CRACI vs Medcrypt

Krótka odpowiedź

Medcrypt to firma zajmująca się cyberbezpieczeństwem wyrobów medycznych. Jej platforma, Medcrypt Security Intelligence (MSI), łączy oprogramowanie z zespołem byłych recenzentów FDA, aby przygotowywać, audytować i utrzymywać zgłoszenie cyberbezpieczeństwa wyrobu. Obietnica na jej stronie głównej brzmi: "Get your cybersecurity submission approved. The first time." Helm, jej produkt do zarządzania SBOM i podatnościami, jest częścią MSI i jest też sprzedawany osobno.

CRACI to runner GitHub Actions, który rejestruje zależności faktycznie pobrane przez każde zadanie i na tej podstawie tworzy SBOM ze stanem kompletności. Następnie ponownie ocenia monitorowane SBOM-y w miarę pojawiania się biuletynów, a zespoły bezpieczeństwa wykonują triage znalezisk i przekazują je zespołowi odpowiedzialnemu za poprawkę. CRACI nie przygotowuje ani nie sprawdza zgłoszeń do FDA. W zakresie SBOM i śledzenia podatności po wprowadzeniu na rynek dla budowanego przez Państwa oprogramowania CRACI zastępuje Helm, zaczynając od samego buildu.

W skrócie

Co Medcrypt robi dobrze

• Wiedza ekspercka o FDA w zespole. Kontrole, audyty i szablony MSI tworzy zespół, w którym według Medcrypt są byli recenzenci FDA i autorzy samych wytycznych. Plan MSI obejmuje 15 godzin doradztwa rocznie z tym zespołem, a platforma skanuje pakiety zgłoszeń pod kątem tego, co oznaczyłby recenzent. Przy pierwszym zgłoszeniu 510(k) lub PMA to pomoc, której CRACI nie oferuje.
• Całe zgłoszenie, nie tylko SBOM. MSI obejmuje modelowanie zagrożeń, ocenę ryzyka cyberbezpieczeństwa, generowanie dokumentów (oznaczone jako beta), odpowiedzi na deficiency letters oraz testy penetracyjne jako dodatek przez sprawdzonych partnerów.
• Praca po dopuszczeniu. MSI obejmuje ciągłe monitorowanie podatności i członkostwo w MedISAO, które według Medcrypt zapewnia alerty o podatnościach specyficznych dla wyrobów, program skoordynowanego ujawniania podatności i aktualizacje wytycznych. Strona platformy ujmuje to wprost: "Section 524B made post-market cybersecurity a legal duty."
• Helm powstał dla producentów wyrobów. Helm szereguje znaleziska na podstawie danych EPSS, CISA KEV, ExploitDB i Metasploit, zbiorczo ponownie ocenia podatności zgodnie z kontekstem każdego wyrobu, przenosi działania naprawcze między wersjami produktu i używa reguł aliasów do dopasowywania komponentów do wpisów NVD. Eksportuje SBOM-y CycloneDX i SPDX, raporty VEX i VDR oraz format Medcrypt FDA SBOM.
• Uznany dostawca w swojej niszy. Medcrypt powstał w 2016 roku, przeszedł przez Y Combinator i podaje $36.4M finansowania, z inwestorami takimi jak Johnson & Johnson Innovation, Intuitive Ventures i Dexcom Ventures. Podaje, że ufa mu ponad 140 producentów wyrobów medycznych, w tym 13 z pierwszej pięćdziesiątki.
• Opublikowany cennik. MSI kosztuje $35,000 za linię produktów rocznie, bez limitu użytkowników, z fakturowaniem rocznym.

Czym różni się CRACI

Tworzy SBOM z buildu

Helm pracuje z SBOM-ami, które Państwo mu przekażą. Przesyłają lub tworzą Państwo pliki CycloneDX lub SPDX albo Helm GitHub Action przesyła plik SBOM z Państwa workflow (dokumentacja podaje, że obsługuje dziś CycloneDX JSON). Zespołom bez SBOM dokumentacja Helm wskazuje generatory open source, ręczne tworzenie, usługi ekspertów lub narzędzie Medcrypt do generowania dostępne na życzenie. Lista komponentów monitorowana przez Helm nadal pochodzi więc ze skanera lub pliku przygotowanego ręcznie.

CRACI uruchamia zadanie. Zmieniają Państwo runs-on na craci, a proxy rozpoznające pakiety rejestruje podczas buildu ruch do źródeł pakietów: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk i źródeł Git, a także presetów pobierania. Dowody zależności przemieszczają się razem z cache CI, więc pakiet przywrócony z cache nadal znajduje się w zapisie. Każdy SBOM określa swoją kompletność dla każdego zadania i każdego cache: Complete, Complete with connections, Incomplete, Unavailable lub Not recorded.

Buildy wbudowanego Linuksa

Jeśli Państwa wyrób działa na obrazie Yocto, porównanie jest bezpośrednie. Dokumentacja Helm pokazuje, jak włączyć własny wynik SPDX w Yocto i go przesłać. CRACI uruchamia BitBake na runnerach do 32 vCPU i 96 GB RAM. W równoległym buildzie core-image-sato SBOM CRACI zawierał każdy komponent z własnego wyniku SPDX Yocto, 88 dodatkowych, takich jak pakiety hosta i GitHub Actions, oraz URL pakietu dla każdej z 653 wersji crate'ów Rust, które Yocto wymienia bez niego.

