CRACI vs Manifest

Het korte antwoord

Manifest (Manifest Cyber) is een platform voor de softwareketen dat is gebouwd rond SBOM's. Het maakt, importeert, verrijkt en deelt ze voor uw eigen producten, de software van uw leveranciers en uw AI-modellen. CRACI is een GitHub Actions-runner die de afhankelijkheden vastlegt die elke job daadwerkelijk ophaalde en op basis daarvan de SBOM maakt, met een volledigheidsstatus.

Manifest beheert de SBOM's die het krijgt of met scanners genereert. CRACI maakt de SBOM uit de build en volgt van daaruit de kwetsbaarheden erin. Voor de software die u zelf bouwt, dekt CRACI de CI, de SBOM en het volgen van kwetsbaarheden, zodat een apart platform voor SBOM-beheer niet meer nodig is.

In één oogopslag

Waar Manifest sterk in is

• Software van derden. Dit is de duidelijkste sterkte van Manifest. Leveranciers uploaden SBOM's rechtstreeks via een beveiligd portaal, en "when a vendor won't or can't provide an SBOM, Manifest can analyze the binary and generate an SBOM directly from the compiled application." CRACI heeft geen equivalent: het legt de builds vast die u draait.
• SBOM-beheer. Manifest verzamelt SBOM's en voegt ze samen, verrijkt ze met gegevens over kwetsbaarheden en exploiteerbaarheid, en zet de resultaten om in automatische tickets, contact met leveranciers en risicorapporten. Het ondersteunt SPDX, CycloneDX en VEX.
• CI-dekking. De Manifest CLI kan SBOM's genereren en uploaden vanuit elke CI/CD-pipeline, met gedocumenteerde configuraties voor GitHub Actions, CircleCI, Jenkins en Azure DevOps, plus een GitHub App.
• AI-risico. Manifest inventariseert AI-modellen en AIBOM's naast software, wat past bij organisaties die toezicht houden op de inzet van AI.
• Gereguleerde sectoren. Het koppelt zijn functies aan FDA-richtlijnen voor cyberbeveiliging, EO 14028, NIST 800-218, UNECE R155 en ISO/SAE 21434, en bedient automotive, defensie, medische apparaten, overheid en financiële dienstverlening.

Waarin CRACI verschilt

Een vastlegging van de build, geen scan van de repository

De GitHub Action van Manifest genereert SBOM's met een open-sourcescanner. Standaard is dat Syft, en ook Trivy, cdxgen en andere worden ondersteund. Die tools lezen de bestanden en images waarop ze worden gericht. CRACI draait in plaats daarvan de job. U wijzigt runs-on in craci, en een proxy die pakketten herkent, legt tijdens de build het verkeer naar pakketbronnen vast: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Het bewijs van afhankelijkheden reist mee met CI-caches, dus een pakket dat uit een cache wordt teruggezet, blijft in de vastlegging.

Het verschil wordt zichtbaar zodra de bestanden opraken. Express 5.2.1 commit geen lockfile, dus een generator die op een schone checkout wordt gericht, heeft geen npm-afhankelijkheden om te resolven en geeft terug wat hij verder herkent, zoals GitHub Actions en workflowbestanden. Manifest zelf is op deze manier niet te vergelijken, en CRACI ook niet, want dat legt builds vast en kan geen directory scannen. Het punt is dat het antwoord van een scan afhangt van de tool, de instellingen en de aanwezige bestanden, en dat elke beslissing verderop in een beheerplatform dat antwoord erft.

Een volledigheidsstatus op elke SBOM

CRACI vermeldt de volledigheid per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded. De status is transitief over caches heen, dus elke melding en elk rapport is gebaseerd op een inventaris waarvan de hiaten bekend zijn.

Controle en herkomst

Omdat CRACI de job draait, dwingt het een egressbeleid voor het netwerk af: standaard weigeren of standaard toestaan, met 24 ingebouwde presets voor softwarebronnen en getypeerde eigen bronnen, gevalideerd voordat de job start en fail-closed. De API levert SBOM's, netwerktraces en herkomstgegevens; CRACI ondertekent herkomstgegevens niet.

Monitoring

CRACI beoordeelt gemonitorde SBOM's continu opnieuw en bundelt kwetsbaarheden over builds en repositories heen. CRACI laat securityteams bevindingen triëren en toewijzen aan het juiste team.

Een inventaris van wat waar is uitgerold

De inventarisweergave van CRACI toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. Wordt er een nieuwe kwetsbaarheid bekend, dan ziet u welke producten de getroffen versie draaien, in plaats van het bij elkaar te zoeken uit release notes en spreadsheets.

Manifest vervangen door CRACI

Voor de producten die u bouwt, doet CRACI het hele werk: het draait de build op GitHub Actions, legt er de SBOM uit vast, blijft die SBOM opnieuw beoordelen wanneer nieuwe kwetsbaarheden worden gepubliceerd, en exporteert het bewijs. U hoeft geen scanner te configureren en er zit geen uploadstap tussen uw pipeline en uw SBOM-platform.

Wees u bewust van wat u opgeeft. De sterkte van Manifest is software die u koopt: een uploadportaal voor leveranciers, en binaire analyse wanneer een leverancier geen SBOM levert. CRACI kan SBOM's van leveranciers naast uw eigen builds bewaren, maar heeft geen leveranciersportaal en geen binaire analyse. Manifest biedt ook automatische tickets, inventariseert AI-modellen en werkt met meerdere CI-systemen, terwijl CRACI vandaag GitHub Actions ondersteunt, met GitLab CI en Jenkins op de roadmap. Is software van derden uw grootste risico, dan blijft Manifest de sterkere keuze.

Voor de Cyber Resilience Act

Manifest publiceert materiaal over de CRA, en zegt daarover dat het "generates and maintains SBOMs/AIBOMs, links components to vulnerabilities and provenance, automates continuous monitoring and notifications, and produces exportable evidence for CRA conformity."

De meldplichten van de CRA gelden vanaf 11 september 2026: een vroegtijdige waarschuwing binnen 24 uur voor een actief uitgebuite kwetsbaarheid, via het CRA Single Reporting Platform. De hoofdbepalingen gelden vanaf 11 december 2027. Voor uw eigen producten is de vraag die een autoriteit kan stellen hoe u weet dat de SBOM overeenkomt met de release. Het antwoord van CRACI is bewijs uit de build: de API levert de CycloneDX-SBOM van elke build, herkomstgegevens en de netwerktrace van de job, en SBOM's worden geëxporteerd als CycloneDX of SPDX.

CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces. Geen van beide producten maakt een fabrikant op zichzelf compliant. Zie wat de CRA vereist en CRA-naleving met CRACI.