CRACI vs Medcrypt

Det korta svaret

Medcrypt är ett företag för cybersäkerhet i medicintekniska produkter. Dess plattform, Medcrypt Security Intelligence (MSI), kombinerar programvara med ett team av tidigare FDA-granskare för att förbereda, granska och underhålla en enhets cybersäkerhetsansökan. Löftet på dess startsida är "Get your cybersecurity submission approved. The first time." Helm, dess produkt för SBOM- och sårbarhetshantering, ingår i MSI och säljs också separat.

CRACI är en GitHub Actions-runner som registrerar beroendena varje jobb faktiskt hämtade och tar fram SBOM:en från den registreringen, med en fullständighetsstatus. Det omvärderar sedan bevakade SBOM:er när nya säkerhetsmeddelanden dyker upp, och säkerhetsteam triagerar fynd och skickar dem till teamet som äger åtgärden. CRACI förbereder eller granskar inte FDA-ansökningar. För SBOM:en och sårbarhetsspårningen efter marknadsintroduktion av programvara du bygger ersätter CRACI Helm, med början i själva bygget.

I korthet

Vad Medcrypt gör bra

• FDA-expertis i teamet. MSI:s kontroller, granskningar och mallar är byggda av ett team som med Medcrypts ord omfattar "former FDA reviewers and authors of the guidance itself." MSI-planen inkluderar 15 rådgivningstimmar om året med dem, och plattformen skannar ansökningspaket efter det en granskare skulle flagga. För en första 510(k)- eller PMA-ansökan är det hjälp som CRACI inte erbjuder.
• Hela ansökan, inte bara SBOM:en. MSI täcker hotmodellering, riskbedömning av cybersäkerhet, dokumentgenerering (märkt beta), svar på bristbrev och penetrationstestning som tillägg via granskade partner.
• Arbete efter godkännandet. MSI inkluderar löpande sårbarhetsbevakning och medlemskap i MedISAO, som enligt Medcrypt ger enhetsspecifika sårbarhetsvarningar, ett program för samordnat offentliggörande av sårbarheter och uppdateringar av vägledning. Dess plattformssida säger det rakt ut: "Section 524B made post-market cybersecurity a legal duty."
• Helm är byggt för enhetstillverkare. Helm rangordnar fynd med data från EPSS, CISA KEV, ExploitDB och Metasploit, poängsätter om sårbarheter i bulk för att matcha varje enhets kontext, för med sig åtgärder mellan produktversioner och använder aliasregler för att matcha komponenter mot NVD-poster. Det exporterar SBOM:er i CycloneDX och SPDX, VEX- och VDR-rapporter och formatet Medcrypt FDA SBOM.
• En etablerad leverantör i sin nisch. Medcrypt grundades 2016, gick igenom Y Combinator och rapporterar $36.4M i finansiering med investerare som Johnson & Johnson Innovation, Intuitive Ventures och Dexcom Ventures. Det säger att fler än 140 tillverkare av medicintekniska produkter litar på det, däribland 13 av de 50 största.
• Publicerade priser. MSI kostar $35,000 per produktlinje per år med obegränsat antal användare, fakturerat årsvis.

Där CRACI skiljer sig

Det tar fram SBOM:en, från bygget

Helm arbetar med SBOM:er du ger det. Du laddar upp eller skapar filer i CycloneDX eller SPDX, eller så laddar en Helm GitHub Action upp en SBOM-fil från ditt arbetsflöde (dokumentationen säger att den stöder CycloneDX JSON i dag). För team utan SBOM hänvisar Helms dokumentation till generatorer med öppen källkod, manuellt skapande, experttjänster eller ett genereringsverktyg från Medcrypt som finns på begäran. Komponentlistan som Helm bevakar kommer alltså fortfarande från en skanner eller en handbyggd fil.

CRACI kör jobbet. Du ändrar runs-on till craci, och en paketmedveten proxy registrerar trafiken till paketkällor under bygget: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar. Beroendebevisen följer med CI-cachar, så ett paket som återställs från en cache finns ändå med i registreringen. Varje SBOM anger hur komplett den är, per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Byggen för inbyggd Linux

Om din enhet kör en Yocto-avbild är jämförelsen direkt. Helms dokumentation visar hur du slår på Yoctos egen SPDX-utdata och laddar upp den. CRACI kör BitBake på runners med upp till 32 vCPU och 96 GB RAM. I ett sida vid sida-bygge av core-image-sato hade CRACI:s SBOM varje komponent i Yoctos egen SPDX-utdata, 88 till, som värdpaket och GitHub Actions, och en paket-URL för var och en av de 653 versioner av Rust-crates som Yocto listar utan någon.

