CRACI vs Cybeats SBOM Studio

Krótka odpowiedź

Cybeats SBOM Studio określa się mianem „systemu ewidencji SBOM”. Przechowuje SBOM-y Państwa produktów i dostawców, wzbogaca je o informacje o podatnościach i licencjach, stale je monitoruje i udostępnia klientom oraz regulatorom. CRACI to runner GitHub Actions, który rejestruje zależności faktycznie pobrane przez każde zadanie i na podstawie tego zapisu tworzy SBOM ze stanem kompletności.

System ewidencji jest tylko tak dokładny jak to, co do niego trafia. SBOM Studio zarządza SBOM-ami wygenerowanymi przez jakieś inne narzędzie. CRACI tworzy je z buildu i monitoruje, więc CI, SBOM i śledzenie podatności pochodzą z jednego produktu.

W skrócie

Co Cybeats robi dobrze

• Jedno zarządzane miejsce dla każdego SBOM. SBOM Studio powstało dla zespołów bezpieczeństwa produktu w ICS i OT, urządzeniach medycznych, telekomunikacji, motoryzacji i usługach finansowych. Daje im „jedno zarządzane źródło prawdy dla każdego SBOM we wszystkich produktach i u wszystkich dostawców”.
• Szeroka obsługa formatów. SPDX od 2.2 do 3.0.1 i CycloneDX od 1.2 do 1.7, zarówno w imporcie, jak i w eksporcie. Platforma obsługuje też VEX, AIBOM, CBOM i HBOM.
• Kontrola jakości na wejściu. SBOM Quality Score waliduje pliki przed importem, sprawdza ich poprawne sformatowanie względem standardu i zapisuje, dlaczego dany SBOM nie spełnia wymagań.
• Wzbogacanie i monitorowanie. Każdy komponent jest stale dopasowywany do informacji o podatnościach, z alertami opartymi na politykach, VEX do komunikowania, które podatności dotyczą Państwa produktów, oraz analizą licencji OSS i COTS.
• Udostępnianie. Kontrolowana wymiana SBOM i VEX z klientami, także przez Transparency Exchange API. SBOM Consumer, osobny produkt, waliduje i monitoruje otrzymywane SBOM-y dostawców.

Przyjmowanie SBOM-ów od dostawców, analiza licencji i hostowane udostępnianie to obszary, w których SBOM Studio robi dziś więcej niż CRACI. Jeśli zadaniem Państwa zespołu jest prowadzenie programu SBOM w wielu produktach i u wielu dostawców, zostało stworzone właśnie do tego.

Czym różni się CRACI

Tworzy SBOM z buildu

SBOM Studio importuje SBOM-y. W kwestii generowania Cybeats odsyła do swojego Marketplace, który skupia dostawców narzędzi do analizy składu plików binarnych i generowania SBOM. Lista komponentów w systemie ewidencji nadal pochodzi więc z jakiegoś skanera.

CRACI uruchamia zadanie. Wystarczy zmienić runs-on na craci, a proxy rozpoznające pakiety rejestruje podczas buildu ruch do źródeł pakietów: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk i źródeł Git, a także presetów pobierania. Dowody zależności są przenoszone razem z cache CI, więc pakiet przywrócony z cache nadal jest w zapisie. SBOM obejmuje wszystkie zależności przechodnie faktycznie użyte przez build.

Poprawnie sformatowany to nie to samo co kompletny

Ocena jakości może potwierdzić, że SBOM jest zgodny ze standardem i zawiera oczekiwane pola. Nie powie Państwu, czego generator nigdy nie zobaczył. Generatory różnią się strukturalnie, ponieważ każdy odczytuje inny zestaw plików i inaczej go rozwiązuje, a poprawnie sformatowany dokument nie mówi nic o tym, czy pominięta w nim zależność w ogóle trafiła do narzędzia. Dobrym przykładem jest pole dostawcy NTIA: jego walidacja sprawdza tylko, czy jest obecne, a większość generatorów nie ma dla niego źródła. CRACI nie można ocenić w ten sposób, ponieważ rejestruje buildy i nie potrafi skanować katalogu.

