CRACI vs. Manifest

Die kurze Antwort

Manifest (Manifest Cyber) ist eine Plattform für die Software-Lieferkette, die um SBOMs herum gebaut ist. Sie erstellt, importiert, ergänzt und teilt sie über Ihre eigenen Produkte, die Software Ihrer Lieferanten und Ihre KI-Modelle hinweg. CRACI ist ein GitHub-Actions-Runner, der die Abhängigkeiten aufzeichnet, die jeder Job tatsächlich geladen hat, und aus dieser Aufzeichnung die SBOM erzeugt, mit einem Vollständigkeitsstatus.

Manifest verwaltet die SBOMs, die es erhält oder mit Scannern erzeugt. CRACI erzeugt die SBOM aus dem Build und verfolgt von dort aus ihre Schwachstellen. Für die Software, die Sie selbst bauen, deckt CRACI CI, SBOM und Schwachstellenverfolgung ab, sodass eine separate Plattform für SBOM-Management nicht mehr nötig ist.

Auf einen Blick

Was Manifest gut kann

• Software von Dritten. Das ist die klarste Stärke von Manifest. Hersteller laden SBOMs direkt über ein sicheres Portal hoch, und „when a vendor won't or can't provide an SBOM, Manifest can analyze the binary and generate an SBOM directly from the compiled application“. CRACI hat dazu keine Entsprechung: Es zeichnet die Builds auf, die Sie ausführen.
• SBOM-Betrieb. Manifest sammelt SBOMs und führt sie zusammen, ergänzt sie um Schwachstellen- und Ausnutzbarkeitsdaten und macht aus den Ergebnissen automatische Tickets, Anfragen an Lieferanten und Risikoberichte. Es unterstützt SPDX, CycloneDX und VEX.
• CI-Abdeckung. Die Manifest CLI kann SBOMs aus jeder CI/CD-Pipeline erzeugen und hochladen, mit dokumentierten Setups für GitHub Actions, CircleCI, Jenkins und Azure DevOps sowie einer GitHub App.
• KI-Risiko. Manifest inventarisiert KI-Modelle und AIBOMs neben Software, was zu Organisationen passt, die den Einsatz von KI steuern.
• Regulierte Branchen. Es ordnet seine Fähigkeiten den FDA-Cybersicherheitsleitlinien, EO 14028, NIST 800-218, UNECE R155 und ISO/SAE 21434 zu und bedient die Automobilindustrie, Verteidigung, Medizintechnik, Behörden und Finanzdienstleister.

Worin sich CRACI unterscheidet

Eine Aufzeichnung des Builds, kein Scan des Repositorys

Die GitHub Action von Manifest erzeugt SBOMs mit einem Open-Source-Scanner. Standard ist Syft, außerdem werden Trivy, cdxgen und andere unterstützt. Diese Tools lesen die Dateien und Images, auf die sie gerichtet sind. CRACI führt stattdessen den Job aus. Sie ändern runs-on auf craci, und ein paketbewusster Proxy zeichnet während des Builds den Datenverkehr zu Paketquellen auf: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen, dazu Download-Presets. Die Abhängigkeitsnachweise reisen mit CI-Caches mit, sodass auch ein aus einem Cache wiederhergestelltes Paket in der Aufzeichnung steht.

Der Unterschied zeigt sich, sobald die Dateien nicht mehr ausreichen. Express 5.2.1 committet kein Lockfile, ein Generator hat bei einem sauberen Checkout also keine npm-Abhängigkeiten aufzulösen und liefert, was er sonst erkennt, etwa GitHub Actions und Workflow-Dateien. Manifest selbst lässt sich so nicht vergleichen, und CRACI auch nicht, denn es zeichnet Builds auf und kann kein Verzeichnis scannen. Entscheidend ist: Die Antwort eines Scans hängt vom Tool, seinen Einstellungen und den vorhandenen Dateien ab, und jede nachgelagerte Entscheidung in einer Verwaltungsplattform erbt diese Antwort.

