CRACI vs Cybeats SBOM Studio

A resposta curta

O Cybeats SBOM Studio apresenta-se como "o sistema de registo de SBOM." Guarda SBOM dos seus produtos e fornecedores, enriquece-as com informação sobre vulnerabilidades e licenças, monitoriza-as continuamente e partilha-as com clientes e reguladores. O CRACI é um runner de GitHub Actions que regista as dependências que cada job realmente obteve e produz a SBOM a partir desse registo, com um estado de completude.

Um sistema de registo só é tão exato quanto o que nele entra. O SBOM Studio gere SBOM geradas por outra ferramenta. O CRACI produz as SBOM a partir do build e monitoriza-as, pelo que o CI, a SBOM e o acompanhamento de vulnerabilidades vêm de um só produto.

Visão geral

O que o Cybeats faz bem

• Um local governado para todas as SBOM. O SBOM Studio foi criado para equipas de segurança de produto em ICS e OT, dispositivos médicos, telecomunicações, automóvel e serviços financeiros. Dá-lhes "uma fonte da verdade única e governada para todas as SBOM dos seus produtos e fornecedores."
• Amplo suporte de formatos. SPDX 2.2 a 3.0.1 e CycloneDX 1.2 a 1.7, para importação e exportação. A plataforma trata também de VEX, AIBOM, CBOM e HBOM.
• Controlo de qualidade à entrada. O SBOM Quality Score valida os ficheiros antes da importação, verifica se estão corretamente formatados segundo a norma e regista porque é que uma SBOM fica aquém.
• Enriquecimento e monitorização. Cada componente é cruzado continuamente com informação sobre vulnerabilidades, com alertas baseados em políticas, VEX para comunicar que vulnerabilidades afetam os seus produtos e análise de licenças OSS e COTS.
• Partilha. Troca controlada de SBOM e VEX com clientes, incluindo através da Transparency Exchange API. O SBOM Consumer, um produto separado, valida e monitoriza as SBOM de fornecedores que recebe.

A receção de SBOM de fornecedores, a análise de licenças e a partilha alojada são áreas em que o SBOM Studio faz hoje mais do que o CRACI. Se a função da sua equipa é gerir um programa de SBOM em muitos produtos e fornecedores, o SBOM Studio foi criado para isso.

Onde o CRACI é diferente

Produz a SBOM, a partir do build

O SBOM Studio importa SBOM. Para a geração, o Cybeats remete para o seu Marketplace, que reúne fornecedores de análise de composição de binários e de ferramentas de geração de SBOM. Assim, a lista de componentes no sistema de registo continua a vir de um scanner de algum tipo.

O CRACI executa o job. Basta mudar runs-on para craci, e um proxy que reconhece pacotes regista o tráfego para fontes de pacotes durante o build: fontes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e Git, além de predefinições de descarga. As evidências de dependências acompanham as caches de CI, pelo que um pacote restaurado de uma cache continua no registo. A SBOM inclui todas as dependências transitivas que o build realmente usou.

Bem formada não é o mesmo que completa

Uma pontuação de qualidade pode confirmar que uma SBOM segue a norma e contém os campos esperados. Não pode dizer-lhe o que o gerador nunca viu. Os geradores discordam estruturalmente, porque cada um lê um conjunto diferente de ficheiros e os resolve de forma diferente, e um documento bem formado nada diz sobre se a dependência que omite alguma vez esteve à frente da ferramenta. O campo de fornecedor da NTIA é um bom exemplo: é validado como presente ou ausente, e a maioria dos geradores não tem fonte para ele. O CRACI não pode ser pontuado desta forma, porque regista builds e não consegue analisar um diretório.

O CRACI indica a completude a partir do próprio registo, por job e por cache: Complete, Complete with connections, Incomplete, Unavailable ou Not recorded. As lacunas do registo são conhecidas, não adivinhadas.

Controlo e proveniência

Como o CRACI executa o job, aplica uma política de egress de rede: negação ou permissão por defeito, com 24 predefinições integradas de fontes de software e fontes personalizadas tipadas, validada antes de o job arrancar e com falha em modo fechado. A API devolve SBOM, traços de rede e proveniência.

Monitorização

O CRACI reavalia continuamente as SBOM monitorizadas e agrega vulnerabilidades de todos os builds e repositórios.

Um inventário do que está implementado e onde

A vista de inventário do CRACI mostra exatamente que versões de software estão implementadas em que produtos, a nível global. Quando surge uma nova vulnerabilidade, pode ver que produtos executam a versão afetada, em vez de o reconstituir a partir de notas de versão e folhas de cálculo.

Substituir o SBOM Studio pelo CRACI

Para as equipas de software em GitHub Actions, o CRACI cobre o que um sistema de registo de SBOM existe para fazer pelos seus próprios produtos: produz a SBOM em cada build, continua a reavaliar as SBOM monitorizadas à medida que são publicadas novas vulnerabilidades, agrega as conclusões de todos os builds e repositórios e permite às equipas de segurança fazer a sua triagem e encaminhar cada uma para a equipa responsável pela correção. Também pode adicionar SBOM de fornecedores, pelo que os componentes comprados são monitorizados juntamente com os seus próprios builds. Não há um gerador separado para executar nem um passo de importação para manter.

Tenha bem presente aquilo de que abdica. O SBOM Studio trata da análise de licenças OSS e COTS e de AIBOM, CBOM e HBOM, pontua a qualidade da SBOM na importação e partilha SBOM com clientes através da Transparency Exchange API. O CRACI aplica a política de licenças às licenças declaradas que regista, mas hoje não tem nada do resto. Se a sua função é gerir um programa de SBOM em muitos produtos, fornecedores e clientes, o SBOM Studio foi criado para isso.

Para o Cyber Resilience Act

O Cybeats aborda diretamente o CRA. Chama ao regulamento "o principal motor da adoção de SBOM atualmente" e afirma que o SBOM Studio "produz SBOM conformes e atualizadas" para ajudar os fabricantes a manter a transparência do software ao longo do ciclo de vida do produto. O seu guia de regulamentos apresenta o calendário de reporte de 24 horas, 72 horas e 14 dias.

As obrigações de reporte do CRA aplicam-se a partir de 11 de setembro de 2026, através da CRA Single Reporting Platform, e as suas principais disposições aplicam-se a partir de 11 de dezembro de 2027. Um alerta precoce em 24 horas depende de saber rapidamente que versões contêm um componente afetado, e de confiar no inventário que lho indica. A API do CRACI devolve SBOM, traços de rede e proveniência, e as SBOM são exportadas em CycloneDX ou SPDX, incluindo vulnerabilidades.

O CRACI automatiza uma parte significativa da visibilidade da cadeia de abastecimento de software e das evidências de que as empresas precisam para o seu processo mais amplo de conformidade com o CRA. Nenhum dos produtos torna um fabricante conforme por si só. Consulte o que o CRA exige, a conformidade com o CRA com o CRACI e a IoT industrial.

Está a avaliar mais de duas ferramentas? Alternativas ao Cybeats compara nove opções lado a lado.