CRACI vs Manifest

간단한 답변

Manifest(Manifest Cyber)는 SBOM을 중심으로 구축된 소프트웨어 공급망 플랫폼입니다. 자사 제품, 공급업체의 소프트웨어, AI 모델 전반에서 SBOM을 생성하고, 가져오고, 보강하고, 공유합니다. CRACI는 각 작업이 실제로 가져온 종속성을 기록하고 그 기록으로부터 완전성 상태가 포함된 SBOM을 생성하는 GitHub Actions 러너입니다.

Manifest는 전달받거나 스캐너로 생성한 SBOM을 관리합니다. CRACI는 빌드에서 SBOM을 생성하고 거기서부터 취약점을 추적합니다. 직접 빌드하는 소프트웨어의 경우 CRACI가 CI, SBOM, 취약점 추적을 모두 다루므로 별도의 SBOM 관리 플랫폼이 더 이상 필요하지 않습니다.

한눈에 보기

Manifest의 강점

• 서드파티 소프트웨어. Manifest의 가장 뚜렷한 강점입니다. 공급업체는 보안 포털을 통해 SBOM을 직접 업로드하며, "공급업체가 SBOM을 제공하지 않거나 제공할 수 없는 경우 Manifest가 바이너리를 분석하여 컴파일된 애플리케이션에서 직접 SBOM을 생성"할 수 있습니다. CRACI에는 이에 해당하는 기능이 없습니다. CRACI는 고객이 실행하는 빌드를 기록합니다.
• SBOM 운영. Manifest는 SBOM을 수집·병합하고, 취약점 및 악용 가능성 데이터로 보강하며, 그 결과를 자동 티켓, 공급업체 대상 연락, 위험 보고서로 바꿉니다. SPDX, CycloneDX, VEX를 지원합니다.
• CI 지원 범위. Manifest CLI는 모든 CI/CD 파이프라인에서 SBOM을 생성하고 업로드할 수 있으며, GitHub Actions, CircleCI, Jenkins, Azure DevOps에 대한 문서화된 설정과 GitHub App을 제공합니다.
• AI 위험. Manifest는 소프트웨어와 함께 AI 모델과 AIBOM의 인벤토리를 관리하므로, AI 도입을 관리하는 조직에 적합합니다.
• 규제 산업. 자사 기능을 FDA 사이버 보안 가이드라인, EO 14028, NIST 800-218, UNECE R155, ISO/SAE 21434에 매핑하며, 자동차, 국방, 의료기기, 정부, 금융 서비스 분야를 지원합니다.

CRACI가 다른 점

리포지토리 스캔이 아닌 빌드의 기록

Manifest의 GitHub Action은 오픈 소스 스캐너로 SBOM을 생성합니다. 기본값은 Syft이며 Trivy, cdxgen 등도 지원합니다. 이러한 도구는 지정된 파일과 이미지를 읽습니다. CRACI는 대신 작업을 실행합니다. runs-on을 craci로 변경하면, 패키지를 인식하는 프록시가 빌드 중 패키지 소스로 향하는 트래픽을 기록합니다. npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스와 다운로드 프리셋이 대상입니다. 종속성 증거는 CI 캐시와 함께 이동하므로 캐시에서 복원된 패키지도 기록에 남습니다.

스캔할 파일이 없으면 차이가 바로 드러납니다. Express 5.2.1은 잠금 파일을 커밋하지 않으므로, 깨끗한 체크아웃을 대상으로 한 생성기는 해석할 npm 종속성이 없어 GitHub Actions나 워크플로 파일처럼 그 밖에 인식하는 것만 반환합니다. Manifest 자체는 이런 방식으로 비교할 수 없으며, 빌드를 기록할 뿐 디렉터리를 스캔할 수 없는 CRACI도 마찬가지입니다. 요점은 스캔 결과가 도구, 설정, 존재하는 파일에 따라 달라지며, 관리 플랫폼의 모든 후속 결정이 그 결과를 그대로 물려받는다는 것입니다.

