CRACI vs Timesys Vigiles

Det korta svaret

Vigiles är SBOM- och sårbarhetshanteringsprodukten från Timesys, som Lynx Software Technologies förvärvade i december 2023; Lynx säljer den nu som Lynx Vigiles. Den är byggd för inbyggda Linux-system: ett Yocto-lager, meta-timesys, samlar in metadata om paketen i din avbild och laddar upp dem, och Vigiles matchar dem mot en kurerad CVE-databas, spårar sedan triagebeslut och exporterar SBOM-, VEX- och sårbarhetsrapporter.

CRACI är en GitHub Actions-runner. Ditt BitBake-bygge körs på den, och medan det körs registrerar CRACI varje paket och källa som bygget hämtade, begränsar vart bygget kan ansluta och fortsätter att bevaka SBOM:en efter sårbarheter. Båda produkterna ger dig en SBOM och CVE-bevakning för en Yocto-avbild; de skiljer sig åt i var SBOM:en kommer ifrån. Vigiles läser vad BitBakes metadata säger ska ingå i avbilden. CRACI registrerar vad bygget faktiskt drog in.

I korthet

Vad Vigiles gör bra

Gjort för inbyggda Linux-system. Vigiles integreras med Yocto via meta-timesys, och med Buildroot, OpenWrt, Timesys Factory och FreeRTOS, och importerar SBOM:er i SPDX 2.2 till 3.0.1, CycloneDX 1.1 till 1.7 och CSV för allt annat. Lynx säger att Vigiles, som lanserades 2019, har bearbetat fler än 90 000 SBOM:er.

Mindre CVE-brus. Vigiles matchar komponenter mot en kurerad CVE-databas snarare än rå offentlig data, vilket enligt Lynx tar bort de flesta falska positiva som offentlig data ger. Dess skanner kan ladda upp dina fullständiga .config-filer för Linuxkärnan och U-Boot, så att CVE:er i funktioner du inte bygger filtreras bort. Det spelar roll på inbyggda Linux-system: i exempelrapporten i README-filen för meta-timesys finns 60 av de 62 oåtgärdade CVE:erna i kärnan.

Beslut som består mellan releaser. Team registrerar om varje CVE är affected, fixed, deferred eller not exploitable, och Vigiles behåller de besluten per release, lyfter fram CISA Known Exploited Vulnerabilities och exporterar SBOM:er i CycloneDX, SPDX och SPDX Lite tillsammans med VEX- och sårbarhetsrapporter. Dess rapporter visar också CVE:er som redan är åtgärdade av patchar i ditt bygge, och patchar som finns i lagret meta-timesys-security. Lynx nämner EU:s CRA och EO 14028 bland standarderna det hjälper med, och Vigiles ansluter till Jira och Okta.

Där CRACI skiljer sig

Vigiles SBOM är bara så komplett som BitBakes syn på avbilden. README-filen för meta-timesys beskriver det som att metadata samlas in om paketen som ska installeras, och paket som byggs utanför BitBake, eller byggs av det men saknas i rotfilsystemets manifest, måste listas för hand. CRACI läser inte metadata. Det är maskinen som bygget körs på.

Vad Yoctos egen SBOM utelämnar

Vi har inte jämfört en SBOM från Vigiles med CRACI:s. Vi har jämfört CRACI:s med Yoctos inbyggda SPDX-SBOM, som också genereras från BitBakes metadata. I ett bygge av core-image-sato sida vid sida på en ARM64-runner med 32 vCPU hade CRACI:s SBOM varje komponent som Yoctos SBOM hade, plus 88 som den missade: värdsystemets paket på byggmaskinen som Ubuntus cpio, GitHub-källor och GitHub Action-steget actions/upload-artifact, och andra källor och verktyg som hämtades under bygget. Inget av dem är installerat i avbilden, och alla finns i byggets kritiska väg.