CRACI określa kompletność na podstawie samego zapisu, dla każdego zadania i każdego cache: Complete, Complete with connections, Incomplete, Unavailable lub Not recorded. Luki w zapisie są znane, a nie zgadywane.

Kontrola i pochodzenie

Ponieważ CRACI uruchamia zadanie, egzekwuje politykę sieciowego ruchu wychodzącego: domyślna odmowa lub domyślne zezwolenie, z 24 wbudowanymi presetami źródeł oprogramowania i typowanymi źródłami niestandardowymi, weryfikowana przed startem zadania i blokująca ruch w razie błędu. API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu.

Monitorowanie

CRACI stale ponownie ocenia monitorowane SBOM-y i agreguje podatności z różnych buildów i repozytoriów.

Inwentarz tego, co gdzie jest wdrożone

Widok inwentarza CRACI pokazuje dokładnie, które wersje oprogramowania są wdrożone w których produktach, na całym świecie. Gdy pojawi się nowa podatność, widzą Państwo, które produkty używają podatnej wersji, zamiast składać to z informacji o wydaniach i arkuszy kalkulacyjnych.

Zastąpienie SBOM Studio przez CRACI

Dla zespołów programistycznych korzystających z GitHub Actions CRACI obejmuje to, do czego służy system ewidencji SBOM w przypadku ich własnych produktów: tworzy SBOM w każdym buildzie, nadal ponownie ocenia monitorowane SBOM-y w miarę publikowania nowych podatności, agreguje znaleziska z różnych buildów i repozytoriów oraz pozwala zespołom bezpieczeństwa wykonywać ich triage i przekazywać każde z nich zespołowi odpowiedzialnemu za poprawkę. Można też dodawać SBOM-y dostawców, dzięki czemu kupowane komponenty są monitorowane obok Państwa własnych buildów. Nie ma osobnego generatora do uruchamiania ani kroku importu do utrzymywania.

Warto jasno powiedzieć, z czego Państwo rezygnują. SBOM Studio obsługuje analizę licencji OSS i COTS, AIBOM, CBOM i HBOM, ocenia jakość SBOM-ów przy imporcie i udostępnia SBOM-y klientom przez Transparency Exchange API. CRACI egzekwuje politykę licencyjną na rejestrowanych przez siebie deklarowanych licencjach, ale reszty dziś nie ma. Jeśli Państwa zadaniem jest prowadzenie programu SBOM w wielu produktach, u wielu dostawców i klientów, SBOM Studio zostało stworzone właśnie do tego.

Na potrzeby Cyber Resilience Act

Cybeats odnosi się do CRA bezpośrednio. Nazywa to rozporządzenie „głównym motorem wdrażania SBOM dziś” i twierdzi, że SBOM Studio „tworzy zgodne, aktualne SBOM-y”, aby pomagać producentom utrzymywać przejrzystość oprogramowania przez cały cykl życia produktu. Jego przewodnik po regulacjach przedstawia harmonogram raportowania: 24 godziny, 72 godziny i 14 dni.

Obowiązki raportowania wynikające z CRA obowiązują od 11 września 2026 przez CRA Single Reporting Platform, a główne przepisy od 11 grudnia 2027. Wczesne ostrzeżenie w ciągu 24 godzin zależy od szybkiego ustalenia, które wydania zawierają podatny komponent, i od zaufania do inwentarza, który to podaje. API CRACI zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu, a SBOM-y eksportuje się w formacie CycloneDX lub SPDX, łącznie z podatnościami.

CRACI automatyzuje znaczną część widoczności łańcucha dostaw oprogramowania i dowodów potrzebnych firmom w szerszym procesie zgodności z CRA. Żaden z tych produktów sam w sobie nie zapewnia producentowi zgodności. Zob. czego wymaga CRA, zgodność z CRA z CRACI oraz przemysłowy IoT.

Rozważają Państwo więcej niż dwa narzędzia? Alternatywy dla Cybeats zestawiają dziewięć opcji obok siebie.