CRACI vs. Medcrypt

Det korte svaret

Medcrypt er et selskap innen cybersikkerhet for medisinsk utstyr. Plattformen, Medcrypt Security Intelligence (MSI), kombinerer programvare med et team av tidligere FDA-saksbehandlere for å forberede, revidere og vedlikeholde en enhets cybersikkerhetsinnsending. Løftet på hjemmesiden er "Get your cybersecurity submission approved. The first time." Helm, produktet for SBOM- og sårbarhetsforvaltning, er en del av MSI og selges også alene.

CRACI er en GitHub Actions-runner som registrerer avhengighetene hver jobb faktisk hentet, og produserer SBOM-en fra den registreringen, med en fullstendighetsstatus. Deretter vurderer det overvåkede SBOM-er på nytt når advisories dukker opp, og sikkerhetsteam triagerer funn og sender dem til teamet som eier rettingen. CRACI forbereder eller vurderer ikke FDA-innsendinger. For SBOM-en og sårbarhetssporingen etter markedsføring av programvare du bygger, erstatter CRACI Helm, med utgangspunkt i selve bygget.

Oversikt

Hva Medcrypt gjør bra

• FDA-ekspertise i staben. Sjekkene, revisjonene og malene i MSI er laget av et team som, med Medcrypts ord, omfatter "former FDA reviewers and authors of the guidance itself." MSI-planen inkluderer 15 rådgivningstimer i året med dem, og plattformen skanner innsendingspakker etter det en saksbehandler ville flagget. For en første 510(k)- eller PMA-innsending er det hjelp CRACI ikke tilbyr.
• Hele innsendingen, ikke bare SBOM-en. MSI dekker trusselmodellering, vurdering av cybersikkerhetsrisiko, dokumentgenerering (merket beta), svar på deficiency letters og penetrasjonstesting som tillegg gjennom godkjente partnere.
• Arbeid etter markedsføring, etter klarering. MSI inkluderer kontinuerlig sårbarhetsovervåking og medlemskap i MedISAO, som ifølge Medcrypt gir enhetsspesifikke sårbarhetsvarsler, et program for koordinert offentliggjøring av sårbarheter og oppdateringer om veiledning. Plattformsiden sier det rett ut: "Section 524B made post-market cybersecurity a legal duty."
• Helm er bygget for enhetsprodusenter. Helm rangerer funn med data fra EPSS, CISA KEV, ExploitDB og Metasploit, gir sårbarheter ny score i bulk for å passe hver enhets kontekst, fører utbedringer videre på tvers av produktversjoner og bruker aliasregler for å matche komponenter med NVD-oppføringer. Det eksporterer CycloneDX- og SPDX-SBOM-er, VEX- og VDR-rapporter og et Medcrypt FDA SBOM-format.
• En etablert leverandør i sin nisje. Medcrypt ble grunnlagt i 2016, gikk gjennom Y Combinator og rapporterer $36.4M i finansiering, med investorer som Johnson & Johnson Innovation, Intuitive Ventures og Dexcom Ventures. Selskapet sier at 140+ produsenter av medisinsk utstyr stoler på det, inkludert 13 av de 50 største.
• Publiserte priser. MSI koster $35,000 per produktlinje per år med ubegrenset antall brukere, fakturert årlig.

Der CRACI skiller seg ut

Det produserer SBOM-en, fra bygget

Helm jobber med SBOM-er du gir det. Du laster opp eller oppretter CycloneDX- eller SPDX-filer, eller en Helm GitHub Action laster opp en SBOM-fil fra workflowen din (dokumentasjonen sier at den støtter CycloneDX JSON i dag). For team uten SBOM viser Helm-dokumentasjonen til generatorer med åpen kildekode, manuell oppretting, ekspertbistand eller et genereringsverktøy fra Medcrypt tilgjengelig på forespørsel. Komponentlisten Helm overvåker, kommer altså fortsatt fra en skanner eller en håndlaget fil.

CRACI kjører jobben. Du endrer runs-on til craci, og en pakkebevisst proxy registrerer trafikk til pakkekilder under bygget: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, pluss forhåndsinnstillinger for nedlastinger. Dokumentasjonen av avhengigheter følger med CI-cacher, så en pakke gjenopprettet fra en cache likevel er med i registreringen. Hver SBOM angir hvor fullstendig den er, per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Embedded Linux-bygg

Kjører enheten din et Yocto-image, er sammenligningen direkte. Helm-dokumentasjonen viser hvordan du slår på Yoctos eget SPDX-resultat og laster det opp. CRACI kjører BitBake på runnere med opptil 32 vCPU-er og 96 GB RAM. I et bygg av core-image-sato sammenlignet side om side hadde CRACIs SBOM hver komponent i Yoctos eget SPDX-resultat, 88 flere, blant annet vertspakker og GitHub Actions, og en pakke-URL for hver av de 653 Rust-crate-versjonene Yocto lister uten en slik.

