CRACI vs Cybeats SBOM Studio

Det korta svaret

Cybeats SBOM Studio kallar sig "the SBOM system of record". Det lagrar SBOM:er från dina produkter och leverantörer, berikar dem med information om sårbarheter och licenser, bevakar dem löpande och delar dem med kunder och tillsynsmyndigheter. CRACI är en runner för GitHub Actions som registrerar de beroenden som varje jobb faktiskt hämtade och tar fram SBOM:en från den registreringen, med en fullständighetsstatus.

Ett auktoritativt register är bara så korrekt som det som läggs in i det. SBOM Studio hanterar SBOM:er som något annat verktyg har genererat. CRACI tar fram dem från bygget och bevakar dem, så CI:n, SBOM:en och sårbarhetsbevakningen kommer från en och samma produkt.

I korthet

Vad Cybeats gör bra

• En styrd plats för varje SBOM. SBOM Studio är byggt för produktsäkerhetsteam inom ICS och OT, medicintekniska produkter, telekom, fordonsindustri och finansiella tjänster. Det ger dem "one governed source of truth for every SBOM across your products and suppliers", en enda styrd sanningskälla för varje SBOM.
• Brett formatstöd. SPDX 2.2 till och med 3.0.1 och CycloneDX 1.2 till och med 1.7, för import och export. Plattformen hanterar också VEX, AIBOM, CBOM och HBOM.
• Kvalitetskontroll redan vid importen. SBOM Quality Score validerar filer före import, kontrollerar att de är korrekt formaterade enligt standarden och loggar varför en SBOM inte håller måttet.
• Berikning och bevakning. Varje komponent matchas löpande mot sårbarhetsinformation, med policybaserade larm, VEX för att kommunicera vilka sårbarheter som påverkar dina produkter, och licensanalys för OSS och COTS.
• Delning. Kontrollerat utbyte av SBOM:er och VEX med kunder, även via Transparency Exchange API. SBOM Consumer, en separat produkt, validerar och bevakar de leverantörs-SBOM:er du tar emot.

Mottagning av leverantörers SBOM:er, licensanalys och hostad delning är alla områden där SBOM Studio gör mer än CRACI i dag. Om ditt teams jobb är att driva ett SBOM-program över många produkter och leverantörer är det byggt för det.

Där CRACI skiljer sig

Den tar fram SBOM:en, från bygget

SBOM Studio läser in SBOM:er. För generering hänvisar Cybeats till sin Marketplace, som samlar leverantörer av verktyg för binär kompositionsanalys och SBOM-generering. Komponentlistan i registret kommer alltså fortfarande från någon sorts skanner.

CRACI kör jobbet. Du ändrar runs-on till craci, och en paketmedveten proxy registrerar trafiken till paketkällor under bygget: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar. Beroendebevisen följer med CI-cachar, så ett paket som återställs från en cache finns ändå i registreringen. SBOM:en omfattar alla transitiva beroenden som bygget faktiskt använde.

Välformad är inte detsamma som komplett

En kvalitetspoäng kan bekräfta att en SBOM följer standarden och har de förväntade fälten. Den kan inte säga vad generatorn aldrig såg. Generatorer skiljer sig strukturellt åt, eftersom var och en läser en annan uppsättning filer och löser dem på ett annat sätt, och ett välformat dokument säger ingenting om huruvida beroendet det utelämnar någonsin nådde verktyget. NTIA:s leverantörsfält är ett bra exempel: det valideras som närvarande eller frånvarande, och de flesta generatorer har ingen källa för det. CRACI kan inte poängsättas på det här sättet, eftersom det registrerar byggen och inte kan skanna en katalog.

CRACI anger fullständigheten utifrån själva registreringen, per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Luckorna i registreringen är kända i stället för gissade.

Kontroll och proveniens

Eftersom CRACI kör jobbet upprätthåller den en egress-policy för nätverket: neka som standard eller tillåt som standard, med 24 inbyggda förinställningar för programvarukällor och typade egna källor, validerad innan jobbet startar och blockerande vid fel. API:t returnerar SBOM:er, nätverksspårningar och proveniens.

Bevakning

CRACI omvärderar bevakade SBOM:er löpande och sammanställer sårbarheter över byggen och repon.

En inventering av vad som är driftsatt var

CRACI:s inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. När en ny sårbarhet dyker upp ser du vilka produkter som kör den berörda versionen i stället för att pussla ihop det från release notes och kalkylblad.

Ersätta SBOM Studio med CRACI

För mjukvaruteam på GitHub Actions täcker CRACI det som ett auktoritativt SBOM-register ska göra för deras egna produkter: den tar fram SBOM:en i varje bygge, fortsätter att omvärdera bevakade SBOM:er när nya sårbarheter publiceras, sammanställer fynd över byggen och repon och låter säkerhetsteamen triagera dem och skicka vart och ett till det team som äger åtgärden. Du kan också lägga till leverantörers SBOM:er, så att inköpta komponenter bevakas tillsammans med dina egna byggen. Det finns ingen separat generator att köra och inget importsteg att underhålla.

Var tydlig med vad du avstår från. SBOM Studio hanterar licensanalys för OSS och COTS, AIBOM, CBOM och HBOM, poängsätter SBOM-kvaliteten vid import och delar SBOM:er med kunder via Transparency Exchange API. CRACI upprätthåller licenspolicyn för de deklarerade licenser den registrerar, men har inget av resten i dag. Om ditt jobb är att driva ett SBOM-program över många produkter, leverantörer och kunder är SBOM Studio byggt för det.

För Cyber Resilience Act

Cybeats tar sig an CRA direkt. Företaget kallar förordningen "the main driver of SBOM adoption today", den främsta drivkraften bakom SBOM:er i dag, och säger att SBOM Studio "produces compliant, up to date SBOMs" för att hjälpa tillverkare att upprätthålla insynen i programvaran genom hela produktens livscykel. Dess guide om regelverk beskriver tidslinjen för rapportering med 24 timmar, 72 timmar och 14 dagar.

CRA:s rapporteringsskyldigheter gäller från den 11 september 2026, via CRA:s gemensamma rapporteringsplattform, och dess huvudbestämmelser gäller från den 11 december 2027. En tidig varning inom 24 timmar förutsätter att du snabbt vet vilka releaser som innehåller en berörd komponent, och att du litar på inventeringen som talar om det. CRACI:s API returnerar SBOM:er, nätverksspårningar och proveniens, och SBOM:er exporteras i CycloneDX eller SPDX, inklusive sårbarheter.

CRACI automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med CRA-efterlevnad. Ingen av produkterna gör en tillverkare regelefterlevande på egen hand. Se vad CRA kräver, CRA-efterlevnad med CRACI och industriell IoT.

Väger du mellan fler än två verktyg? Alternativ till Cybeats jämför nio alternativ sida vid sida.