CRACI vs Manifest

La risposta breve

Manifest (Manifest Cyber) è una piattaforma per la software supply chain costruita attorno alle SBOM. Le crea, le importa, le arricchisce e le condivide per i Suoi prodotti, il software dei Suoi vendor e i Suoi modelli di AI. CRACI è un runner GitHub Actions che registra le dipendenze effettivamente scaricate da ogni job e produce la SBOM da quella registrazione, con uno stato di completezza.

Manifest gestisce le SBOM che riceve o che genera con gli scanner. CRACI produce la SBOM dalla build e da lì ne traccia le vulnerabilità. Per il software che compila Lei, CRACI copre la CI, la SBOM e il tracciamento delle vulnerabilità, quindi una piattaforma separata di gestione delle SBOM non serve più.

In sintesi

Che cosa fa bene Manifest

• Software di terze parti. È il punto di forza più evidente di Manifest. I vendor caricano direttamente le SBOM tramite un portale sicuro, e "when a vendor won't or can't provide an SBOM, Manifest can analyze the binary and generate an SBOM directly from the compiled application." CRACI non ha nulla di equivalente: registra le build che esegue Lei.
• Operazioni sulle SBOM. Manifest raccoglie e unisce le SBOM, le arricchisce con dati su vulnerabilità e sfruttabilità e trasforma i risultati in ticket automatici, comunicazioni ai fornitori e report di rischio. Supporta SPDX, CycloneDX e VEX.
• Copertura CI. La Manifest CLI può generare e caricare SBOM da qualsiasi pipeline CI/CD, con configurazioni documentate per GitHub Actions, CircleCI, Jenkins e Azure DevOps, oltre a una GitHub App.
• Rischio AI. Manifest inventaria modelli di AI e AIBOM accanto al software, il che è indicato per le organizzazioni che governano l'adozione dell'AI.
• Settori regolamentati. Mappa le proprie funzionalità sulle linee guida FDA per la cybersecurity, EO 14028, NIST 800-218, UNECE R155 e ISO/SAE 21434, e serve i settori automotive, difesa, dispositivi medici, enti pubblici e servizi finanziari.

In che cosa CRACI è diverso

Una registrazione della build, non una scansione del repository

La GitHub Action di Manifest genera le SBOM con uno scanner open source. Quello predefinito è Syft, e sono supportati anche Trivy, cdxgen e altri. Questi strumenti leggono i file e le immagini su cui vengono puntati. CRACI invece esegue il job. Lei cambia runs-on in craci e un proxy che riconosce i pacchetti registra il traffico verso le sorgenti dei pacchetti durante la build: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download. Le evidenze sulle dipendenze viaggiano con le cache CI, quindi anche un pacchetto ripristinato da una cache resta nella registrazione.

La differenza emerge non appena i file non bastano più. Express 5.2.1 non versiona alcun lockfile, quindi un generatore puntato su un checkout pulito non ha dipendenze npm da risolvere e restituisce qualunque altra cosa riconosca, come GitHub Actions e file di workflow. Manifest stesso non può essere confrontato in questo modo, e neppure CRACI, che registra le build e non può scansionare una directory. Il punto è che la risposta di una scansione dipende dallo strumento, dalle sue impostazioni e dai file presenti, e ogni decisione a valle in una piattaforma di gestione eredita quella risposta.

Uno stato di completezza su ogni SBOM

CRACI dichiara la completezza per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Lo stato è transitivo attraverso le cache, quindi ogni avviso e report si basa su un inventario di cui sono note le lacune.

Controllo e provenance

Poiché CRACI esegue il job, applica una policy di egress di rete: negazione o autorizzazione predefinita, con 24 preset integrati di sorgenti software e sorgenti personalizzate tipizzate, validata prima dell'avvio del job e in modalità fail closed. L'API restituisce SBOM, tracce di rete e provenance; CRACI non firma la provenance.

Monitoraggio

CRACI rivaluta di continuo le SBOM monitorate e aggrega le vulnerabilità tra build e repository. CRACI consente ai team di sicurezza di esaminare i risultati e di assegnarli al team giusto.

Un inventario di ciò che è distribuito e dove

La vista inventario di CRACI mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale. Quando arriva una nuova vulnerabilità, Lei può vedere quali prodotti eseguono la versione interessata, invece di ricostruirlo da note di rilascio e fogli di calcolo.

Sostituire Manifest con CRACI

Per i prodotti che compila, CRACI svolge l'intero lavoro: esegue la build su GitHub Actions, ne registra la SBOM, continua a rivalutarla man mano che vengono pubblicate nuove vulnerabilità ed esporta le evidenze. Non c'è alcuno scanner da configurare né alcuno step di caricamento tra la Sua pipeline e la Sua piattaforma SBOM.

Sia consapevole di ciò a cui rinuncia. Il punto di forza di Manifest è il software che Lei acquista: un portale di caricamento per i vendor e l'analisi binaria quando un fornitore non fornisce una SBOM. CRACI può conservare le SBOM dei vendor accanto alle Sue build, ma non ha un portale per i vendor né analisi binaria. Manifest offre anche ticketing automatico, inventaria i modelli di AI e funziona con diversi sistemi CI, mentre CRACI oggi supporta GitHub Actions, con GitLab CI e Jenkins in roadmap. Se il software di terze parti è la Sua principale esposizione, Manifest resta la scelta più adatta.

Per il Cyber Resilience Act

Manifest pubblica materiale sul CRA e, a proposito del CRA, afferma che "generates and maintains SBOMs/AIBOMs, links components to vulnerabilities and provenance, automates continuous monitoring and notifications, and produces exportable evidence for CRA conformity."

Gli obblighi di segnalazione del CRA si applicano dall'11 settembre 2026: un preallarme entro 24 ore per una vulnerabilità attivamente sfruttata, tramite la piattaforma unica di segnalazione del CRA. Le sue disposizioni principali si applicano dall'11 dicembre 2027. Per i Suoi prodotti, la domanda che un'autorità può porre è come fa a sapere che la SBOM corrisponde alla release. La risposta di CRACI sono le evidenze dalla build: la sua API restituisce la SBOM CycloneDX di ogni build, la provenance e la traccia di rete del job, e le SBOM si esportano in CycloneDX o SPDX.

CRACI automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno per il loro più ampio processo di conformità al CRA. Nessuno dei due prodotti rende conforme un fabbricante da solo. Veda che cosa richiede il CRA e la conformità al CRA con CRACI.