Svar etter markedsføring fra byggehistorikken

Når en ny sårbarhet dukker opp, er spørsmålet etter markedsføring hvilke leverte versjoner som inneholder den, og hvor lenge. CRACI beholder hvert tidligere bygg med SBOM-en sin, innenfor oppbevaringstiden, og viser hvilke bygg som inneholdt den sårbare avhengigheten, direkte eller transitiv, så du vet i hvilken periode du var berørt. Inventarvisningen viser hvilke programvareversjoner som er rullet ut til hvilke produkter. Policy gates kan stoppe et senere bygg som fortsatt inneholder en bestemt CVE.

Kontroll over hva bygget kan nå

Fordi CRACI er runneren, håndhever det en egress-policy for nettverket: default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder og typede egendefinerte kilder, validert før jobben starter og blokkerer ved feil (fail closed). Det varsler ved policybrudd. Medcrypt kjører ikke bygget ditt, så dette er utenfor omfanget.

Under FDA section 524B

Under section 524B må en innsending for en cyberenhet inneholde en SBOM "including commercial, open-source, and off-the-shelf software components" og en plan for å overvåke og håndtere sårbarheter etter markedsføring. Begge produktene berører disse kravene på ulike måter.

Medcrypt jobber med selve innsendingen: trusselmodellen, risikovurderingen, dokumentene, revisjonen mot det FDA-saksbehandlere flagger, og svaret hvis FDA sender et deficiency letter. Prissiden påpeker: "FDA is what the platform covers today."

CRACI leverer dokumentasjon som kommer ut av bygget: en SBOM av det bygget faktisk brukte, eksportert som CycloneDX eller SPDX, og kontinuerlig overvåking av den SBOM-en etter utgivelse, med triage og ruting til teamet som eier rettingen. CRACI skriver, vurderer og sender ikke inn FDA-dokumentasjon, og det gjør ikke en enhet samsvarende. Planen og innsendingen forblir produsentens arbeid. Vil du se hvordan dette passer inn hos et produktsikkerhetsteam, kan du lese hva et PSIRT gjør og CRACI for PSIRT-team.

Hva du bør velge, og når

• Du forbereder en første innsending eller svarer på et deficiency letter. Medcrypt. Tidligere FDA-saksbehandlere, revisjon av innsendinger og trusselmodellering er det selskapet er bygget for, og CRACI gjør ingenting av dette.
• Du trenger SBOM- og sårbarhetsforvaltning for programvare du bygger i GitHub Actions. CRACI. Det produserer SBOM-en i hvert bygg og overvåker den, så det er ingen separat generator å kjøre og ikke noe opplastingssteg å vedlikeholde.
• Du trenger kryptering, nøkkelhåndtering eller enhetsidentitet ute i felt. Medcrypts Guardian dekker sikkerhet på enhetssiden. CRACI jobber på bygget, ikke på enheten.
• Byggene dine kjører i GitLab CI eller Jenkins. Helm tilbyr et API, en GitHub Action og en Azure DevOps-utvidelse for opplasting av SBOM-er. CRACI støtter GitHub Actions i dag, med GitLab CI og Jenkins på veikartet.

Slik erstatter du Helm med CRACI

For enhetsprogramvare bygget i GitHub Actions dekker CRACI det Helm er der for: Det produserer SBOM-en i hvert bygg, vurderer overvåkede SBOM-er på nytt når nye sårbarheter publiseres, samler funn på tvers av bygg og repositorier, støtter VEX og lar sikkerhetsteam triagere funn og sende hvert funn til teamet som eier rettingen. Du kan også legge til SBOM-er fra leverandører, så innkjøpte komponenter overvåkes ved siden av dine egne bygg.

Vær klar over hva du gir opp. Helm rangerer funn med utnyttelsesinformasjon som EPSS og CISA KEV, tilbyr AI-veiledning om tiltak, matcher komponenter med aliasregler, sporer data om end of support og eksporterer VDR-rapporter og Medcrypt FDA SBOM-formatet. Og ingenting av innsendingsarbeidet, rådgivningstimene eller MedISAO-medlemskapet i MSI har noe tilsvarende hos CRACI. Hvis hovedbehovet ditt er å få en innsending gjennom FDA-vurderingen, er Medcrypt bygget for det.

Sammenligner du flere verktøy for produktsikkerhetsteam? Se sammenligningen av PSIRT-verktøy.