CRACI vs Medcrypt

Het korte antwoord

Medcrypt is een bedrijf voor cyberbeveiliging van medische apparaten. Het platform, Medcrypt Security Intelligence (MSI), combineert software met een team van voormalige FDA-reviewers om de cyberbeveiligingsindiening van een apparaat voor te bereiden, te auditen en te onderhouden. De belofte op de homepage is "Get your cybersecurity submission approved. The first time." Helm, het product voor SBOM- en kwetsbaarheidsbeheer, maakt deel uit van MSI en wordt ook los verkocht.

CRACI is een GitHub Actions-runner die de afhankelijkheden vastlegt die elke job daadwerkelijk ophaalde en op basis daarvan de SBOM maakt, met een volledigheidsstatus. Daarna beoordeelt het gemonitorde SBOM's opnieuw wanneer advisories verschijnen, en triëren securityteams bevindingen en wijzen ze die toe aan het team dat verantwoordelijk is voor de fix. CRACI bereidt geen FDA-indieningen voor en beoordeelt ze niet. Voor de SBOM en het volgen van kwetsbaarheden in de postmarketfase van software die u bouwt, vervangt CRACI Helm, te beginnen bij de build zelf.

In één oogopslag

Waar Medcrypt sterk in is

• FDA-expertise in huis. De controles, audits en templates van MSI zijn gebouwd door een team dat, in de woorden van Medcrypt, bestaat uit onder meer "former FDA reviewers and authors of the guidance itself." Het MSI-plan omvat 15 adviesuren per jaar met hen, en het platform scant indieningspakketten op wat een reviewer zou markeren. Voor een eerste 510(k)- of PMA-indiening is dat hulp die CRACI niet biedt.
• De hele indiening, niet alleen de SBOM. MSI dekt threat modeling, risicobeoordeling voor cyberbeveiliging, het genereren van documenten (gemarkeerd als bèta), antwoorden op deficiency letters, en penetratietests als add-on via gescreende partners.
• Postmarketwerk na goedkeuring. MSI omvat continue monitoring van kwetsbaarheden en MedISAO-lidmaatschap, wat volgens Medcrypt apparaatspecifieke meldingen over kwetsbaarheden, een programma voor gecoördineerde openbaarmaking van kwetsbaarheden en updates over richtlijnen oplevert. De platformpagina zegt het onomwonden: "Section 524B made post-market cybersecurity a legal duty."
• Helm is gebouwd voor apparaatmakers. Helm rangschikt bevindingen met gegevens uit EPSS, CISA KEV, ExploitDB en Metasploit, herscoort kwetsbaarheden in bulk om bij de context van elk apparaat te passen, neemt remediaties mee over productversies heen en gebruikt aliasregels om componenten aan NVD-vermeldingen te koppelen. Het exporteert CycloneDX- en SPDX-SBOM's, VEX- en VDR-rapporten en een Medcrypt FDA SBOM-formaat.
• Een gevestigde leverancier in zijn niche. Medcrypt is opgericht in 2016, doorliep Y Combinator en meldt $36.4M aan financiering, met investeerders waaronder Johnson & Johnson Innovation, Intuitive Ventures en Dexcom Ventures. Het zegt dat 140+ fabrikanten van medische apparaten erop vertrouwen, waaronder 13 van de top 50.
• Gepubliceerde prijzen. MSI kost $35,000 per productlijn per jaar met een onbeperkt aantal gebruikers, jaarlijks gefactureerd.

Waarin CRACI verschilt

Het maakt de SBOM, uit de build

Helm werkt met SBOM's die u aanlevert. U uploadt of maakt CycloneDX- of SPDX-bestanden, of een Helm GitHub Action uploadt een SBOM-bestand vanuit uw workflow (de documentatie zegt dat die vandaag CycloneDX JSON ondersteunt). Voor teams zonder SBOM verwijst de Helm-documentatie naar open-sourcegenerators, handmatig opstellen, expertdiensten of een generatietool van Medcrypt die op aanvraag beschikbaar is. De componentenlijst die Helm monitort, komt dus nog steeds van een scanner of een handgemaakt bestand.

CRACI draait de job. U wijzigt runs-on in craci, en een proxy die pakketten herkent, legt tijdens de build het verkeer naar pakketbronnen vast: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Het bewijs van afhankelijkheden reist mee met CI-caches, dus een pakket dat uit een cache wordt teruggezet, blijft in de vastlegging. Elke SBOM vermeldt hoe volledig hij is, per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded.

Embedded Linux-builds

Draait uw apparaat een Yocto-image, dan is de vergelijking rechtstreeks te maken. De Helm-documentatie laat zien hoe u de eigen SPDX-output van Yocto inschakelt en uploadt. CRACI draait BitBake op runners met maximaal 32 vCPU's en 96 GB RAM. In een vergelijkende build van core-image-sato bevatte de SBOM van CRACI elk component uit de eigen SPDX-output van Yocto, 88 extra, zoals hostpakketten en GitHub Actions, en een package-URL voor elk van de 653 versies van Rust-crates die Yocto zonder package-URL vermeldt.

