CRACI vs Cybellum

Het korte antwoord

Cybellum is een platform voor productbeveiliging voor fabrikanten van apparaten in de automotive, medische en industriële markt. Het analyseert firmwarebinaries, voegt die samen met broncode en SBOM's van leveranciers, matcht het resultaat met kwetsbaarheidsgegevens en ondersteunt het werk dat een PSIRT na de lancering doet: monitoring, triage, onderzoeken en bewijs voor toezichthouders. CRACI is een GitHub Actions-runner die vastlegt wat elke build tijdens het draaien binnenhaalt, op basis daarvan de SBOM maakt en die blijft monitoren.

De eerste vraag in elke PSIRT-zaak is welke producten en versies het kwetsbare component bevatten. Cybellum beantwoordt die vanuit een analyse van wat u levert, waar het ook vandaan kwam. CRACI beantwoordt die vanuit een vastlegging van wat uw eigen builds daadwerkelijk hebben opgehaald. Voor software die u in GitHub Actions bouwt, dekt CRACI de inventaris, de monitoring en de triage zelf. Voor firmware die u als binaries ontvangt, dekt Cybellum terrein dat CRACI niet dekt.

In één oogopslag

Waar Cybellum sterk in is

Analyse van de binary. De Cyber Digital Twins van Cybellum "kunnen worden geëxtraheerd uit de binaire bestanden van elk product of component". Het platform analyseert de firmwarebinaries van elk product om "SBOM, versiegeschiedenis, licenties, hardwarearchitectuur, OS-configuraties en meer" zichtbaar te maken, en vraagt alleen als extra: "Hebt u ook de broncode?" Dat is belangrijk wanneer een groot deel van een voertuig of medisch apparaat code draait van leveranciers wier builds u nooit ziet.

Eén SBOM uit veel bronnen. Cybellum combineert "gegevens van binaire scanners, broncode en externe SBOM-bronnen in SPDX-, CycloneDX- of CPE-CSV-formaat", ontdubbelt identieke pakketten en laat teams SBOM's voor elk product, elke versie of branch automatisch corrigeren, valideren en goedkeuren voordat ze als SPDX of CycloneDX worden gedeeld.

Bevindingen naast bekende CVE's. De kwetsbaarheidsdatabase combineert openbare en private feeds, EPSS en onderzoeksresultaten, en Cybellum voegt "ingebouwde engines voor de detectie van malware en zwakke plekken in code" toe. Teams kunnen dreigingsmodellen, TARA, fuzz- en pentestresultaten importeren en daarna triëren met een AI-assistent, de VM CoPilot.

Gebouwd voor PSIRT-werk. Met de module voor incidentrespons kan een team "precies zien welke producten of componenten door een nieuwe kwetsbaarheid of regelgeving worden geraakt", krijgt het "een werkbank om onderzoeken aan te maken en te beheren", opent het tickets en deelt het de status van kwetsbaarheden "naar behoefte via VEX-/CSAF-rapporten".

Bewijs voor toezichthouders. Cybellum beheert bewijs voor "FDA PMA, ISO 21434, CRA en uw eigen beleidskaders", met vooraf gekoppelde eisen uit "50+ standaarden, regelgeving en best practices". Het draait in publieke clouds of in uw eigen datacenter. LG Electronics kocht in 2021 een meerderheidsbelang in Cybellum, en Cybellum gaat verder als eigen merk.

Waarin CRACI verschilt

Cybellum begint bij artefacten: het firmware-image, de broncodeboom, de SBOM die een leverancier stuurde. CRACI begint bij de build zelf, omdat de build op CRACI draait.

Waargenomen, niet afgeleid

U wijzigt runs-on in craci en de job draait in een geïsoleerde virtuele machine op een CRACI-runner. Een proxy die pakketten herkent, legt vast wat de job uit pakketbronnen downloadt, en pakketten die uit CI-caches worden teruggezet, worden meegenomen. Elke SBOM vermeldt hoe volledig hij is, per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded. Firmwareteams kunnen Yocto draaien op runners met maximaal 32 vCPU's en 96 GB RAM. In een vergelijkende build van core-image-sato bevatte de SBOM van CRACI elk component uit de eigen SPDX-output van Yocto, 88 meer zoals hostpakketten en GitHub Actions, en een package-URL voor elk van de 653 versies van Rust-crates die Yocto zonder package-URL vermeldt.

