CRACI vs. Manifest

Lyhyt vastaus

Manifest (Manifest Cyber) on SBOM:ien ympärille rakennettu ohjelmistotoimitusketjun alusta. Se luo, tuo, rikastaa ja jakaa niitä omien tuotteidesi, toimittajiesi ohjelmistojen ja tekoälymalliesi osalta. CRACI on GitHub Actions -runneri, joka tallentaa riippuvuudet, jotka kukin jobi todella haki, ja tuottaa SBOM:n tästä kirjauksesta kattavuustilan kera.

Manifest hallitsee SBOM:eja, jotka se saa tai generoi skannereilla. CRACI tuottaa SBOM:n buildista ja seuraa sen haavoittuvuuksia siitä eteenpäin. Itse rakentamasi ohjelmiston osalta CRACI kattaa CI:n, SBOM:n ja haavoittuvuuksien seurannan, joten erillistä SBOM-hallinta-alustaa ei enää tarvita.

Yhdellä silmäyksellä

Missä Manifest on hyvä

• Kolmannen osapuolen ohjelmistot. Tämä on Manifestin selvin vahvuus. Toimittajat lataavat SBOM:t suoraan suojatun portaalin kautta, ja ”kun toimittaja ei halua tai voi toimittaa SBOM:ia, Manifest voi analysoida binäärin ja generoida SBOM:n suoraan käännetystä sovelluksesta”. CRACI:lla ei ole vastaavaa: se tallentaa ajamasi buildit.
• SBOM-operaatiot. Manifest kerää ja yhdistää SBOM:eja, rikastaa niitä haavoittuvuus- ja hyödynnettävyystiedoilla ja muuttaa tulokset automaattisiksi tiketeiksi, yhteydenotoiksi toimittajiin ja riskiraporteiksi. Se tukee SPDX:ää, CycloneDX:ää ja VEX:iä.
• CI-kattavuus. Manifest CLI voi generoida ja ladata SBOM:eja mistä tahansa CI/CD-putkesta, ja sillä on dokumentoidut asetukset GitHub Actionsille, CircleCI:lle, Jenkinsille ja Azure DevOpsille sekä GitHub App.
• Tekoälyriskit. Manifest inventoi tekoälymallit ja AIBOM:t ohjelmistojen rinnalla, mikä sopii organisaatioille, jotka hallitsevat tekoälyn käyttöönottoa.
• Säännellyt toimialat. Se kohdistaa ominaisuutensa FDA:n kyberturvallisuusohjeistukseen, EO 14028:aan, NIST 800-218:aan, UNECE R155:een ja ISO/SAE 21434:ään ja palvelee autoteollisuutta, puolustusta, lääkinnällisiä laitteita, julkishallintoa ja rahoituspalveluita.

Missä CRACI eroaa

Kirjaus buildista, ei repositorion skannaus

Manifestin GitHub Action generoi SBOM:t avoimen lähdekoodin skannerilla. Oletuksena se on Syft, ja tuettuja ovat myös Trivy, cdxgen ja muut. Nämä työkalut lukevat tiedostot ja kuvat, joihin ne osoitetaan. CRACI sen sijaan ajaa jobin. Vaihdat runs-on-arvoksi craci, ja paketit tunnistava välityspalvelin (proxy) tallentaa liikenteen pakettilähteisiin buildin aikana: npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk ja Git-lähteet sekä latausesiasetukset. Riippuvuusnäyttö kulkee CI-välimuistien mukana, joten välimuistista palautettu paketti on silti kirjauksessa.

Ero näkyy heti, kun tiedostot loppuvat. Express 5.2.1 ei sisällä lukitustiedostoa (lockfile), joten puhtaaseen checkoutiin osoitetulla generaattorilla ei ole npm-riippuvuuksia ratkaistavana, ja se palauttaa sen, mitä muuta se tunnistaa, kuten GitHub Actionsit ja työnkulkutiedostot. Manifestia ei voi verrata tällä tavalla, eikä myöskään CRACI:a, joka tallentaa buildeja eikä voi skannata hakemistoa. Pointti on, että skannauksen vastaus riippuu työkalusta, sen asetuksista ja läsnä olevista tiedostoista, ja jokainen hallinta-alustan myöhempi päätös perii tämän vastauksen.

