CRACI vs Medcrypt

A resposta curta

A Medcrypt é uma empresa de cibersegurança de dispositivos médicos. A sua plataforma, Medcrypt Security Intelligence (MSI), combina software com uma equipa de antigos revisores da FDA para preparar, auditar e manter a submissão de cibersegurança de um dispositivo. A promessa da sua página inicial é "Get your cybersecurity submission approved. The first time." O Helm, o seu produto de gestão de SBOM e de vulnerabilidades, faz parte do MSI e é também vendido em separado.

O CRACI é um runner de GitHub Actions que regista as dependências que cada job realmente obteve e produz a SBOM a partir desse registo, com um estado de completude. Reavalia depois as SBOM monitorizadas à medida que surgem avisos de segurança, e as equipas de segurança fazem a triagem das conclusões e encaminham-nas para a equipa responsável pela correção. O CRACI não prepara nem revê submissões à FDA. Para a SBOM e o acompanhamento pós-mercado de vulnerabilidades do software que constrói, o CRACI substitui o Helm, a começar pelo próprio build.

Visão geral

O que a Medcrypt faz bem

• Conhecimento especializado da FDA na equipa. As verificações, auditorias e modelos do MSI são criados por uma equipa que, nas palavras da Medcrypt, inclui "former FDA reviewers and authors of the guidance itself." O plano MSI inclui 15 horas de consultoria por ano com essa equipa, e a plataforma analisa os pacotes de submissão em busca do que um revisor assinalaria. Para uma primeira submissão 510(k) ou PMA, é uma ajuda que o CRACI não oferece.
• Toda a submissão, não apenas a SBOM. O MSI cobre modelação de ameaças, avaliação de riscos de cibersegurança, geração de documentos (assinalada como beta), respostas a cartas de deficiências e testes de penetração como add-on, através de parceiros verificados.
• Trabalho pós-mercado depois da autorização. O MSI inclui monitorização contínua de vulnerabilidades e adesão à MedISAO, que, segundo a Medcrypt, traz alertas de vulnerabilidades específicos de dispositivos, um programa de divulgação coordenada de vulnerabilidades e atualizações de orientações. A sua página da plataforma di-lo sem rodeios: "Section 524B made post-market cybersecurity a legal duty."
• O Helm foi feito para fabricantes de dispositivos. O Helm ordena as conclusões com dados de EPSS, CISA KEV, ExploitDB e Metasploit, repontua vulnerabilidades em massa para as ajustar ao contexto de cada dispositivo, transporta remediações entre versões do produto e usa regras de alias para associar componentes a entradas da NVD. Exporta SBOM CycloneDX e SPDX, relatórios VEX e VDR, e um formato Medcrypt FDA SBOM.
• Um fornecedor estabelecido no seu nicho. A Medcrypt foi fundada em 2016, passou pela Y Combinator e indica $36.4M de financiamento, com investidores como Johnson & Johnson Innovation, Intuitive Ventures e Dexcom Ventures. Afirma que mais de 140 fabricantes de dispositivos médicos confiam nela, incluindo 13 dos 50 maiores.
• Preços publicados. O MSI custa $35,000 por linha de produto por ano, com utilizadores ilimitados, faturado anualmente.

Onde o CRACI é diferente

Produz a SBOM a partir do build

O Helm trabalha com as SBOM que lhe entrega. Cabe-lhe carregar ou criar ficheiros CycloneDX ou SPDX, ou então uma GitHub Action do Helm carrega um ficheiro SBOM a partir do seu workflow (a documentação indica que suporta hoje CycloneDX JSON). Para equipas sem SBOM, a documentação do Helm aponta para geradores open source, criação manual, serviços especializados ou uma ferramenta de geração da Medcrypt disponível a pedido. Assim, a lista de componentes que o Helm monitoriza continua a vir de um scanner ou de um ficheiro feito à mão.

O CRACI executa o job. Altera runs-on para craci, e um proxy que reconhece pacotes regista o tráfego para origens de pacotes durante o build: origens npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e Git, além de predefinições de transferência. A evidência das dependências acompanha as caches de CI, pelo que um pacote restaurado de uma cache continua no registo. Cada SBOM indica quão completa é, por job e por cache: Complete, Complete with connections, Incomplete, Unavailable ou Not recorded.

Builds de Linux embebido

Se o seu dispositivo executa uma imagem Yocto, a comparação é direta. A documentação do Helm mostra como ativar o resultado SPDX do próprio Yocto e carregá-lo. O CRACI executa o BitBake em runners de até 32 vCPU e 96 GB de RAM. Num build lado a lado de core-image-sato, a SBOM do CRACI tinha todos os componentes do resultado SPDX do próprio Yocto, mais 88, como pacotes do host e GitHub Actions, e um URL de pacote para cada uma das 653 versões de crates Rust que o Yocto lista sem URL.