Båda SBOM:erna listade samma 653 versioner av Rust-crates, men Yoctos listar dem bara med filnamn och nedladdnings-URL, utan paket-URL. Sårbarhetsmatchning bygger på paket-URL:er, så de här crates kan inte bevakas från Yoctos SBOM. CRACI registrerar var och en av dem med en pkg:cargo-paket-URL.

Kontroll över vad bygget kan nå

En egress-policy på runnern avgör vilka värdar ett jobb får ansluta till. Den valideras innan jobbet startar, blockerar vid fel och skickar en varning vid en överträdelse. För Yocto lägger den till ett andra lager ovanpå BitBakes egen BB_ALLOWED_NETWORKS, och en policy som nekar som standard hindrar ett komprometterat byggverktyg från att skicka hemligheter till en värd som bygget inte behöver.

Proveniens och bevakning från samma registrering

API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI signerar inte proveniens. CRACI sammanställer sårbarheter över byggen och repon, fortsätter att omvärdera bevakade SBOM:er när nya säkerhetsmeddelanden dyker upp, låter säkerhetsteam triagera fynd och skicka dem till teamet som äger åtgärden, och visar vilka tidigare byggen som innehöll ett sårbart beroende, så att du vet under vilken period du var berörd. CRACI har stöd för VEX och kan lämna in CRA-anmälningar om sårbarheter åt dig.

Själva bygget, på större runners

Vigiles kör inte ditt bygge; det gör CRACI. Yocto-byggen körs på runners med upp till 32 vCPU och 96 GB RAM och mäts per sekund till $0.002 per vCPU-minut ($0.004 för en standardrunner med 2 vCPU). I samma jämförelse av core-image-sato tog bygget utan Yoctos SBOM-generering 43 % kortare tid än bygget med den.

Ersätt Vigiles med CRACI

För Yocto-avbilder som byggs i GitHub Actions täcker CRACI det som Vigiles köps för: en SBOM för varje bygge, CVE-bevakning efter release, triagebeslut och VEX. Det lägger till det som en metadatabaserad SBOM inte kan ge dig: värdsystemets paket, GitHub-källor och Actions som bygget använde, och en egress-policy medan det körs.

Var tydlig med vad du avstår från. Vigiles kurerade CVE-data och konfigurationsfilter för kärna och U-Boot minskar CVE-bruset på ett sätt som CRACI inte gör. Vigiles rapporterar vilka CVE:er som patcharna i ditt bygge redan åtgärdar, vilket CRACI inte registrerar; Yoctos egen SPDX innehåller också den receptmetadatan, så behåll create-spdx påslaget om du förlitar dig på den. Vigiles täcker också Buildroot, OpenWrt och FreeRTOS, körs i valfri CI och importerar SBOM:er i många format. CRACI har i dag bara stöd för GitHub Actions, med GitLab CI och Jenkins på roadmapen, så pipelines i Jenkins eller GitLab skulle först behöva flyttas till GitHub Actions.

För CRA

Cyber Resilience Act kräver att tillverkare dokumenterar komponenterna i sina produkter, bland annat med en SBOM, och hanterar sårbarheter så länge en produkt får support, med rapporteringsskyldigheter från september 2026. Vigiles hjälper till genom att hålla SBOM:er, CVE-beslut och rapporter per release. CRACI tar fram bevisen per bygge om vad som ingick i firmwaren, med proveniens, löpande bevakning och SBOM-export som CycloneDX eller SPDX. Det automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som en tillverkare behöver för sitt bredare CRA-arbete; inget av verktygen gör en produkt regelefterlevande på egen hand. Läs vad CRA kräver.

Flytta ett Yocto-bygge till CRACI

Sätt runs-on: craci på BitBake-jobbet och välj en runnerstorlek; arbetsflödet fortsätter att köras i GitHub Actions. Yocto-exemplet i CRACI:s dokumentation bygger core-image-sato på den största storleken. Se hur CRACI fungerar för industriell IoT och hemelektronik.