CRACI vs Cybellum

Krótka odpowiedź

Cybellum to platforma bezpieczeństwa produktu dla producentów urządzeń z rynków motoryzacyjnego, medycznego i przemysłowego. Analizuje pliki binarne firmware'u, scala je z kodem źródłowym i SBOM-ami dostawców, dopasowuje wynik do danych o podatnościach i wspiera pracę PSIRT po wprowadzeniu produktu na rynek: monitorowanie, triage, dochodzenia i dowody regulacyjne. CRACI to runner GitHub Actions, który rejestruje, co pobiera każdy build podczas działania, na podstawie tego zapisu tworzy SBOM i nadal go monitoruje.

Pierwsze pytanie w każdej sprawie PSIRT brzmi: które produkty i wersje zawierają podatny komponent. Cybellum odpowiada na nie na podstawie analizy tego, co Państwo dostarczają, niezależnie od pochodzenia. CRACI odpowiada na podstawie zapisu tego, co faktycznie pobrały Państwa własne buildy. W przypadku oprogramowania budowanego w GitHub Actions CRACI sam obejmuje inwentarz, monitorowanie i triage. W przypadku firmware'u otrzymywanego w postaci plików binarnych Cybellum obejmuje obszar, którego CRACI nie obejmuje.

W skrócie

Co Cybellum robi dobrze

Analiza pliku binarnego. Cyber Digital Twins firmy Cybellum „można wyodrębnić z plików binarnych dowolnego produktu lub komponentu”. Platforma analizuje pliki binarne firmware'u każdego produktu, aby ujawnić „SBOM, historię wersji, licencje, architekturę sprzętową, konfiguracje systemu operacyjnego i nie tylko”, a o kod źródłowy pyta tylko jako dodatek: „Mają Państwo także kod źródłowy?” Ma to znaczenie, gdy duża część pojazdu lub urządzenia medycznego działa na kodzie dostawców, których buildów Państwo nigdy nie widzą.

Jeden SBOM z wielu źródeł. Cybellum łączy „dane ze skanerów plików binarnych, kod źródłowy i zewnętrzne źródła SBOM w formatach SPDX, CycloneDX lub CPEs CSV”, deduplikuje identyczne pakiety i pozwala zespołom automatycznie naprawiać, walidować i zatwierdzać SBOM-y dla dowolnego produktu, wersji lub gałęzi przed ich udostępnieniem jako SPDX lub CycloneDX.

Znaleziska wykraczające poza znane CVE. Jego baza podatności łączy publiczne i prywatne źródła danych, EPSS i wyniki badań, a Cybellum dodaje „wbudowane silniki wykrywania złośliwego oprogramowania i słabości kodu”. Zespoły mogą importować modele zagrożeń, TARA, wyniki fuzzingu i testów penetracyjnych, a następnie wykonywać triage z asystentem AI, VM CoPilot.

Stworzony do pracy PSIRT. Jego moduł reagowania na incydenty pozwala zespołowi „zobaczyć dokładnie, których produktów lub komponentów dotyczy nowa podatność lub regulacja”, daje mu „stanowisko pracy do tworzenia dochodzeń i zarządzania nimi”, otwiera zgłoszenia i udostępnia status podatności „w razie potrzeby przez raporty VEX/CSAF”.

Dowody regulacyjne. Cybellum zarządza dowodami dla „FDA PMA, ISO 21434, CRA oraz Państwa własnych, niestandardowych frameworków polityk”, ze wstępnie zmapowanymi wymaganiami z „ponad 50 standardów, regulacji i dobrych praktyk”. Działa w chmurach publicznych lub w Państwa własnym centrum danych. LG Electronics kupiło pakiet większościowy Cybellum w 2021 roku, a Cybellum nadal działa pod własną marką.

Czym różni się CRACI

Cybellum zaczyna od artefaktów: obrazu firmware'u, drzewa kodu źródłowego, SBOM przesłanego przez dostawcę. CRACI zaczyna od samego buildu, ponieważ build działa na CRACI.

Zaobserwowane, a nie wywnioskowane

Wystarczy zmienić runs-on na craci, a zadanie działa w izolowanej maszynie wirtualnej na runnerze CRACI. Proxy rozpoznające pakiety rejestruje, co zadanie pobiera ze źródeł pakietów, a pakiety przywrócone z cache CI są przenoszone dalej. Każdy SBOM określa, jak jest kompletny, dla każdego zadania i każdego cache: Complete, Complete with connections, Incomplete, Unavailable lub Not recorded. Zespoły firmware mogą uruchamiać Yocto na runnerach o rozmiarze do 32 vCPU i 96 GB RAM. W porównawczym buildzie core-image-sato SBOM z CRACI zawierał każdy komponent z własnego wyniku SPDX Yocto, 88 dodatkowych, takich jak pakiety hosta i GitHub Actions, oraz package URL dla każdej z 653 wersji crate'ów Rust, które Yocto wymienia bez niego.

