CRACI vs Manifest

Krótka odpowiedź

Manifest (Manifest Cyber) to platforma łańcucha dostaw oprogramowania zbudowana wokół SBOM. Tworzy, importuje, wzbogaca i udostępnia je dla Państwa własnych produktów, oprogramowania dostawców i modeli AI. CRACI to runner GitHub Actions, który rejestruje zależności faktycznie pobrane przez każde zadanie i na tej podstawie tworzy SBOM ze stanem kompletności.

Manifest zarządza SBOM-ami, które otrzymuje lub generuje skanerami. CRACI tworzy SBOM z buildu i na tej podstawie śledzi w nim podatności. Dla oprogramowania, które budują Państwo sami, CRACI obejmuje CI, SBOM i śledzenie podatności, więc osobna platforma do zarządzania SBOM nie jest już potrzebna.

W skrócie

Co Manifest robi dobrze

• Oprogramowanie zewnętrzne. To najwyraźniejsza zaleta Manifest. Dostawcy przesyłają SBOM-y bezpośrednio przez bezpieczny portal, a gdy dostawca nie chce lub nie może dostarczyć SBOM, Manifest potrafi przeanalizować plik binarny i wygenerować SBOM bezpośrednio ze skompilowanej aplikacji. CRACI nie ma odpowiednika: rejestruje buildy, które Państwo uruchamiają.
• Operacje na SBOM. Manifest zbiera i scala SBOM-y, wzbogaca je o dane o podatnościach i możliwości ich wykorzystania, a wyniki zamienia w automatyczne zgłoszenia, kontakt z dostawcami i raporty o ryzyku. Obsługuje SPDX, CycloneDX i VEX.
• Pokrycie CI. Manifest CLI może generować i przesyłać SBOM-y z dowolnego pipeline'u CI/CD, z udokumentowanymi konfiguracjami dla GitHub Actions, CircleCI, Jenkins i Azure DevOps oraz aplikacją GitHub App.
• Ryzyko AI. Manifest inwentaryzuje modele AI i AIBOM-y obok oprogramowania, co pasuje organizacjom zarządzającym wdrażaniem AI.
• Branże regulowane. Mapuje swoje możliwości na wytyczne FDA dotyczące cyberbezpieczeństwa, EO 14028, NIST 800-218, UNECE R155 i ISO/SAE 21434 oraz obsługuje motoryzację, obronność, wyroby medyczne, administrację publiczną i usługi finansowe.

Czym różni się CRACI

Zapis buildu, a nie skan repozytorium

GitHub Action od Manifest generuje SBOM-y skanerem open source. Domyślnie jest to Syft, obsługiwane są też Trivy, cdxgen i inne. Te narzędzia odczytują pliki i obrazy, na które zostaną skierowane. CRACI zamiast tego uruchamia zadanie. Zmieniają Państwo runs-on na craci, a proxy rozpoznające pakiety rejestruje podczas buildu ruch do źródeł pakietów: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk i źródeł Git, a także presetów pobierania. Dowody zależności przemieszczają się razem z cache CI, więc pakiet przywrócony z cache nadal znajduje się w zapisie.

Różnica ujawnia się, gdy tylko zabraknie plików. Express 5.2.1 nie ma lockfile w repozytorium, więc generator skierowany na czysty checkout nie ma zależności npm do rozwiązania i zwraca to, co jeszcze rozpoznaje, na przykład GitHub Actions i pliki workflow. Samego Manifest nie da się w ten sposób porównać, podobnie jak CRACI, który rejestruje buildy i nie potrafi skanować katalogu. Chodzi o to, że wynik skanu zależy od narzędzia, jego ustawień i obecnych plików, a każda dalsza decyzja w platformie zarządzającej dziedziczy ten wynik.

Stan kompletności każdego SBOM

CRACI określa kompletność dla każdego zadania i każdego cache: Complete, Complete with connections, Incomplete, Unavailable lub Not recorded. Stan przechodzi przez cache, więc każdy alert i raport opiera się na inwentarzu o znanych lukach.

Kontrola i pochodzenie

Ponieważ CRACI uruchamia zadanie, egzekwuje politykę ruchu wychodzącego: domyślna odmowa lub domyślne zezwolenie, z 24 wbudowanymi presetami źródeł oprogramowania i typowanymi źródłami niestandardowymi, walidowana przed startem zadania i blokująca ruch w razie błędu. API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu; CRACI nie podpisuje danych o pochodzeniu.

Monitorowanie

CRACI stale ponownie ocenia monitorowane SBOM-y i agreguje podatności z wielu buildów i repozytoriów. Pozwala zespołom bezpieczeństwa wykonywać triage znalezisk i przekazywać je właściwemu zespołowi.

Inwentarz tego, co jest gdzie wdrożone

Widok inwentarza CRACI pokazuje dokładnie, które wersje oprogramowania są wdrożone w których produktach, na całym świecie. Gdy pojawia się nowa podatność, widzą Państwo, które produkty działają na podatnej wersji, zamiast składać to z informacji o wydaniach i arkuszy kalkulacyjnych.

Zastąpienie Manifest przez CRACI

Dla budowanych przez Państwa produktów CRACI wykonuje całą pracę: uruchamia build w GitHub Actions, rejestruje z niego SBOM, na bieżąco ponownie ocenia ten SBOM w miarę publikowania nowych podatności i eksportuje dowody. Nie ma skanera do konfiguracji ani kroku przesyłania między Państwa pipeline'em a platformą SBOM.

Warto jasno określić, z czego Państwo rezygnują. Mocną stroną Manifest jest kupowane oprogramowanie: portal do przesyłania przez dostawców i analiza binarna, gdy dostawca nie dostarcza SBOM. CRACI może przechowywać SBOM-y dostawców obok Państwa własnych buildów, ale nie ma portalu dla dostawców ani analizy binarnej. Manifest oferuje też automatyczne zgłoszenia, inwentaryzuje modele AI i działa w kilku systemach CI, podczas gdy CRACI obsługuje dziś GitHub Actions, a GitLab CI i Jenkins są w planach rozwoju. Jeśli główne ryzyko stanowi oprogramowanie zewnętrzne, Manifest pozostaje lepszym wyborem.

Na potrzeby Cyber Resilience Act

Manifest publikuje materiały o CRA i podaje, że w tym zakresie generuje i utrzymuje SBOM-y i AIBOM-y, łączy komponenty z podatnościami i pochodzeniem, automatyzuje ciągłe monitorowanie i powiadomienia oraz tworzy eksportowalne dowody zgodności z CRA.

Obowiązki zgłaszania wynikające z CRA obowiązują od 11 września 2026: wczesne ostrzeżenie w ciągu 24 godzin o aktywnie wykorzystywanej podatności, przez CRA Single Reporting Platform. Główne przepisy stosuje się od 11 grudnia 2027. W przypadku Państwa własnych produktów organ może zapytać, skąd Państwo wiedzą, że SBOM odpowiada wydaniu. Odpowiedzią CRACI są dowody z buildu: API zwraca SBOM CycloneDX każdego buildu, dane o pochodzeniu i ślad sieciowy zadania, a SBOM-y można eksportować do CycloneDX lub SPDX.

CRACI automatyzuje znaczną część widoczności łańcucha dostaw oprogramowania i dowodów potrzebnych firmom w szerszym procesie zgodności z CRA. Żaden z tych produktów sam nie zapewnia zgodności producenta. Zob. czego wymaga CRA i zgodność z CRA z pomocą CRACI.