Respostas pós-mercado a partir do histórico de builds

Quando surge uma nova vulnerabilidade, a pergunta pós-mercado é que versões distribuídas a contêm e durante quanto tempo. O CRACI guarda todos os builds anteriores e a respetiva SBOM, dentro da retenção, e mostra que builds continham a dependência vulnerável, direta ou transitiva, para que saiba durante que período esteve afetado. A sua vista de inventário mostra que versões de software estão implementadas em que produtos. Os policy gates podem travar um build posterior que ainda contenha um CVE específico.

Controlo sobre o que o build pode alcançar

Como o CRACI é o runner, aplica uma política de egress de rede: negação ou permissão por defeito, com 24 predefinições integradas de origens de software e origens personalizadas tipadas, validada antes de o job arrancar e com falha em modo fechado. Emite alertas em caso de violação da política. A Medcrypt não executa o seu build, pelo que isto está fora do seu âmbito.

Ao abrigo da secção 524B da FDA

Ao abrigo da secção 524B, a submissão de um dispositivo cibernético tem de incluir uma SBOM "including commercial, open-source, and off-the-shelf software components" e um plano para monitorizar e tratar vulnerabilidades pós-mercado. Os dois produtos abordam estes requisitos de formas diferentes.

A Medcrypt trabalha na própria submissão: o modelo de ameaças, a avaliação de riscos, os documentos, a auditoria face ao que os revisores da FDA assinalam e a resposta se a FDA enviar uma carta de deficiências. A sua página de preços indica: "FDA is what the platform covers today."

O CRACI fornece evidências que saem do build: uma SBOM do que o build realmente usou, exportada em CycloneDX ou SPDX, e monitorização contínua dessa SBOM após o lançamento, com triagem e encaminhamento para a equipa responsável pela correção. O CRACI não redige, não revê nem submete documentação à FDA, e não torna um dispositivo conforme. O plano e a submissão continuam a ser trabalho do fabricante. Para saber como isto se enquadra numa equipa de segurança de produto, consulte o que faz uma PSIRT e o CRACI para equipas PSIRT.

Quando escolher cada um

• Está a preparar uma primeira submissão ou a responder a uma carta de deficiências. Medcrypt. Antigos revisores da FDA, auditorias de submissões e modelação de ameaças são aquilo para que foi criada, e o CRACI não faz nada disso.
• Precisa de gestão de SBOM e de vulnerabilidades para software que constrói em GitHub Actions. CRACI. Produz a SBOM em cada build e monitoriza-a, pelo que não há um gerador separado para executar nem um passo de carregamento para manter.
• Precisa de cifragem, gestão de chaves ou identidade de dispositivos no terreno. O Guardian da Medcrypt cobre a segurança do lado do dispositivo. O CRACI trabalha no build, não no dispositivo.
• Os seus builds correm em GitLab CI ou Jenkins. O Helm oferece uma API, uma GitHub Action e uma extensão de Azure DevOps para carregar SBOM. O CRACI suporta hoje GitHub Actions, com GitLab CI e Jenkins no roadmap.

Substituir o Helm pelo CRACI

Para software de dispositivos construído em GitHub Actions, o CRACI cobre aquilo para que o Helm serve: produz a SBOM em cada build, reavalia as SBOM monitorizadas à medida que são publicadas novas vulnerabilidades, agrega as conclusões de todos os builds e repositórios, suporta VEX e permite às equipas de segurança fazer a triagem das conclusões e encaminhar cada uma para a equipa responsável pela correção. Pode também adicionar SBOM de fornecedores, para que os componentes comprados sejam monitorizados a par dos seus próprios builds.

Seja claro quanto àquilo de que abdica. O Helm ordena as conclusões com informação sobre exploits, como EPSS e CISA KEV, oferece orientação de IA sobre mitigações, associa componentes com regras de alias, acompanha dados de fim de suporte e exporta relatórios VDR e o formato Medcrypt FDA SBOM. E nada do trabalho de submissão do MSI, das horas de consultoria ou da adesão à MedISAO tem equivalente no CRACI. Se a sua principal necessidade é fazer passar uma submissão na revisão da FDA, a Medcrypt foi criada para isso.

A comparar mais ferramentas para equipas de segurança de produto? Consulte a comparação de ferramentas de PSIRT.