CRACI vs Manifest

Det korte svar

Manifest (Manifest Cyber) er en platform til softwareforsyningskæden bygget op om SBOM'er. Den opretter, importerer, beriger og deler dem på tværs af dine egne produkter, dine leverandørers software og dine AI-modeller. CRACI er en GitHub Actions-runner, der registrerer de afhængigheder, hvert job faktisk hentede, og producerer SBOM'en ud fra den registrering, med en fuldstændighedsstatus.

Manifest administrerer de SBOM'er, det får eller genererer med scannere. CRACI producerer SBOM'en fra buildet og sporer sårbarheder i den derfra. For den software, du selv bygger, dækker CRACI CI, SBOM'en og sårbarhedssporingen, så der ikke længere er brug for en separat platform til SBOM-administration.

Overblik

Hvad Manifest gør godt

• Tredjepartssoftware. Det er Manifests klareste styrke. Leverandører uploader SBOM'er direkte via en sikker portal, og "when a vendor won't or can't provide an SBOM, Manifest can analyze the binary and generate an SBOM directly from the compiled application." CRACI har ikke noget tilsvarende: Det registrerer de builds, du kører.
• SBOM-drift. Manifest indsamler og fletter SBOM'er, beriger dem med data om sårbarheder og udnyttelighed og omsætter resultaterne til automatiske tickets, henvendelser til leverandører og risikorapporter. Det understøtter SPDX, CycloneDX og VEX.
• CI-dækning. Manifest CLI kan generere og uploade SBOM'er fra enhver CI/CD-pipeline, med dokumenterede opsætninger til GitHub Actions, CircleCI, Jenkins og Azure DevOps samt en GitHub App.
• AI-risiko. Manifest laver inventar over AI-modeller og AIBOM'er ved siden af software, hvilket passer til organisationer, der styrer indførelsen af AI.
• Regulerede brancher. Det kortlægger sine funktioner til FDA's cybersikkerhedsvejledning, EO 14028, NIST 800-218, UNECE R155 og ISO/SAE 21434 og betjener bilindustri, forsvar, medicinsk udstyr, offentlig sektor og finansielle tjenester.

Hvor CRACI er anderledes

En registrering af buildet, ikke en scanning af repositoriet

Manifests GitHub Action genererer SBOM'er med en open source-scanner. Standarden er Syft, og det understøtter også Trivy, cdxgen og andre. De værktøjer læser de filer og images, de peges mod. CRACI kører i stedet jobbet. Du ændrer runs-on til craci, og en pakkebevidst proxy registrerer trafik til pakkekilder under buildet: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Dokumentationen for afhængighederne følger med CI-caches, så en pakke gendannet fra en cache stadig er med i registreringen.

Forskellen viser sig, så snart filerne slipper op. Express 5.2.1 committer ingen lockfile, så en generator peget mod en ren checkout har ingen npm-afhængigheder at resolve og returnerer det andet, den genkender, såsom GitHub Actions og workflow-filer. Manifest selv kan ikke sammenlignes på denne måde, og det kan CRACI heller ikke, for det registrerer builds og kan ikke scanne en mappe. Pointen er, at en scannings svar afhænger af værktøjet, dets indstillinger og de filer, der er til stede, og at hver efterfølgende beslutning i en administrationsplatform arver det svar.

En fuldstændighedsstatus på hver SBOM

CRACI angiver fuldstændighed pr. job og pr. cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Statussen er transitiv på tværs af caches, så hver advarsel og rapport kører på et inventar, hvis huller er kendte.

Kontrol og provenance

Fordi CRACI kører jobbet, håndhæver det en egress-politik for netværket: default deny eller default allow, med 24 indbyggede presets for softwarekilder og typede brugerdefinerede kilder, valideret før jobbet starter, og den blokerer ved fejl (fail closed). API'et returnerer SBOM'er, netværkstraces og provenance; CRACI signerer ikke provenance.

Overvågning

CRACI genvurderer løbende overvågede SBOM'er og samler sårbarheder på tværs af builds og repositories. CRACI lader sikkerhedsteams triagere fund og sende dem videre til det rette team.

Et overblik over, hvad der er udrullet hvor

CRACI's inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt. Når en ny sårbarhed lander, kan du se, hvilke produkter der kører den berørte version, i stedet for at stykke det sammen fra release notes og regneark.

Erstat Manifest med CRACI

For de produkter, du bygger, klarer CRACI hele opgaven: Det kører buildet på GitHub Actions, registrerer SBOM'en fra det, genvurderer løbende den SBOM, efterhånden som nye sårbarheder offentliggøres, og eksporterer dokumentationen. Der er ingen scanner at konfigurere og intet upload-trin mellem din pipeline og din SBOM-platform.

Vær klar over, hvad du giver afkald på. Manifests styrke er software, du køber: en uploadportal til leverandører og binæranalyse, når en leverandør ikke leverer nogen SBOM. CRACI kan gemme leverandørers SBOM'er ved siden af dine egne builds, men har ingen leverandørportal og ingen binæranalyse. Manifest tilbyder også automatisk ticketoprettelse, laver inventar over AI-modeller og fungerer på tværs af flere CI-systemer, mens CRACI understøtter GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen. Er tredjepartssoftware din største eksponering, er Manifest fortsat det bedste match.

Til Cyber Resilience Act

Manifest udgiver CRA-materiale, og om CRA siger det, at det "generates and maintains SBOMs/AIBOMs, links components to vulnerabilities and provenance, automates continuous monitoring and notifications, and produces exportable evidence for CRA conformity."

CRA's rapporteringsforpligtelser gælder fra 11. september 2026: en tidlig varsling inden for 24 timer ved en aktivt udnyttet sårbarhed, via CRA Single Reporting Platform. Forordningens hovedbestemmelser gælder fra 11. december 2027. For dine egne produkter er det spørgsmål, en myndighed kan stille, hvordan du ved, at SBOM'en matcher releasen. CRACI's svar er dokumentation fra buildet: Dets API returnerer hvert builds CycloneDX-SBOM, provenance og jobbets netværkstrace, og SBOM'er eksporteres som CycloneDX eller SPDX.

CRACI automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces. Ingen af produkterne gør en producent compliant alene. Se hvad CRA kræver og CRA-compliance med CRACI.