CRACI vs. Cybeats SBOM Studio

Det korte svaret

Cybeats SBOM Studio kaller seg "the SBOM system of record." Det lagrer SBOM-er fra produktene og leverandørene dine, beriker dem med informasjon om sårbarheter og lisenser, overvåker dem kontinuerlig og deler dem med kunder og myndigheter. CRACI er en GitHub Actions-runner som registrerer avhengighetene hver jobb faktisk hentet, og lager SBOM-en ut fra den registreringen, med en fullstendighetsstatus.

Et system of record er aldri mer nøyaktig enn det som legges inn i det. SBOM Studio håndterer SBOM-er som et annet verktøy har generert. CRACI lager dem fra bygget og overvåker dem, så CI-en, SBOM-en og sårbarhetssporingen kommer fra ett produkt.

Kort oppsummert

Hva Cybeats gjør bra

• Ett styrt sted for hver SBOM. SBOM Studio er bygget for produktsikkerhetsteam innen ICS og OT, medisinsk utstyr, telekom, bilindustri og finansielle tjenester. Det gir dem "one governed source of truth for every SBOM across your products and suppliers."
• Bred formatstøtte. SPDX 2.2 til 3.0.1 og CycloneDX 1.2 til 1.7, for import og eksport. Plattformen håndterer også VEX, AIBOM, CBOM og HBOM.
• Kvalitetskontroll ved inngangen. SBOM Quality Score validerer filer før import, sjekker at de er korrekt formatert etter standarden, og logger hvorfor en SBOM ikke holder mål.
• Berikelse og overvåking. Hver komponent matches kontinuerlig mot sårbarhetsinformasjon, med policybaserte varsler, VEX for å kommunisere hvilke sårbarheter som berører produktene dine, og lisensanalyse for OSS og COTS.
• Deling. Kontrollert utveksling av SBOM og VEX med kunder, også over Transparency Exchange API. SBOM Consumer, et eget produkt, validerer og overvåker leverandør-SBOM-ene du mottar.

Mottak av SBOM-er fra leverandører, lisensanalyse og hostet deling er alle områder der SBOM Studio gjør mer enn CRACI i dag. Hvis jobben til teamet ditt er å drive et SBOM-program på tvers av mange produkter og leverandører, er SBOM Studio bygget for det.

Der CRACI er annerledes

Det lager SBOM-en, fra bygget

SBOM Studio tar inn SBOM-er. For generering viser Cybeats til sin Marketplace, som samler leverandører av binær komposisjonsanalyse og SBOM-genereringsverktøy. Komponentlisten i system of record-et kommer altså fortsatt fra en eller annen form for skanner.

CRACI kjører jobben. Du endrer runs-on til craci, og en pakkebevisst proxy registrerer trafikken til pakkekildene under bygget: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, pluss forhåndsinnstillinger for nedlastinger. Dokumentasjonen for avhengighetene følger med CI-cacher, så en pakke gjenopprettet fra en cache er fortsatt med i registreringen. SBOM-en inkluderer alle transitive avhengigheter bygget faktisk brukte.

Velformet er ikke det samme som fullstendig

En kvalitetsscore kan bekrefte at en SBOM følger standarden og har de forventede feltene. Den kan ikke fortelle deg hva generatoren aldri så. Generatorer er strukturelt uenige, fordi hver av dem leser et annet sett filer og løser dem opp ulikt, og et velformet dokument sier ingenting om hvorvidt avhengigheten det utelater, noen gang var synlig for verktøyet. Leverandørfeltet fra NTIA er et godt eksempel: Det valideres som til stede eller fraværende, og de fleste generatorer har ingen kilde for det. CRACI kan ikke vurderes på denne måten, fordi det registrerer bygg og ikke kan skanne en mappe.

CRACI angir fullstendigheten ut fra selve registreringen, per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Hullene i registreringen er kjente, ikke gjettet.

Kontroll og provenance

Fordi CRACI kjører jobben, håndhever det en egress-policy for nettverket: default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder og typede egendefinerte kilder, validert før jobben starter, og som blokkerer ved feil (fail closed). API-et returnerer SBOM-er, nettverksspor og provenance.

Overvåking

CRACI vurderer overvåkede SBOM-er kontinuerlig på nytt og samler sårbarheter på tvers av bygg og repositorier.

En oversikt over hva som er utrullet hvor

Inventarvisningen i CRACI viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. Når en ny sårbarhet dukker opp, kan du se hvilke produkter som kjører den berørte versjonen, i stedet for å sette det sammen fra utgivelsesnotater og regneark.

Erstatte SBOM Studio med CRACI

For programvareteam på GitHub Actions dekker CRACI det et system of record for SBOM-er skal gjøre for deres egne produkter: Det lager SBOM-en i hvert bygg, fortsetter å vurdere overvåkede SBOM-er på nytt etter hvert som nye sårbarheter publiseres, samler funn på tvers av bygg og repositorier og lar sikkerhetsteam triagere dem og sende hvert av dem til teamet som eier rettingen. Du kan også legge til leverandørers SBOM-er, så innkjøpte komponenter overvåkes sammen med dine egne bygg. Det er ingen egen generator å kjøre og ikke noe importsteg å vedlikeholde.

Vær klar over hva du gir opp. SBOM Studio håndterer lisensanalyse for OSS og COTS, AIBOM, CBOM og HBOM, gir SBOM-kvalitet en score ved import og deler SBOM-er med kunder over Transparency Exchange API. CRACI håndhever lisenspolicy på de deklarerte lisensene det registrerer, men har ingenting av resten i dag. Hvis jobben din er å drive et SBOM-program på tvers av mange produkter, leverandører og kunder, er SBOM Studio bygget for det.

For Cyber Resilience Act

Cybeats tar direkte tak i CRA. Selskapet kaller forordningen "the main driver of SBOM adoption today" og sier at SBOM Studio "produces compliant, up to date SBOMs" for å hjelpe produsenter med å opprettholde programvaretransparens gjennom produktets livssyklus. Veiledningen deres om regelverk beskriver tidslinjen for rapportering på 24 timer, 72 timer og 14 dager.

Rapporteringspliktene i CRA gjelder fra 11. september 2026, gjennom CRA Single Reporting Platform, og hovedbestemmelsene gjelder fra 11. desember 2027. Et tidlig varsel innen 24 timer forutsetter at du raskt vet hvilke utgivelser som inneholder en berørt komponent, og at du stoler på inventaret som forteller deg det. API-et til CRACI returnerer SBOM-er, nettverksspor og provenance, og SBOM-er eksporteres som CycloneDX eller SPDX, sårbarheter inkludert.

CRACI automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess. Ingen av produktene gjør en produsent samsvarende alene. Se hva CRA krever, CRA-samsvar med CRACI og industrielt IoT.

Vurderer du flere enn to verktøy? Cybeats-alternativer sammenligner ni alternativer side om side.