Odpowiedzi po wprowadzeniu na rynek z historii buildów

Gdy pojawia się nowa podatność, pytanie po wprowadzeniu na rynek brzmi: które dostarczone wersje ją zawierają i od jak dawna. CRACI przechowuje każdy wcześniejszy build i jego SBOM, w okresie przechowywania, i pokazuje, które buildy zawierały podatną zależność, bezpośrednią lub przechodnią, dzięki czemu wiedzą Państwo, w jakim okresie byli narażeni. Widok inwentarza pokazuje, które wersje oprogramowania są wdrożone w których produktach. Bramki polityk mogą zatrzymać późniejszy build, który nadal zawiera konkretne CVE.

Kontrola nad tym, do czego build może dotrzeć

Ponieważ CRACI jest runnerem, egzekwuje politykę ruchu wychodzącego: domyślna odmowa lub domyślne zezwolenie, z 24 wbudowanymi presetami źródeł oprogramowania i typowanymi źródłami niestandardowymi, walidowana przed startem zadania i blokująca ruch w razie błędu. Wysyła alerty o naruszeniach polityki. Medcrypt nie uruchamia Państwa buildu, więc jest to poza jego zakresem.

W świetle sekcji 524B FDA

Zgodnie z sekcją 524B zgłoszenie cyber device musi zawierać SBOM obejmujący komponenty oprogramowania komercyjne, open source i gotowe oraz plan monitorowania i usuwania podatności po wprowadzeniu na rynek. Oba produkty dotykają tych wymagań na różne sposoby.

Medcrypt pracuje nad samym zgłoszeniem: modelem zagrożeń, oceną ryzyka, dokumentami, audytem pod kątem tego, co oznaczają recenzenci FDA, i odpowiedzią, jeśli FDA przyśle deficiency letter. Jego strona z cennikiem zaznacza: "FDA is what the platform covers today."

CRACI dostarcza dowody pochodzące z buildu: SBOM tego, czego build faktycznie użył, eksportowany w formacie CycloneDX lub SPDX, oraz ciągłe monitorowanie tego SBOM po wydaniu, z triage i przekazywaniem zespołowi odpowiedzialnemu za poprawkę. CRACI nie pisze, nie sprawdza ani nie składa dokumentacji do FDA i nie zapewnia zgodności wyrobu. Plan i zgłoszenie pozostają pracą producenta. Jak to pasuje do zespołu bezpieczeństwa produktu, opisują strony czym zajmuje się PSIRT i CRACI dla zespołów PSIRT.

Co i kiedy wybrać

• Przygotowują Państwo pierwsze zgłoszenie lub odpowiadają na deficiency letter. Medcrypt. Byli recenzenci FDA, audyty zgłoszeń i modelowanie zagrożeń to jego specjalność, a CRACI nie robi niczego z tego.
• Potrzebują Państwo zarządzania SBOM i podatnościami dla oprogramowania budowanego w GitHub Actions. CRACI. Tworzy SBOM w każdym buildzie i go monitoruje, więc nie trzeba uruchamiać osobnego generatora ani utrzymywać kroku przesyłania.
• Potrzebują Państwo szyfrowania, zarządzania kluczami lub tożsamości urządzeń w terenie. Medcrypt Guardian obejmuje bezpieczeństwo po stronie urządzenia. CRACI działa na buildzie, a nie na urządzeniu.
• Państwa buildy działają w GitLab CI lub Jenkins. Helm oferuje API, GitHub Action i rozszerzenie Azure DevOps do przesyłania SBOM-ów. CRACI obsługuje dziś GitHub Actions, a GitLab CI i Jenkins są w planach rozwoju.

Zastąpienie Helm przez CRACI

Dla oprogramowania wyrobów budowanego w GitHub Actions CRACI obejmuje to, do czego służy Helm: tworzy SBOM w każdym buildzie, ponownie ocenia monitorowane SBOM-y w miarę publikowania nowych podatności, agreguje znaleziska z wielu buildów i repozytoriów, obsługuje VEX oraz pozwala zespołom bezpieczeństwa wykonywać triage znalezisk i przekazywać każde z nich zespołowi odpowiedzialnemu za poprawkę. Można też dodać SBOM-y dostawców, dzięki czemu kupowane komponenty są monitorowane obok Państwa własnych buildów.

Warto jasno określić, z czego Państwo rezygnują. Helm szereguje znaleziska na podstawie danych o exploitach, takich jak EPSS i CISA KEV, oferuje wskazówki AI dotyczące łagodzenia skutków, dopasowuje komponenty regułami aliasów, śledzi dane o końcu wsparcia i eksportuje raporty VDR oraz format Medcrypt FDA SBOM. Prace MSI nad zgłoszeniami, godziny doradztwa i członkostwo w MedISAO nie mają odpowiednika w CRACI. Jeśli główną potrzebą jest przeprowadzenie zgłoszenia przez przegląd FDA, Medcrypt powstał właśnie do tego.

Porównują Państwo więcej narzędzi dla zespołów bezpieczeństwa produktu? Zob. porównanie narzędzi PSIRT.