Svar efter marknadsintroduktion från bygghistoriken

När en ny sårbarhet dyker upp är frågan efter marknadsintroduktion vilka levererade versioner som innehåller den och hur länge. CRACI sparar alla tidigare byggen och deras SBOM:er, inom lagringstiden, och visar vilka byggen som innehöll det sårbara beroendet, direkt eller transitivt, så att du vet under vilken period du var berörd. Dess inventeringsvy visar vilka programvaruversioner som är driftsatta i vilka produkter. Policyspärrar kan stoppa ett senare bygge som fortfarande innehåller en specifik CVE.

Kontroll över vad bygget kan nå

Eftersom CRACI är runnern upprätthåller det en egress-policy för nätverket: neka som standard eller tillåt som standard, med 24 inbyggda förinställningar för programvarukällor och typade egna källor, som valideras innan jobbet startar och blockerar vid fel. Det varnar vid policyöverträdelser. Medcrypt kör inte ditt bygge, så det här ligger utanför dess område.

Enligt FDA section 524B

Enligt section 524B måste en ansökan för en cyberenhet innehålla en SBOM "including commercial, open-source, and off-the-shelf software components" och en plan för att bevaka och hantera sårbarheter efter marknadsintroduktion. Båda produkterna berör de här kraven på olika sätt.

Medcrypt arbetar med själva ansökan: hotmodellen, riskbedömningen, dokumenten, granskningen mot det FDA-granskare flaggar och svaret om FDA skickar ett bristbrev. Dess prissida noterar: "FDA is what the platform covers today."

CRACI levererar bevis som kommer ur bygget: en SBOM över vad bygget faktiskt använde, exporterad som CycloneDX eller SPDX, och löpande bevakning av den SBOM:en efter release, med triage och routning till teamet som äger åtgärden. CRACI skriver, granskar eller lämnar inte in FDA-dokumentation, och det gör inte en enhet regelefterlevande. Planen och ansökan förblir tillverkarens arbete. För hur det här passar ett produktsäkerhetsteam, se vad ett PSIRT gör och CRACI för PSIRT-team.

När du ska välja vilket

• Du förbereder en första ansökan eller svarar på ett bristbrev. Medcrypt. Tidigare FDA-granskare, granskning av ansökningar och hotmodellering är det som det är byggt för, och CRACI gör inget av det.
• Du behöver SBOM- och sårbarhetshantering för programvara du bygger i GitHub Actions. CRACI. Det tar fram SBOM:en i varje bygge och bevakar den, så det finns ingen separat generator att köra och inget uppladdningssteg att underhålla.
• Du behöver kryptering, nyckelhantering eller enhetsidentitet ute i fält. Medcrypts Guardian täcker säkerheten på enheten. CRACI arbetar på bygget, inte på enheten.
• Dina byggen körs i GitLab CI eller Jenkins. Helm erbjuder ett API, en GitHub Action och ett Azure DevOps-tillägg för att ladda upp SBOM:er. CRACI har i dag stöd för GitHub Actions, med GitLab CI och Jenkins på roadmapen.

Att ersätta Helm med CRACI

För enhetsprogramvara som byggs i GitHub Actions täcker CRACI det Helm är till för: det tar fram SBOM:en i varje bygge, omvärderar bevakade SBOM:er när nya sårbarheter publiceras, sammanställer fynd över byggen och repon, stöder VEX och låter säkerhetsteam triagera fynd och skicka vart och ett till teamet som äger åtgärden. Du kan också lägga till leverantörers SBOM:er, så att inköpta komponenter bevakas bredvid dina egna byggen.

Var tydlig med vad du avstår från. Helm rangordnar fynd med exploateringsdata som EPSS och CISA KEV, erbjuder AI-vägledning om åtgärder, matchar komponenter med aliasregler, spårar data om slut på support och exporterar VDR-rapporter och formatet Medcrypt FDA SBOM. Och inget av MSI:s ansökningsarbete, rådgivningstimmar eller MedISAO-medlemskap har någon motsvarighet i CRACI. Om ditt främsta behov är att få en ansökan genom FDA:s granskning är Medcrypt byggt för det.

Jämför du fler verktyg för produktsäkerhetsteam? Se jämförelsen av PSIRT-verktyg.