CRACI 與 Medcrypt 比較

簡短的答案

Medcrypt 是一家醫療器材資安公司。其平台 Medcrypt Security Intelligence（MSI）結合軟體與一支由前 FDA 審查員組成的團隊，協助準備、稽核並維護裝置的資安送審文件。其首頁的承諾是「Get your cybersecurity submission approved. The first time.」（讓您的資安送審一次就通過）。Helm 是其 SBOM 與漏洞管理產品，屬於 MSI 的一部分，也可單獨購買。

CRACI 是一款 GitHub Actions 執行器，會記錄每個作業實際取用的相依套件，並據此產生附有完整性狀態的 SBOM。接著，它會在資安公告發布時重新評估受監控的 SBOM，資安團隊則對發現的問題進行分級研判，並將其指派給負責修正的團隊。CRACI 不負責準備或審查 FDA 送審文件。對於您所建置軟體的 SBOM 與上市後漏洞追蹤，CRACI 可以從建置本身開始取代 Helm。

重點一覽

Medcrypt 的強項

• 團隊具備 FDA 專業。MSI 的檢查、稽核與範本，是由一支依 Medcrypt 所說包含「former FDA reviewers and authors of the guidance itself」（前 FDA 審查員與指引本身的撰寫者）的團隊打造。MSI 方案每年包含 15 小時與該團隊的顧問服務，平台也會掃描送審文件包，找出審查員可能指出的問題。對於第一次的 510(k) 或 PMA 送審，這是 CRACI 無法提供的協助。
• 涵蓋整份送審文件，而不只是 SBOM。MSI 涵蓋威脅建模、資安風險評估、文件產生（標示為 Beta）、補件通知的回覆，並可透過經審核的合作夥伴加購滲透測試。
• 取得核准後的上市後工作。MSI 包含持續的漏洞監控與 MedISAO 會員資格，Medcrypt 表示這能帶來針對醫療器材的漏洞警示、協同漏洞揭露計畫與指引更新。其平台頁面說得很直白：「Section 524B made post-market cybersecurity a legal duty.」（524B 條讓上市後資安成為法定義務）。
• Helm 專為醫療器材製造商打造。Helm 運用 EPSS、CISA KEV、ExploitDB 與 Metasploit 資料為發現的問題排序，依每個裝置的情境批次重新評分漏洞，將修補措施沿用至各產品版本，並使用別名規則將元件對應到 NVD 條目。它能匯出 CycloneDX 與 SPDX 格式的 SBOM、VEX 與 VDR 報告，以及 Medcrypt FDA SBOM 格式。
• 在其利基市場中地位穩固的廠商。Medcrypt 成立於 2016 年，曾參加 Y Combinator，並公布獲得 3,640 萬美元（$36.4M）資金，投資者包括 Johnson & Johnson Innovation、Intuitive Ventures 與 Dexcom Ventures。該公司表示有超過 140 家醫療器材製造商信任它，其中包括前 50 大中的 13 家。
• 公開價格。MSI 每條產品線每年 $35,000，使用者人數不限，按年開立發票。

CRACI 的不同之處

它從建置中產生 SBOM

Helm 處理的是您提供給它的 SBOM。您上傳或建立 CycloneDX 或 SPDX 檔案，或由 Helm 的 GitHub Action 從您的工作流程上傳 SBOM 檔案（文件指出目前支援 CycloneDX JSON）。對於沒有 SBOM 的團隊，Helm 文件建議使用開源產生工具、手動建立、專家服務，或需另行申請的 Medcrypt 產生工具。因此，Helm 監控的元件清單仍然來自掃描工具或手動建立的檔案。

CRACI 則負責執行作業。您將 runs-on 改為 craci，能辨識套件的代理伺服器就會在建置期間記錄連往套件來源的流量：npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk 與 Git 來源，以及下載預設集。相依套件的佐證資料會隨 CI 快取一起保存，因此從快取還原的套件仍會留在紀錄中。每份 SBOM 都會說明自身的完整程度，以作業與快取為單位：Complete、Complete with connections、Incomplete、Unavailable 或 Not recorded。

