CRACI vs Cybellum

Det korta svaret

Cybellum är en plattform för produktsäkerhet för enhetstillverkare inom fordon, medicinteknik och industri. Den analyserar firmwarebinärer, slår ihop dem med källkod och leverantörers SBOM:er, matchar resultatet mot sårbarhetsdata och stöder det arbete ett PSIRT gör efter lansering: bevakning, triage, utredningar och bevis för regelverk. CRACI är en runner för GitHub Actions som registrerar vad varje bygge drar in medan det körs, tar fram SBOM:en från den registreringen och fortsätter att bevaka den.

Den första frågan i varje PSIRT-ärende är vilka produkter och versioner som innehåller den sårbara komponenten. Cybellum besvarar den genom att analysera det du levererar, varifrån det än kom. CRACI besvarar den utifrån en registrering av vad dina egna byggen faktiskt hämtade. För programvara du bygger i GitHub Actions täcker CRACI inventeringen, bevakningen och själva triagen. För firmware du tar emot som binärer täcker Cybellum ett område som CRACI inte täcker.

I korthet

Vad Cybellum gör bra

Analys av binären. Cybellums Cyber Digital Twins "can be extracted from the binary files of any product or component", kan alltså extraheras från binärfilerna för vilken produkt eller komponent som helst. Plattformen analyserar varje produkts firmwarebinärer för att visa "SBOM, version history, licenses, HW architecture, OS configurations, and more", och frågar bara som ett tillägg: "Have the source code too?" Det spelar roll när en stor del av ett fordon eller en medicinteknisk produkt kör kod från leverantörer vars byggen du aldrig ser.

En SBOM från många källor. Cybellum kombinerar "data from binary scanners, source code and external SBOM sources in SPDX, CycloneDX or CPEs CSV formats", deduplicerar identiska paket och låter team automatiskt rätta, validera och godkänna SBOM:er för vilken produkt, version eller gren som helst innan de delas som SPDX eller CycloneDX.

Fynd utöver kända CVE:er. Dess sårbarhetsdatabas kombinerar publika och privata flöden, EPSS och forskningsfynd, och Cybellum lägger till "built-in malware and coding weakness detection engines", inbyggda motorer för att upptäcka skadlig kod och svagheter i koden. Team kan importera hotmodeller, TARA, resultat från fuzzning och penetrationstester och sedan triagera med en AI-assistent, VM CoPilot.

Byggt för PSIRT-arbete. Dess modul för incidenthantering låter ett team "see exactly which products or components are affected by a new vulnerability or regulation", ger det "a workbench for creating and managing investigations", öppnar ärenden och delar sårbarhetsstatus "via VEX/CSAF reports as needed".

Bevis för regelverk. Cybellum hanterar bevis för "FDA PMA, ISO 21434, CRA as well as your own custom policy frameworks", med förkopplade krav från "50+ standards, regulations, and best practices". Det körs i publika moln eller i ditt eget datacenter. LG Electronics köpte en majoritetsandel i Cybellum 2021, och Cybellum fortsätter som ett eget varumärke.

Där CRACI skiljer sig

Cybellum utgår från artefakter: firmwareavbilden, källkodsträdet, SBOM:en som en leverantör skickade. CRACI utgår från själva bygget, eftersom bygget körs på CRACI.

Observerat, inte härlett

Du ändrar runs-on till craci och jobbet körs i en isolerad virtuell maskin på en CRACI-runner. En paketmedveten proxy registrerar vad jobbet laddar ner från paketkällor, och paket som återställs från CI-cachar förs vidare. Varje SBOM anger hur komplett den är, per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Firmwareteam kan köra Yocto på runners med upp till 32 vCPU och 96 GB RAM. I ett bygge av core-image-sato sida vid sida hade CRACI:s SBOM varje komponent i Yoctos egen SPDX-utdata, 88 till, som värdsystemets paket och GitHub Actions, och en paket-URL för var och en av de 653 versioner av Rust-crates som Yocto listar utan en.

Vilka byggen och produkter en CVE nådde

CRACI sparar varje tidigare bygge med dess SBOM, så när ett säkerhetsmeddelande kommer ser du vilka byggen som innehöll det sårbara beroendet, direkt eller transitivt, och hur länge, inom din lagringsperiod. Dess inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. CRACI omvärderar bevakade SBOM:er löpande, har stöd för VEX och låter säkerhetsteamen triagera fynd och skicka vart och ett till det team som äger åtgärden. Du kan lägga till leverantörers SBOM:er, så att inköpta komponenter bevakas bredvid dina egna byggen.

Kontroll under bygget

En skanning av resultatet kan inte ändra vad bygget kunde nå. Det kan CRACI:s egress-policy: den nekar eller tillåter som standard, valideras innan jobbet startar, blockerar vid fel och skickar ett larm vid en överträdelse. Policykontroller kan också stoppa ett bygge som innehåller en specifik CVE.

Vad du avstår från med CRACI

CRACI analyserar inte binärer, så den kan inte tala om vad som finns i en leverantörsblob som ditt bygge laddar ner, bara att bygget hämtade den och varifrån. Den letar inte efter nolldagssårbarheter, skanning av källkod efter svagheter ligger utanför dess område, och den har inga guidade kontroller mot standarder och ingen rapportexport. Den har i dag stöd för enbart GitHub Actions, med GitLab CI och Jenkins på roadmapen, och körs som hanterade runners på europeisk infrastruktur, med kundhostade runners på roadmapen.

När du ska välja vilken

• Större delen av din firmware kommer från leverantörer som binärer. Cybellum. Analys av binären är sättet att se in i den.
• Du bygger din egen programvara och dina egna avbilder i GitHub Actions. CRACI kör bygget, registrerar dess indata och följer sårbarheterna i det den registrerade, så PSIRT:ets inventering kommer från själva bygget.
• Du behöver bevis för regulatoriska ansökningar inom fordon eller medicinteknik. Cybellum har mallar för regelverk som FDA PMA, ISO 21434 och EU:s CRA. CRACI exporterar SBOM:er i CycloneDX eller SPDX, och dess API returnerar SBOM:er, nätverksspårningar och proveniens, för din bredare process.
• Du vill begränsa vad byggen kan ladda ner. CRACI. Den kontrollen finns bara där bygget körs.

För CRA

Cyber Resilience Act kräver att tillverkare identifierar och dokumenterar komponenterna i sina produkter, inklusive en SBOM, hanterar sårbarheter under supportperioden och, från september 2026, rapporterar aktivt utnyttjade sårbarheter. Cybellum hjälper med CRA-mallar och bevis över produkter och leverantörer. CRACI hjälper genom att ta fram bevis per bygge om vad som ingick i programvaran du bygger, med löpande bevakning och SBOM-export i CycloneDX eller SPDX, och lämnar in CRA-anmälningarna åt dig. CRACI automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som tillverkare behöver för sitt bredare arbete med CRA-efterlevnad; den gör inte en produkt regelefterlevande på egen hand. Läs vad CRA kräver.

Köra dina byggen på CRACI

Peka ditt byggjobb mot runs-on: craci så fortsätter samma arbetsflöde att köras i GitHub Actions medan CRACI registrerar det. För Yocto visar exemplet i CRACI:s dokumentation ett komplett BitBake-arbetsflöde. Se hur CRACI fungerar för industriell IoT och konsumentelektronik.

Ny i rollen? Läs vad ett PSIRT gör och CRACI för PSIRT-team. Väger du mellan fler än två verktyg? Se PSIRT-verktyg i jämförelse och alternativ till Cybellum.