Do których buildów i produktów dotarło CVE

CRACI przechowuje każdy wcześniejszy build wraz z jego SBOM, więc gdy pojawi się biuletyn, widzą Państwo, które buildy zawierały podatną zależność, bezpośrednią lub przechodnią, i jak długo, w ramach Państwa okresu przechowywania. Jego widok inwentarza pokazuje dokładnie, które wersje oprogramowania są wdrożone w których produktach, na całym świecie. CRACI stale ponownie ocenia monitorowane SBOM-y, obsługuje VEX i pozwala zespołom bezpieczeństwa wykonywać triage znalezisk oraz przekazywać każde z nich zespołowi odpowiedzialnemu za poprawkę. Można dodawać SBOM-y dostawców, dzięki czemu kupowane komponenty są monitorowane obok Państwa własnych buildów.

Kontrola podczas buildu

Skan wyniku nie zmieni tego, do czego build miał dostęp. Polityka ruchu wychodzącego CRACI to potrafi: działa w trybie domyślnej odmowy lub zezwolenia, jest weryfikowana przed startem zadania, w razie błędu blokuje ruch, a przy naruszeniu wysyła alert. Bramki polityk mogą też zatrzymać build zawierający konkretne CVE.

Z czego rezygnują Państwo przy CRACI

CRACI nie analizuje plików binarnych, więc nie powie Państwu, co jest w pobieranym przez build binarnym blobie dostawcy, a jedynie że build go pobrał i skąd. Nie szuka zero-day, skanowanie kodu źródłowego pod kątem słabości jest poza jego zakresem, a także nie ma prowadzonych kontroli względem standardów ani eksportu raportów. Obsługuje dziś tylko GitHub Actions (GitLab CI i Jenkins są w planach rozwoju) i działa w formie zarządzanych runnerów na europejskiej infrastrukturze, a runnery hostowane u klienta są w planach rozwoju.

Kiedy używać którego

• Większość Państwa firmware'u pochodzi od dostawców w postaci plików binarnych. Cybellum. Analiza pliku binarnego to sposób, by zajrzeć do środka.
• Budują Państwo własne oprogramowanie i obrazy w GitHub Actions. CRACI uruchamia build, rejestruje jego składniki i śledzi podatności w tym, co zarejestrował, więc inwentarz PSIRT pochodzi z samego buildu.
• Potrzebują Państwo dowodów do zgłoszeń regulacyjnych w motoryzacji lub medycynie. Cybellum ma szablony regulacyjne dla FDA PMA, ISO 21434 i EU CRA. CRACI eksportuje SBOM-y w formacie CycloneDX lub SPDX, a jego API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu na potrzeby Państwa szerszego procesu.
• Chcą Państwo ograniczyć, co buildy mogą pobierać. CRACI. Taka kontrola istnieje tylko tam, gdzie działa build.

Na potrzeby CRA

Cyber Resilience Act wymaga od producentów identyfikowania i dokumentowania komponentów ich produktów, w tym w postaci SBOM, obsługi podatności przez cały okres wsparcia oraz, od września 2026, zgłaszania aktywnie wykorzystywanych podatności. Cybellum pomaga szablonami CRA i dowodami obejmującymi produkty i dostawców. CRACI pomaga, wytwarzając dla każdego buildu dowody tego, co trafiło do budowanego przez Państwa oprogramowania, z bieżącym monitorowaniem i eksportem SBOM w formacie CycloneDX lub SPDX, a także składa zgłoszenia CRA w Państwa imieniu. CRACI automatyzuje znaczną część widoczności łańcucha dostaw oprogramowania i dowodów potrzebnych producentom w szerszym procesie zgodności z CRA; sam w sobie nie zapewnia zgodności produktu. Zob. czego wymaga CRA.

Uruchamianie buildów na CRACI

Wystarczy wskazać w zadaniu buildu runs-on: craci, a ten sam workflow nadal działa w GitHub Actions, podczas gdy CRACI go rejestruje. Dla Yocto przykład w dokumentacji CRACI pokazuje pełny workflow BitBake. Proszę zobaczyć, jak CRACI działa w przemysłowym IoT oraz elektronice użytkowej.

Są Państwo nowi w tej roli? Proszę przeczytać, czym zajmuje się PSIRT, oraz CRACI dla zespołów PSIRT. Rozważają Państwo więcej niż dwa narzędzia? Zob. porównanie narzędzi PSIRT oraz alternatywy dla Cybellum.