CRACI vs. Cybellum

Det korte svaret

Cybellum er en produktsikkerhetsplattform for enhetsprodusenter i bil-, medisin- og industrimarkedene. Den analyserer firmware-binærfiler, slår dem sammen med kildekode og leverandørers SBOM-er, matcher resultatet mot sårbarhetsdata og støtter arbeidet et PSIRT gjør etter lansering: overvåking, triage, undersøkelser og regulatorisk dokumentasjon. CRACI er en GitHub Actions-runner som registrerer hva hvert bygg henter inn mens det kjører, lager SBOM-en ut fra den registreringen og fortsetter å overvåke den.

Det første spørsmålet i hver PSIRT-sak er hvilke produkter og versjoner som inneholder den sårbare komponenten. Cybellum svarer ut fra analyse av det du leverer, uansett hvor det kom fra. CRACI svarer ut fra en registrering av hva dine egne bygg faktisk hentet. For programvare du bygger i GitHub Actions, dekker CRACI selv inventaret, overvåkingen og triagen. For firmware du mottar som binærfiler, dekker Cybellum områder CRACI ikke dekker.

Kort oppsummert

Hva Cybellum gjør bra

Analyse av binærfilen. Cybellums Cyber Digital Twins "can be extracted from the binary files of any product or component." Plattformen analyserer firmware-binærfilene til hvert produkt for å avdekke "SBOM, version history, licenses, HW architecture, OS configurations, and more," og spør bare som et tillegg: "Have the source code too?" Det betyr noe når mye av et kjøretøy eller medisinsk utstyr kjører kode fra leverandører hvis bygg du aldri ser.

Én SBOM fra mange kilder. Cybellum kombinerer "data from binary scanners, source code and external SBOM sources in SPDX, CycloneDX or CPEs CSV formats," dedupliserer identiske pakker og lar team automatisk rette, validere og godkjenne SBOM-er for ethvert produkt, enhver versjon eller gren før de deler dem som SPDX eller CycloneDX.

Funn utover kjente CVE-er. Sårbarhetsdatabasen kombinerer offentlige og private kilder, EPSS og forskningsfunn, og Cybellum legger til "built-in malware and coding weakness detection engines." Team kan importere trusselmodeller, TARA samt resultater fra fuzzing og penetrasjonstester, og deretter triagere med en AI-assistent, VM CoPilot.

Bygget for PSIRT-arbeid. Modulen for hendelseshåndtering lar et team "see exactly which products or components are affected by a new vulnerability or regulation," gir det "a workbench for creating and managing investigations," åpner saker og deler sårbarhetsstatus "via VEX/CSAF reports as needed."

Regulatorisk dokumentasjon. Cybellum håndterer dokumentasjon for "FDA PMA, ISO 21434, CRA as well as your own custom policy frameworks," med ferdig kartlagte krav fra "50+ standards, regulations, and best practices." Det kjører i offentlige skyer eller i ditt eget datasenter. LG Electronics kjøpte en majoritetsandel i Cybellum i 2021, og Cybellum fortsetter som egen merkevare.

Der CRACI er annerledes

Cybellum starter fra artefakter: firmware-imaget, kildetreet, SBOM-en en leverandør sendte. CRACI starter fra selve bygget, fordi bygget kjører på CRACI.

Observert, ikke utledet

Du endrer runs-on til craci, og jobben kjører i en isolert virtuell maskin på en CRACI-runner. En pakkebevisst proxy registrerer hva jobben laster ned fra pakkekilder, og pakker gjenopprettet fra CI-cacher tas med videre. Hver SBOM angir hvor fullstendig den er, per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Firmware-team kan kjøre Yocto på runnere med opptil 32 vCPU og 96 GB RAM. I et bygg av core-image-sato side om side hadde SBOM-en fra CRACI hver komponent i Yoctos egne SPDX-utdata, 88 til, som vertspakker og GitHub Actions, og en package URL for hver av de 653 Rust-crate-versjonene Yocto oppgir uten slik URL.