Ein Vollständigkeitsstatus auf jeder SBOM

CRACI gibt die Vollständigkeit pro Job und pro Cache an: Complete, Complete with connections, Incomplete, Unavailable oder Not recorded. Der Status ist über Caches hinweg transitiv, sodass jede Warnung und jeder Bericht auf einem Inventar mit bekannten Lücken beruht.

Kontrolle und Provenienz

Weil CRACI den Job ausführt, setzt es eine Egress-Richtlinie für das Netzwerk durch: standardmäßig sperrend oder standardmäßig erlaubend, mit 24 integrierten Presets für Softwarequellen und typisierten eigenen Quellen, vor dem Start des Jobs validiert und im Zweifel blockierend (fail closed). Die API liefert SBOMs, Netzwerk-Traces und Provenienz; CRACI signiert Provenienz nicht.

Überwachung

CRACI bewertet überwachte SBOMs laufend neu und führt Schwachstellen über Builds und Repositories hinweg zusammen. Mit CRACI können Sicherheitsteams Befunde sichten und an das richtige Team weiterleiten.

Ein Inventar dessen, was wo im Einsatz ist

Die Inventaransicht von CRACI zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit. Wenn eine neue Schwachstelle bekannt wird, sehen Sie, welche Produkte die betroffene Version ausführen, statt es aus Release Notes und Tabellen zusammenzusuchen.

Manifest durch CRACI ersetzen

Für die Produkte, die Sie bauen, erledigt CRACI die ganze Aufgabe: Es führt den Build auf GitHub Actions aus, zeichnet daraus die SBOM auf, bewertet diese SBOM laufend neu, sobald neue Schwachstellen veröffentlicht werden, und exportiert die Nachweise. Es ist kein Scanner zu konfigurieren, und zwischen Ihrer Pipeline und Ihrer SBOM-Plattform liegt kein Upload-Schritt.

Seien Sie sich im Klaren darüber, worauf Sie verzichten. Die Stärke von Manifest ist Software, die Sie kaufen: ein Upload-Portal für Hersteller und Binäranalyse, wenn ein Lieferant keine SBOM liefert. CRACI kann Hersteller-SBOMs neben Ihren eigenen Builds vorhalten, hat aber kein Herstellerportal und keine Binäranalyse. Manifest bietet außerdem automatische Tickets, inventarisiert KI-Modelle und funktioniert mit mehreren CI-Systemen, während CRACI heute GitHub Actions unterstützt und GitLab CI und Jenkins auf der Roadmap hat. Wenn Software von Dritten Ihr größtes Risiko ist, bleibt Manifest die bessere Wahl.

Für den Cyber Resilience Act

Manifest veröffentlicht Material zum CRA und sagt dazu, es „generates and maintains SBOMs/AIBOMs, links components to vulnerabilities and provenance, automates continuous monitoring and notifications, and produces exportable evidence for CRA conformity“.

Die Meldepflichten des CRA gelten ab dem 11. September 2026: eine Frühwarnung innerhalb von 24 Stunden bei einer aktiv ausgenutzten Schwachstelle über die CRA Single Reporting Platform. Seine Hauptbestimmungen gelten ab dem 11. Dezember 2027. Bei Ihren eigenen Produkten kann eine Behörde fragen, woher Sie wissen, dass die SBOM zum Release passt. Die Antwort von CRACI sind Nachweise aus dem Build: Seine API liefert die CycloneDX-SBOM, die Provenienz und den Netzwerk-Trace des Jobs für jeden Build, und SBOMs lassen sich als CycloneDX oder SPDX exportieren.

CRACI automatisiert einen erheblichen Teil der Transparenz und der Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen. Keines der beiden Produkte macht einen Hersteller allein konform. Siehe Was der CRA verlangt und CRA-Compliance mit CRACI.