CRACI vs Manifest

Stručná odpověď

Manifest (Manifest Cyber) je platforma pro softwarový dodavatelský řetězec postavená kolem SBOM. Vytváří je, importuje, obohacuje a sdílí napříč vašimi vlastními produkty, softwarem vašich dodavatelů a vašimi modely AI. CRACI je runner pro GitHub Actions, který zaznamenává závislosti, jež každý job skutečně stáhl, a z tohoto záznamu vytváří SBOM se stavem úplnosti.

Manifest spravuje SBOM, které dostane nebo vygeneruje pomocí skenerů. CRACI vytváří SBOM z buildu a odtud v něm sleduje zranitelnosti. U softwaru, který sestavujete sami, CRACI pokrývá CI, SBOM i sledování zranitelností, takže samostatná platforma pro správu SBOM už není potřeba.

Přehled

V čem je Manifest dobrý

• Software třetích stran. To je nejzřetelnější silná stránka Manifestu. Dodavatelé nahrávají SBOM přímo přes zabezpečený portál, a „když dodavatel nechce nebo nemůže SBOM poskytnout, Manifest umí analyzovat binární soubor a vygenerovat SBOM přímo ze zkompilované aplikace“. CRACI nic podobného nemá: zaznamenává buildy, které spouštíte vy.
• Práce se SBOM. Manifest shromažďuje a slučuje SBOM, obohacuje je o data o zranitelnostech a zneužitelnosti a výsledky převádí na automatické tikety, komunikaci s dodavateli a reporty o rizicích. Podporuje SPDX, CycloneDX a VEX.
• Pokrytí CI. Manifest CLI umí generovat a nahrávat SBOM z jakékoli pipeline CI/CD, se zdokumentovaným nastavením pro GitHub Actions, CircleCI, Jenkins a Azure DevOps, a navíc nabízí GitHub App.
• Rizika AI. Manifest vede inventář modelů AI a AIBOM vedle softwaru, což vyhovuje organizacím, které řídí zavádění AI.
• Regulovaná odvětví. Své funkce mapuje na doporučení FDA pro kybernetickou bezpečnost, EO 14028, NIST 800-218, UNECE R155 a ISO/SAE 21434 a slouží automobilovému průmyslu, obraně, zdravotnickým prostředkům, státní správě a finančním službám.

V čem se CRACI liší

Záznam buildu, ne sken repozitáře

GitHub Action od Manifestu generuje SBOM pomocí open source skeneru. Výchozí je Syft a podporuje také Trivy, cdxgen a další. Tyto nástroje čtou soubory a image, na které je nasměrujete. CRACI místo toho job spouští. Změníte runs-on na craci a proxy, která rozumí balíčkům, během buildu zaznamenává provoz ke zdrojům balíčků: npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git, a navíc přednastavené zdroje stahování. Důkazy o závislostech putují spolu s cache CI, takže balíček obnovený z cache v záznamu zůstává.

Rozdíl se ukáže, jakmile soubory přestanou stačit. Express 5.2.1 necommituje žádný lockfile, takže generátor nasměrovaný na čistý checkout nemá žádné npm závislosti k vyřešení a vrátí cokoli jiného, co rozpozná, například GitHub Actions a soubory workflow. Samotný Manifest takto porovnat nelze a stejně tak ani CRACI, které zaznamenává buildy a adresář skenovat neumí. Jde o to, že odpověď skenu závisí na nástroji, jeho nastavení a přítomných souborech a každé navazující rozhodnutí v platformě pro správu tuto odpověď dědí.

Stav úplnosti u každého SBOM

CRACI uvádí úplnost pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded. Stav se tranzitivně přenáší napříč cache, takže každé upozornění a každý report pracuje s inventářem, jehož mezery jsou známé.

Kontrola a původ

Protože CRACI job spouští, vynucuje egress policy sítě: výchozí zákaz nebo výchozí povolení, s 24 vestavěnými předvolbami softwarových zdrojů a typovanými vlastními zdroji, ověřenou před startem jobu a při selhání vše blokující (fail-closed). API vrací SBOM, síťové záznamy a původ; CRACI původ nepodepisuje.

Monitorování

CRACI průběžně znovu vyhodnocuje monitorované SBOM a agreguje zranitelnosti napříč buildy a repozitáři. Bezpečnostní týmy v CRACI mohou provádět triáž nálezů a směrovat je ke správnému týmu.

Inventář toho, co je kde nasazeno

Inventář v CRACI přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, globálně. Když se objeví nová zranitelnost, vidíte, které produkty běží na zasažené verzi, místo abyste to skládali z poznámek k vydání a tabulek.

Nahrazení Manifestu za CRACI

U produktů, které sestavujete, CRACI odvede celou práci: spustí build v GitHub Actions, zaznamená z něj SBOM, průběžně tento SBOM znovu vyhodnocuje, jakmile jsou zveřejněny nové zranitelnosti, a exportuje důkazy. Není třeba konfigurovat žádný skener a mezi vaší pipeline a platformou pro SBOM není žádný krok nahrávání.

Buďte si jasně vědomi toho, čeho se vzdáváte. Silnou stránkou Manifestu je software, který kupujete: portál pro nahrávání od dodavatelů a binární analýza, když dodavatel žádný SBOM neposkytne. CRACI umí uchovávat SBOM dodavatelů vedle vašich vlastních buildů, ale nemá portál pro dodavatele ani binární analýzu. Manifest také nabízí automatické vytváření tiketů, vede inventář modelů AI a funguje napříč několika systémy CI, zatímco CRACI dnes podporuje GitHub Actions a GitLab CI a Jenkins jsou v plánu vývoje. Pokud je vaší hlavní expozicí software třetích stran, Manifest zůstává vhodnější volbou.

Pro Cyber Resilience Act

Manifest zveřejňuje materiály ke CRA a o CRA uvádí, že „generuje a udržuje SBOM/AIBOM, propojuje komponenty se zranitelnostmi a původem, automatizuje průběžné monitorování a upozornění a vytváří exportovatelné důkazy pro shodu s CRA“.

Oznamovací povinnosti podle CRA platí od 11. září 2026: včasné varování do 24 hodin u aktivně zneužívané zranitelnosti, prostřednictvím CRA Single Reporting Platform (jednotné platformy pro podávání zpráv). Jeho hlavní ustanovení se použijí od 11. prosince 2027. U vašich vlastních produktů se úřad může zeptat, jak víte, že SBOM odpovídá vydání. Odpovědí CRACI jsou důkazy z buildu: jeho API vrací pro každý build SBOM ve formátu CycloneDX, původ a síťový záznam jobu a SBOM lze exportovat jako CycloneDX nebo SPDX.

CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces zajištění souladu s CRA. Ani jeden z produktů sám o sobě výrobce do souladu nepřivede. Viz co CRA požaduje a soulad s CRA s CRACI.