CRACI vs. Manifest

Det korte svaret

Manifest (Manifest Cyber) er en plattform for programvareleverandørkjeden bygget rundt SBOM-er. Den oppretter, importerer, beriker og deler dem på tvers av dine egne produkter, leverandørenes programvare og AI-modellene dine. CRACI er en GitHub Actions-runner som registrerer avhengighetene hver jobb faktisk hentet, og produserer SBOM-en fra den registreringen, med en fullstendighetsstatus.

Manifest forvalter SBOM-ene den får eller genererer med skannere. CRACI produserer SBOM-en fra bygget og sporer sårbarheter i den derfra. For programvaren du bygger selv, dekker CRACI CI-en, SBOM-en og sårbarhetssporingen, så det ikke lenger trengs en egen plattform for SBOM-forvaltning.

Oversikt

Hva Manifest gjør bra

• Tredjepartsprogramvare. Dette er Manifests tydeligste styrke. Leverandører laster opp SBOM-er direkte gjennom en sikker portal, og "when a vendor won't or can't provide an SBOM, Manifest can analyze the binary and generate an SBOM directly from the compiled application." CRACI har ikke noe tilsvarende: Det registrerer byggene du kjører.
• SBOM-drift. Manifest samler inn og slår sammen SBOM-er, beriker dem med data om sårbarheter og utnyttbarhet, og gjør resultatene om til automatiske saker, henvendelser til leverandører og risikorapporter. Det støtter SPDX, CycloneDX og VEX.
• CI-dekning. Manifest CLI kan generere og laste opp SBOM-er fra enhver CI/CD-pipeline, med dokumenterte oppsett for GitHub Actions, CircleCI, Jenkins og Azure DevOps, pluss en GitHub App.
• AI-risiko. Manifest holder oversikt over AI-modeller og AIBOM-er ved siden av programvare, noe som passer organisasjoner som styrer AI-bruk.
• Regulerte bransjer. Det kartlegger funksjonene sine mot FDAs cybersikkerhetsveiledning, EO 14028, NIST 800-218, UNECE R155 og ISO/SAE 21434, og betjener bilindustri, forsvar, medisinsk utstyr, offentlig sektor og finansielle tjenester.

Der CRACI skiller seg ut

En registrering av bygget, ikke en skanning av repositoriet

Manifests GitHub Action genererer SBOM-er med en skanner med åpen kildekode. Standard er Syft, og den støtter også Trivy, cdxgen og andre. Disse verktøyene leser filene og imagene de blir pekt mot. CRACI kjører jobben i stedet. Du endrer runs-on til craci, og en pakkebevisst proxy registrerer trafikk til pakkekilder under bygget: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, pluss forhåndsinnstillinger for nedlastinger. Dokumentasjonen av avhengigheter følger med CI-cacher, så en pakke gjenopprettet fra en cache likevel er med i registreringen.

Forskjellen viser seg så snart filene tar slutt. Express 5.2.1 sjekker ikke inn noen lockfile, så en generator pekt mot en ren checkout har ingen npm-avhengigheter å løse og returnerer det andre den kjenner igjen, for eksempel GitHub Actions og workflow-filer. Manifest selv kan ikke sammenlignes på denne måten, og det kan heller ikke CRACI, som registrerer bygg og ikke kan skanne en katalog. Poenget er at svaret fra en skanning avhenger av verktøyet, innstillingene og filene som finnes, og hver beslutning videre i en forvaltningsplattform arver det svaret.

En fullstendighetsstatus på hver SBOM

CRACI angir fullstendighet per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Statusen er transitiv på tvers av cacher, så hvert varsel og hver rapport bygger på et inventar der hullene er kjent.

Kontroll og provenance

Fordi CRACI kjører jobben, håndhever det en egress-policy for nettverket: default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder og typede egendefinerte kilder, validert før jobben starter og blokkerer ved feil (fail closed). API-et returnerer SBOM-er, nettverksspor og provenance; CRACI signerer ikke provenance.

Overvåking

CRACI vurderer overvåkede SBOM-er kontinuerlig på nytt og samler sårbarheter på tvers av bygg og repositorier. CRACI lar sikkerhetsteam triagere funn og sende dem til riktig team.

En oversikt over hva som er rullet ut hvor

Inventarvisningen i CRACI viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. Når en ny sårbarhet dukker opp, kan du se hvilke produkter som kjører den berørte versjonen, i stedet for å pusle det sammen fra utgivelsesnotater og regneark.

Slik erstatter du Manifest med CRACI

For produktene du bygger, gjør CRACI hele jobben: Det kjører bygget på GitHub Actions, registrerer SBOM-en fra det, fortsetter å vurdere den SBOM-en på nytt når nye sårbarheter publiseres, og eksporterer dokumentasjonen. Det er ingen skanner å konfigurere og ikke noe opplastingssteg mellom pipelinen og SBOM-plattformen.

Vær klar over hva du gir opp. Manifests styrke er programvare du kjøper: en opplastingsportal for leverandører, og binæranalyse når en leverandør ikke gir noen SBOM. CRACI kan holde SBOM-er fra leverandører ved siden av dine egne bygg, men har ingen leverandørportal og ingen binæranalyse. Manifest tilbyr også automatisk opprettelse av saker, holder oversikt over AI-modeller og fungerer på tvers av flere CI-systemer, mens CRACI støtter GitHub Actions i dag, med GitLab CI og Jenkins på veikartet. Hvis tredjepartsprogramvare er den største eksponeringen din, passer Manifest fortsatt best.

For Cyber Resilience Act

Manifest publiserer CRA-materiale, og om CRA sier det at det "generates and maintains SBOMs/AIBOMs, links components to vulnerabilities and provenance, automates continuous monitoring and notifications, and produces exportable evidence for CRA conformity."

Rapporteringspliktene i CRA gjelder fra 11. september 2026: et tidlig varsel innen 24 timer for en aktivt utnyttet sårbarhet, gjennom CRA Single Reporting Platform. Hovedbestemmelsene gjelder fra 11. desember 2027. For dine egne produkter er spørsmålet en myndighet kan stille, hvordan du vet at SBOM-en stemmer med utgivelsen. CRACIs svar er dokumentasjon fra bygget: API-et returnerer hvert byggs CycloneDX-SBOM, provenance og jobbens nettverksspor, og SBOM-er eksporteres som CycloneDX eller SPDX.

CRACI automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess. Ingen av produktene gjør en produsent samsvarende på egen hånd. Se hva CRA krever og CRA-samsvar med CRACI.