Hvilke bygg og produkter en CVE nådde

CRACI tar vare på hvert tidligere bygg med SBOM-en, så når et sikkerhetsvarsel kommer, kan du se hvilke bygg som inneholdt den sårbare avhengigheten, direkte eller transitiv, og hvor lenge, innenfor oppbevaringsperioden din. Inventarvisningen viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. CRACI vurderer overvåkede SBOM-er kontinuerlig på nytt, støtter VEX og lar sikkerhetsteam triagere funn og sende hvert av dem til teamet som eier rettingen. Du kan legge til leverandørers SBOM-er, så innkjøpte komponenter overvåkes ved siden av dine egne bygg.

Kontroll under bygget

En skanning av utdataene kan ikke endre hva bygget kunne nå. Det kan egress-policyen i CRACI: Den er default deny eller allow, valideres før jobben starter, blokkerer ved feil (fail closed) og sender et varsel ved brudd. Policykontroller kan også stoppe et bygg som inneholder en bestemt CVE.

Hva du gir opp med CRACI

CRACI analyserer ikke binærfiler, så det kan ikke fortelle deg hva som er inne i en leverandørblob bygget ditt laster ned, bare at bygget hentet den og hvorfra. Det ser ikke etter zero-days, skanning av kildekode for svakheter i koden er utenfor omfanget, og det har ingen veiledede sjekker mot standarder og ingen rapporteksport. Det støtter bare GitHub Actions i dag, med GitLab CI og Jenkins på veikartet, og kjører som administrerte runnere på europeisk infrastruktur, med kundehostede runnere på veikartet.

Når du bør bruke hvilken

• Det meste av firmwaren din kommer fra leverandører som binærfiler. Cybellum. Analyse av binærfilen er måten å se inn i den på.
• Du bygger din egen programvare og dine egne images i GitHub Actions. CRACI kjører bygget, registrerer inputene og sporer sårbarhetene i det som ble registrert, så PSIRT-ets inventar kommer fra selve bygget.
• Du trenger dokumentasjon for regulatoriske innsendinger innen bil eller medisin. Cybellum har regulatoriske maler for FDA PMA, ISO 21434 og EU CRA. CRACI eksporterer SBOM-er som CycloneDX eller SPDX, og API-et returnerer SBOM-er, nettverksspor og provenance, for din bredere prosess.
• Du vil begrense hva bygg kan laste ned. CRACI. Den kontrollen finnes bare der bygget kjører.

For CRA

Cyber Resilience Act ber produsenter identifisere og dokumentere komponentene i produktene sine, inkludert en SBOM, håndtere sårbarheter gjennom støtteperioden og, fra september 2026, rapportere aktivt utnyttede sårbarheter. Cybellum hjelper med CRA-maler og dokumentasjon på tvers av produkter og leverandører. CRACI hjelper ved å produsere dokumentasjon per bygg av hva som gikk inn i programvaren du bygger, med løpende overvåking og SBOM-eksport som CycloneDX eller SPDX, og det sender inn CRA-varslene på dine vegne. CRACI automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som produsenter trenger for sin bredere CRA-samsvarsprosess; det gjør ikke et produkt samsvarende alene. Les hva CRA krever.

Kjøre byggene dine på CRACI

Pek byggejobben din mot runs-on: craci, så fortsetter den samme workflowen å kjøre i GitHub Actions mens CRACI registrerer den. For Yocto viser eksempelet i CRACI-dokumentasjonen en full BitBake-workflow. Se hvordan CRACI fungerer for industrielt IoT og forbrukerelektronikk.

Ny i rollen? Les hva et PSIRT gjør og CRACI for PSIRT-team. Vurderer du flere enn to verktøy? Se PSIRT-verktøy sammenlignet og Cybellum-alternativer.