Postmarketantwoorden uit de buildgeschiedenis

Wanneer een nieuwe kwetsbaarheid opduikt, is de postmarketvraag welke geleverde versies die bevatten en hoe lang al. CRACI bewaart elke eerdere build en zijn SBOM, binnen de bewaartermijn, en toont welke builds de kwetsbare afhankelijkheid bevatten, direct of transitief, zodat u weet in welke periode u was getroffen. De inventarisweergave toont welke softwareversies in welke producten zijn uitgerold. Policy gates kunnen een latere build tegenhouden die nog een specifieke CVE bevat.

Controle over wat de build kan bereiken

Omdat CRACI de runner is, dwingt het een egressbeleid voor het netwerk af: standaard weigeren of standaard toestaan, met 24 ingebouwde presets voor softwarebronnen en getypeerde eigen bronnen, gevalideerd voordat de job start en fail-closed. Het waarschuwt bij beleidsovertredingen. Medcrypt draait uw build niet, dus dit valt buiten de scope.

Onder FDA section 524B

Onder section 524B moet een indiening voor een cyber device een SBOM bevatten "including commercial, open-source, and off-the-shelf software components" en een plan om kwetsbaarheden in de postmarketfase te monitoren en aan te pakken. Beide producten raken deze eisen op verschillende manieren.

Medcrypt werkt aan de indiening zelf: het dreigingsmodel, de risicobeoordeling, de documenten, de audit op wat FDA-reviewers markeren, en het antwoord als de FDA een deficiency letter stuurt. De prijspagina merkt op: "FDA is what the platform covers today."

CRACI levert bewijs dat uit de build komt: een SBOM van wat de build daadwerkelijk gebruikte, geëxporteerd als CycloneDX of SPDX, en continue monitoring van die SBOM na de release, met triage en toewijzing aan het team dat verantwoordelijk is voor de fix. CRACI schrijft, beoordeelt of dient geen FDA-documentatie in, en het maakt een apparaat niet compliant. Het plan en de indiening blijven het werk van de fabrikant. Hoe dit aansluit bij een productsecurityteam, leest u in wat een PSIRT doet en CRACI voor PSIRT-teams.

Wanneer u welke kiest

• U bereidt een eerste indiening voor, of beantwoordt een deficiency letter. Medcrypt. Voormalige FDA-reviewers, audits van indieningen en threat modeling zijn waarvoor het is gebouwd, en CRACI doet daar niets van.
• U hebt SBOM- en kwetsbaarheidsbeheer nodig voor software die u in GitHub Actions bouwt. CRACI. Het maakt de SBOM in elke build en monitort die, dus er is geen aparte generator om te draaien en geen uploadstap om te onderhouden.
• U hebt encryptie, sleutelbeheer of apparaatidentiteit in het veld nodig. Guardian van Medcrypt dekt beveiliging aan de kant van het apparaat. CRACI werkt op de build, niet op het apparaat.
• Uw builds draaien in GitLab CI of Jenkins. Helm biedt een API, een GitHub Action en een Azure DevOps-extensie om SBOM's te uploaden. CRACI ondersteunt vandaag GitHub Actions, met GitLab CI en Jenkins op de roadmap.

Helm vervangen door CRACI

Voor apparaatsoftware die in GitHub Actions wordt gebouwd, dekt CRACI waarvoor Helm bedoeld is: het maakt de SBOM in elke build, beoordeelt gemonitorde SBOM's opnieuw wanneer nieuwe kwetsbaarheden worden gepubliceerd, bundelt bevindingen over builds en repositories heen, ondersteunt VEX, en laat securityteams bevindingen triëren en elke bevinding toewijzen aan het team dat verantwoordelijk is voor de fix. U kunt ook SBOM's van leveranciers toevoegen, zodat ingekochte componenten naast uw eigen builds worden gemonitord.

Wees u bewust van wat u opgeeft. Helm rangschikt bevindingen met exploitinformatie zoals EPSS en CISA KEV, biedt AI-begeleiding bij mitigaties, koppelt componenten met aliasregels, volgt end-of-supportgegevens en exporteert VDR-rapporten en het Medcrypt FDA SBOM-formaat. En voor het indieningswerk, de adviesuren en het MedISAO-lidmaatschap van MSI heeft CRACI geen equivalent. Wilt u vooral een indiening door de FDA-review krijgen, dan is Medcrypt daarvoor gebouwd.

Vergelijkt u meer tools voor productsecurityteams? Bekijk de vergelijking van PSIRT-tools.