Kattavuustila jokaisessa SBOM:ssa

CRACI ilmoittaa kattavuuden jobi- ja välimuistikohtaisesti: Complete, Complete with connections, Incomplete, Unavailable tai Not recorded. Tila on transitiivinen välimuistien yli, joten jokainen hälytys ja raportti perustuu inventaarioon, jonka aukot tunnetaan.

Hallinta ja alkuperätiedot

Koska CRACI ajaa jobin, se panee täytäntöön verkon egress-käytännön: oletuksena estävä tai oletuksena salliva, 24 valmista ohjelmistolähteiden esiasetusta ja tyypitetyt omat lähteet. Käytäntö validoidaan ennen jobin alkua, ja se noudattaa fail closed -periaatetta. API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot; CRACI ei allekirjoita alkuperätietoja.

Valvonta

CRACI arvioi seurattavia SBOM:eja jatkuvasti uudelleen ja kokoaa haavoittuvuudet buildien ja repositorioiden yli. CRACI:n avulla tietoturvatiimit voivat käydä löydökset läpi triagessa ja ohjata ne oikealle tiimille.

Inventaario siitä, mitä on käytössä missäkin

CRACI:n inventaarionäkymä näyttää tarkasti, mitkä ohjelmistoversiot ovat käytössä missäkin tuotteessa maailmanlaajuisesti. Kun uusi haavoittuvuus ilmestyy, näet, missä tuotteissa haavoittuva versio on, sen sijaan että kokoaisit tiedon julkaisutiedotteista ja taulukoista.

Manifestin korvaaminen CRACI:lla

Rakentamiesi tuotteiden osalta CRACI hoitaa koko työn: se ajaa buildin GitHub Actionsissa, tallentaa SBOM:n siitä, arvioi SBOM:n uudelleen aina, kun uusia haavoittuvuuksia julkaistaan, ja vie näytön. Määritettävää skanneria ei ole, eikä putkesi ja SBOM-alustasi välissä ole latausvaihetta.

Ole selvillä siitä, mistä luovut. Manifestin vahvuus on ostamasi ohjelmistot: toimittajien latausportaali ja binäärianalyysi, kun toimittaja ei toimita SBOM:ia. CRACI voi säilyttää toimittajien SBOM:t omien buildiesi rinnalla, mutta siinä ei ole toimittajaportaalia eikä binäärianalyysiä. Manifest tarjoaa myös automaattisen tiketöinnin, inventoi tekoälymalleja ja toimii useissa CI-järjestelmissä, kun taas CRACI tukee toistaiseksi GitHub Actionsia, ja GitLab CI ja Jenkins ovat tiekartalla. Jos suurin altistumisesi tulee kolmannen osapuolen ohjelmistoista, Manifest sopii edelleen paremmin.

Kyberkestävyyssäädöstä varten

Manifest julkaisee CRA-materiaalia, ja sen mukaan se CRA:n osalta ”generoi ja ylläpitää SBOM:eja/AIBOM:eja, linkittää komponentit haavoittuvuuksiin ja alkuperätietoihin, automatisoi jatkuvan valvonnan ja ilmoitukset ja tuottaa vietävää näyttöä CRA-vaatimustenmukaisuutta varten”.

EU:n kyberkestävyyssäädöksen (Cyber Resilience Act, CRA) raportointivelvoitteita sovelletaan 11.9.2026 alkaen: ennakkovaroitus 24 tunnin kuluessa aktiivisesti hyödynnetystä haavoittuvuudesta CRA:n keskitetyn raportointialustan kautta. Sen keskeisiä säännöksiä sovelletaan 11.12.2027 alkaen. Omien tuotteidesi osalta viranomainen voi kysyä, mistä tiedät SBOM:n vastaavan julkaisua. CRACI:n vastaus on näyttö buildista: sen API palauttaa kunkin buildin CycloneDX-SBOM:n, alkuperätiedot ja jobin verkkojäljen, ja SBOM:t voi viedä CycloneDX- tai SPDX-muodossa.

CRACI automatisoi merkittävän osan siitä ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritykset tarvitsevat laajemmassa CRA-vaatimustenmukaisuusprosessissaan. Kumpikaan tuote ei yksinään tee valmistajasta vaatimustenmukaista. Katso, mitä CRA vaatii, ja CRA-vaatimustenmukaisuus CRACI:lla.