Welke builds en producten een CVE bereikte

CRACI bewaart elke eerdere build met zijn SBOM, dus wanneer een advisory verschijnt, ziet u welke builds de kwetsbare afhankelijkheid bevatten, direct of transitief, en hoe lang, binnen uw bewaartermijn. De inventarisweergave toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. CRACI beoordeelt gemonitorde SBOM's continu opnieuw, ondersteunt VEX en laat securityteams bevindingen triëren en elke bevinding toewijzen aan het team dat verantwoordelijk is voor de oplossing. U kunt SBOM's van leveranciers toevoegen, zodat ingekochte componenten naast uw eigen builds worden gemonitord.

Controle tijdens de build

Een scan van de output kan niet veranderen wat de build kon bereiken. Het egressbeleid van CRACI kan dat wel: het is standaard weigeren of toestaan, wordt gevalideerd voordat de job start, is fail-closed en stuurt een melding bij een overtreding. Policy gates kunnen ook een build tegenhouden die een specifieke CVE bevat.

Wat u opgeeft met CRACI

CRACI analyseert geen binaries, dus het kan u niet vertellen wat er in een blob van een leverancier zit die uw build downloadt, alleen dat de build die heeft opgehaald en waarvandaan. Het zoekt niet naar zero-days, broncode scannen op zwakke plekken valt buiten de scope, en het heeft geen begeleide controles tegen standaarden en geen rapportexport. Het ondersteunt vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap, en draait als beheerde runners op Europese infrastructuur, met door de klant gehoste runners op de roadmap.

Wanneer u welke gebruikt

• Het grootste deel van uw firmware komt als binaries van leveranciers. Cybellum. Analyse van de binary is de manier om erin te kijken.
• U bouwt uw eigen software en images in GitHub Actions. CRACI draait de build, legt de inputs vast en volgt de kwetsbaarheden in wat het heeft vastgelegd, zodat de inventaris van de PSIRT uit de build zelf komt.
• U hebt bewijs nodig voor indieningen bij toezichthouders in automotive of medische technologie. Cybellum heeft templates voor FDA PMA, ISO 21434 en de EU CRA. CRACI exporteert SBOM's als CycloneDX of SPDX, en de API levert SBOM's, netwerktraces en herkomstgegevens, voor uw bredere proces.
• U wilt beperken wat builds kunnen downloaden. CRACI. Die controle bestaat alleen waar de build draait.

Voor de CRA

De Cyber Resilience Act vraagt fabrikanten de componenten in hun producten te identificeren en te documenteren, onder meer met een SBOM, kwetsbaarheden gedurende de ondersteuningsperiode af te handelen en, vanaf september 2026, actief uitgebuite kwetsbaarheden te melden. Cybellum helpt met CRA-templates en bewijs over producten en leveranciers heen. CRACI helpt door per build bewijs te leveren van wat er in de software zit die u bouwt, met doorlopende monitoring en SBOM-export als CycloneDX of SPDX, en het dient de CRA-meldingen namens u in. CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat fabrikanten nodig hebben voor hun bredere CRA-nalevingsproces; het maakt een product niet op zichzelf compliant. Lees wat de CRA vereist.

Uw builds op CRACI draaien

Laat uw buildjob verwijzen naar runs-on: craci en dezelfde workflow blijft in GitHub Actions draaien terwijl CRACI hem vastlegt. Voor Yocto toont het voorbeeld in de CRACI-documentatie een volledige BitBake-workflow. Bekijk hoe CRACI werkt voor industrieel IoT en consumentenelektronica.

Nieuw in de rol? Lees wat een PSIRT doet en CRACI voor PSIRT-teams. Weegt u meer dan twee tools af? Bekijk PSIRT-tools vergeleken en alternatieven voor Cybellum.