嵌入式 Linux 建置

如果您的裝置執行 Yocto 映像檔，比較就很直接。Helm 文件說明如何開啟 Yocto 本身的 SPDX 輸出並上傳。CRACI 則在最高 32 vCPU 與 96 GB RAM 的執行器上執行 BitBake。在core-image-sato 的並排建置中，CRACI 的 SBOM 包含 Yocto 本身 SPDX 輸出中的每個元件，另外還多了 88 個元件（例如主機套件與 GitHub Actions），並為 Yocto 列出但未附 package URL 的 653 個 Rust crate 版本各自提供了 package URL。

從建置歷史回答上市後問題

當新漏洞出現時，上市後的問題是：哪些已出貨的版本含有該漏洞，以及含有多久。CRACI 會在保留期限內保存每次過往建置及其 SBOM，並顯示哪些建置含有存在漏洞的相依套件（無論直接或遞移），讓您知道受影響的期間。其資產清冊檢視會顯示哪些軟體版本部署在哪些產品上。政策關卡可以阻擋仍含有特定 CVE 的後續建置。

控管建置能連線到哪裡

由於 CRACI 就是執行器，它會執行網路對外連線政策：預設拒絕或預設允許，內建 24 個軟體來源預設集與依類型定義的自訂來源，在作業開始前驗證，並採失效即封鎖。違反政策時會發出警示。Medcrypt 不執行您的建置，因此這不在其範圍內。

在 FDA 524B 條之下

依據 524B 條，網路裝置（cyber device）的送審必須包含 SBOM，「including commercial, open-source, and off-the-shelf software components」（包括商用、開源與現成軟體元件），以及監控與處理上市後漏洞的計畫。兩款產品以不同方式觸及這些要求。

Medcrypt 處理的是送審本身：威脅模型、風險評估、文件、依照 FDA 審查員會指出的問題進行稽核，以及 FDA 發出補件通知時的回覆。其價格頁面註明：「FDA is what the platform covers today.」（平台目前涵蓋的是 FDA）。

CRACI 提供的是來自建置的佐證資料：記錄建置實際使用內容的 SBOM（可匯出為 CycloneDX 或 SPDX），以及發布後對該 SBOM 的持續監控，並進行分級研判、指派給負責修正的團隊。CRACI 不撰寫、審查或提交 FDA 文件，也不會讓裝置達到合規。計畫與送審仍是製造商的工作。關於這如何融入產品資安團隊的工作，請參閱 PSIRT 的職責與適用於 PSIRT 團隊的 CRACI。

如何選擇

• 您正在準備第一次送審，或回覆補件通知。選擇 Medcrypt。前 FDA 審查員、送審稽核與威脅建模正是它的專長，而 CRACI 這些都不做。
• 您需要為在 GitHub Actions 中建置的軟體進行 SBOM 與漏洞管理。選擇 CRACI。它在每次建置中產生 SBOM 並加以監控，因此不需要另外執行產生工具，也不需要維護上傳步驟。
• 您需要在現場裝置上進行加密、金鑰管理或裝置身分識別。Medcrypt 的 Guardian 涵蓋裝置端的安全。CRACI 處理的是建置，而非裝置。
• 您的建置在 GitLab CI 或 Jenkins 中執行。Helm 提供 API、GitHub Action 與 Azure DevOps 擴充功能來上傳 SBOM。CRACI 目前支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。

以 CRACI 取代 Helm

對於在 GitHub Actions 中建置的裝置軟體，CRACI 涵蓋了 Helm 的用途：在每次建置中產生 SBOM、在新漏洞公布時重新評估受監控的 SBOM、彙整跨建置與跨儲存庫的發現、支援 VEX，並讓資安團隊對發現進行分級研判，再將每一項指派給負責修正的團隊。您也可以加入廠商的 SBOM，讓外購元件與您自己的建置一起受到監控。

請清楚了解您會失去什麼。Helm 會運用 EPSS 與 CISA KEV 等漏洞利用情資為發現排序、提供緩解措施的 AI 指引、以別名規則比對元件、追蹤終止支援資料，並能匯出 VDR 報告與 Medcrypt FDA SBOM 格式。此外，MSI 的送審工作、顧問時數與 MedISAO 會員資格，在 CRACI 中都沒有對應項目。如果您的主要需求是讓送審通過 FDA 審查，Medcrypt 正是為此打造的。

想比較更多適合產品資安團隊的工具嗎？請參閱 PSIRT 工具比較。