreadsheets.

SBOM Studio vervangen door CRACI

Voor softwareteams op GitHub Actions dekt CRACI waarvoor een system of record voor SBOM's dient als het om hun eigen producten gaat: het maakt de SBOM in elke build, blijft gemonitorde SBOM's opnieuw beoordelen zodra nieuwe kwetsbaarheden worden gepubliceerd, bundelt bevindingen over builds en repositories heen, en laat securityteams ze triëren en elke bevinding toewijzen aan het team dat verantwoordelijk is voor de oplossing. U kunt ook SBOM's van leveranciers toevoegen, zodat ingekochte componenten samen met uw eigen builds worden gemonitord. Er is geen aparte generator om te draaien en geen importstap om te onderhouden.

Wees u bewust van wat u opgeeft. SBOM Studio verzorgt licentieanalyse voor OSS en COTS, AIBOM, CBOM en HBOM, scoort de kwaliteit van SBOM's bij de import en deelt SBOM's met klanten via de Transparency Exchange API. CRACI dwingt licentiebeleid af op de gedeclareerde licenties die het vastlegt, maar heeft vandaag niets van de rest. Bestaat uw taak uit het runnen van een SBOM-programma voor veel producten, leveranciers en klanten, dan is SBOM Studio daarvoor gebouwd.

Voor de Cyber Resilience Act

Cybeats richt zich direct op de CRA. Het noemt de verordening "de belangrijkste drijfveer achter de adoptie van SBOM's vandaag" en zegt dat SBOM Studio "compliant, actuele SBOM's oplevert" om fabrikanten te helpen de transparantie van hun software gedurende de hele levenscyclus van het product te bewaren. De gids over regelgeving zet de meldtijdlijn van 24 uur, 72 uur en 14 dagen uiteen.

De meldplichten van de CRA gelden vanaf 11 september 2026, via het gemeenschappelijke meldplatform van de CRA, en de hoofdbepalingen gelden vanaf 11 december 2027. Een vroegtijdige waarschuwing binnen 24 uur hangt ervan af dat u snel weet welke releases een getroffen component bevatten, en dat u de inventaris vertrouwt die u dat vertelt. De API van CRACI levert SBOM's, netwerktraces en herkomstgegevens, en SBOM's worden geëxporteerd als CycloneDX of SPDX, inclusief kwetsbaarheden.

CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces. Geen van beide producten maakt een fabrikant op zichzelf compliant. Lees wat de CRA vereist, CRA-compliance met CRACI en industrieel IoT.

Weegt u meer dan twee tools af? Alternatieven voor Cybeats zet negen opties naast elkaar.