CRACI vs Manifest

A resposta curta

O Manifest (Manifest Cyber) é uma plataforma de cadeia de abastecimento de software construída em torno das SBOM. Cria, importa, enriquece e partilha SBOM dos seus próprios produtos, do software dos seus fornecedores e dos seus modelos de IA. O CRACI é um runner de GitHub Actions que regista as dependências que cada job realmente obteve e produz a SBOM a partir desse registo, com um estado de completude.

O Manifest gere as SBOM que recebe ou que gera com scanners. O CRACI produz a SBOM a partir do build e acompanha as vulnerabilidades dessa SBOM a partir daí. Para o software que constrói, o CRACI cobre a CI, a SBOM e o acompanhamento de vulnerabilidades, pelo que deixa de ser necessária uma plataforma separada de gestão de SBOM.

Visão geral

O que o Manifest faz bem

• Software de terceiros. É o ponto forte mais evidente do Manifest. Os fornecedores carregam SBOM diretamente através de um portal seguro, e "when a vendor won't or can't provide an SBOM, Manifest can analyze the binary and generate an SBOM directly from the compiled application." O CRACI não tem equivalente: regista os builds que executa.
• Operações de SBOM. O Manifest recolhe e junta SBOM, enriquece-as com dados de vulnerabilidades e de explorabilidade e transforma os resultados em tickets automáticos, contactos com fornecedores e relatórios de risco. Suporta SPDX, CycloneDX e VEX.
• Cobertura de CI. A Manifest CLI pode gerar e carregar SBOM a partir de qualquer pipeline de CI/CD, com configurações documentadas para GitHub Actions, CircleCI, Jenkins e Azure DevOps, além de uma GitHub App.
• Risco de IA. O Manifest inventaria modelos de IA e AIBOM a par do software, o que se adequa a organizações que governam a adoção de IA.
• Indústrias reguladas. Mapeia as suas capacidades para as orientações de cibersegurança da FDA, a EO 14028, o NIST 800-218, o UNECE R155 e a ISO/SAE 21434, e serve os setores automóvel, da defesa, dos dispositivos médicos, da administração pública e dos serviços financeiros.

Onde o CRACI é diferente

Um registo do build, não uma análise do repositório

A GitHub Action do Manifest gera SBOM com um scanner open source. Por defeito usa o Syft, e suporta também o Trivy, o cdxgen e outros. Essas ferramentas leem os ficheiros e as imagens para que são apontadas. O CRACI, em vez disso, executa o job. Altera runs-on para craci, e um proxy que reconhece pacotes regista o tráfego para origens de pacotes durante o build: origens npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e Git, além de predefinições de transferência. A evidência das dependências acompanha as caches de CI, pelo que um pacote restaurado de uma cache continua no registo.

A diferença nota-se assim que os ficheiros se esgotam. O Express 5.2.1 não faz commit de nenhum lockfile, pelo que um gerador apontado a um checkout limpo não tem dependências npm para resolver e devolve o que mais reconhecer, como GitHub Actions e ficheiros de workflow. O próprio Manifest não pode ser comparado desta forma, e o CRACI também não, porque regista builds e não consegue analisar um diretório. A questão é que a resposta de uma análise depende da ferramenta, das suas definições e dos ficheiros presentes, e todas as decisões seguintes numa plataforma de gestão herdam essa resposta.

Um estado de completude em cada SBOM

O CRACI indica a completude por job e por cache: Complete, Complete with connections, Incomplete, Unavailable ou Not recorded. O estado é transitivo entre caches, pelo que cada alerta e relatório assenta num inventário cujas lacunas são conhecidas.

Controlo e proveniência

Como o CRACI executa o job, aplica uma política de egress de rede: negação ou permissão por defeito, com 24 predefinições integradas de origens de software e origens personalizadas tipadas, validada antes de o job arrancar e com falha em modo fechado. A API devolve SBOM, traços de rede e proveniência; o CRACI não assina a proveniência.

Monitorização

O CRACI reavalia continuamente as SBOM monitorizadas e agrega vulnerabilidades de todos os builds e repositórios. O CRACI permite às equipas de segurança fazer a triagem das conclusões e encaminhá-las para a equipa certa.

Um inventário do que está implementado e onde

A vista de inventário do CRACI mostra exatamente que versões de software estão implementadas em que produtos, a nível global. Quando surge uma nova vulnerabilidade, pode ver que produtos executam a versão afetada, em vez de o reconstituir a partir de notas de lançamento e folhas de cálculo.

Substituir o Manifest pelo CRACI

Para os produtos que constrói, o CRACI faz todo o trabalho: executa o build em GitHub Actions, regista a SBOM a partir dele, continua a reavaliar essa SBOM à medida que são publicadas novas vulnerabilidades e exporta as evidências. Não há nenhum scanner para configurar nem nenhum passo de carregamento entre o seu pipeline e a sua plataforma de SBOM.

Seja claro quanto àquilo de que abdica. O ponto forte do Manifest é o software comprado a terceiros: um portal de carregamento para fornecedores e análise de binários quando um fornecedor não entrega SBOM. O CRACI pode guardar SBOM de fornecedores ao lado dos builds da sua empresa, mas não tem portal de fornecedores nem análise de binários. O Manifest oferece também criação automática de tickets, inventaria modelos de IA e funciona em vários sistemas de CI, enquanto o CRACI suporta hoje GitHub Actions, com GitLab CI e Jenkins no roadmap. Se o software de terceiros é a sua principal exposição, o Manifest continua a ser a opção mais adequada.

Para o Cyber Resilience Act

O Manifest publica material sobre o CRA e, em relação ao CRA, afirma que "generates and maintains SBOMs/AIBOMs, links components to vulnerabilities and provenance, automates continuous monitoring and notifications, and produces exportable evidence for CRA conformity."

As obrigações de reporte do CRA aplicam-se a partir de 11 de setembro de 2026: um alerta precoce no prazo de 24 horas para uma vulnerabilidade ativamente explorada, através da CRA Single Reporting Platform. As principais disposições do CRA aplicam-se a partir de 11 de dezembro de 2027. Para os seus próprios produtos, a pergunta que uma autoridade pode fazer é como sabe que a SBOM corresponde à versão. A resposta do CRACI são evidências a partir do build: a sua API devolve a SBOM CycloneDX de cada build, a proveniência e o traço de rede do job, e as SBOM são exportadas em CycloneDX ou SPDX.

O CRACI automatiza uma parte significativa da visibilidade da cadeia de abastecimento de software e das evidências de que as empresas precisam para o seu processo mais amplo de conformidade com o CRA. Nenhum dos produtos torna um fabricante conforme por si só. Consulte o que exige o CRA e a conformidade com o CRA com o CRACI.