모든 SBOM에 완전성 상태 표시

CRACI는 작업별·캐시별로 완전성을 명시합니다. Complete, Complete with connections, Incomplete, Unavailable, Not recorded 중 하나입니다. 이 상태는 캐시 간에 전이적으로 전달되므로, 모든 알림과 보고서는 빈틈이 파악된 인벤토리를 바탕으로 작동합니다.

통제와 출처 증명

CRACI는 작업을 직접 실행하므로 네트워크 이그레스 정책을 적용합니다. 기본 거부 또는 기본 허용이며, 24개의 내장 소프트웨어 소스 프리셋과 유형별 사용자 지정 소스를 제공하고, 작업 시작 전에 검증되며 실패 시 차단(fail closed)됩니다. API는 SBOM, 네트워크 트레이스, 출처 증명을 반환합니다. CRACI는 출처 증명에 서명하지 않습니다.

모니터링

CRACI는 모니터링 중인 SBOM을 지속적으로 재평가하고 빌드와 리포지토리 전반의 취약점을 집계합니다. 보안 팀은 CRACI에서 발견 사항을 분류하고 담당 팀에 전달할 수 있습니다.

어디에 무엇이 배포되었는지에 대한 인벤토리

CRACI의 인벤토리 뷰는 어떤 소프트웨어 버전이 어떤 제품에 배포되었는지 전 세계 범위에서 정확히 보여 줍니다. 새로운 취약점이 발견되면 릴리스 노트와 스프레드시트를 맞춰 보는 대신, 영향을 받는 버전을 실행하는 제품을 바로 확인할 수 있습니다.

Manifest를 CRACI로 대체하기

직접 빌드하는 제품의 경우 CRACI가 전체 작업을 수행합니다. GitHub Actions에서 빌드를 실행하고, 그 빌드에서 SBOM을 기록하며, 새 취약점이 공개될 때마다 해당 SBOM을 계속 재평가하고, 증거를 내보냅니다. 구성할 스캐너도, 파이프라인과 SBOM 플랫폼 사이의 업로드 단계도 없습니다.

포기하게 되는 것도 분명히 알아 두세요. Manifest의 강점은 구매한 소프트웨어에 있습니다. 공급업체 업로드 포털, 그리고 공급업체가 SBOM을 제공하지 않을 때의 바이너리 분석입니다. CRACI는 공급업체 SBOM을 자체 빌드와 함께 보관할 수 있지만, 공급업체 포털과 바이너리 분석은 없습니다. Manifest는 또한 자동 티켓 생성을 제공하고, AI 모델의 인벤토리를 관리하며, 여러 CI 시스템에서 작동합니다. 반면 CRACI는 현재 GitHub Actions를 지원하며, GitLab CI와 Jenkins는 로드맵에 있습니다. 서드파티 소프트웨어가 주요 위험 요인이라면 Manifest가 여전히 더 적합합니다.

Cyber Resilience Act 대응

Manifest는 CRA 관련 자료를 공개하고 있으며, CRA에 대해 "SBOM/AIBOM을 생성·유지하고, 구성 요소를 취약점 및 출처 증명과 연결하며, 지속적인 모니터링과 알림을 자동화하고, CRA 적합성을 위한 내보내기 가능한 증거를 생성한다"고 설명합니다.

CRA의 보고 의무는 2026년 9월 11일부터 적용됩니다. 적극적으로 악용되는 취약점에 대해 24시간 이내에 CRA Single Reporting Platform을 통해 조기 경보를 해야 합니다. 주요 조항은 2027년 12월 11일부터 적용됩니다. 자사 제품에 대해 당국이 물을 수 있는 질문은 SBOM이 릴리스와 일치한다는 것을 어떻게 아느냐입니다. CRACI의 답은 빌드에서 나온 증거입니다. API는 각 빌드의 CycloneDX SBOM, 출처 증명, 작업 네트워크 트레이스를 반환하며, SBOM은 CycloneDX 또는 SPDX로 내보낼 수 있습니다.

CRACI는 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다. 어느 제품도 그 자체로 제조업체의 규정 준수를 보장하지는 않습니다. CRA의 요구 사항과 CRACI를 통한 CRA 컴플라이언스를 확인하세요.