CRACI vs Manifest

Det korta svaret

Manifest (Manifest Cyber) är en plattform för mjukvarans leveranskedja byggd kring SBOM:er. Den skapar, importerar, berikar och delar dem för dina egna produkter, dina leverantörers programvara och dina AI-modeller. CRACI är en GitHub Actions-runner som registrerar beroendena varje jobb faktiskt hämtade och tar fram SBOM:en från den registreringen, med en fullständighetsstatus.

Manifest hanterar de SBOM:er den får eller genererar med skannrar. CRACI tar fram SBOM:en från bygget och spårar sårbarheter i den därifrån. För programvaran du bygger själv täcker CRACI CI, SBOM och sårbarhetsspårning, så en separat plattform för SBOM-hantering behövs inte längre.

I korthet

Vad Manifest gör bra

• Programvara från tredje part. Det här är Manifests tydligaste styrka. Leverantörer laddar upp SBOM:er direkt via en säker portal, och "when a vendor won't or can't provide an SBOM, Manifest can analyze the binary and generate an SBOM directly from the compiled application." CRACI har ingen motsvarighet: det registrerar byggena du kör.
• SBOM-drift. Manifest samlar in och slår ihop SBOM:er, berikar dem med data om sårbarheter och exploaterbarhet och gör om resultaten till automatiska ärenden, kontakt med leverantörer och riskrapporter. Det stöder SPDX, CycloneDX och VEX.
• CI-täckning. Manifest CLI kan generera och ladda upp SBOM:er från vilken CI/CD-pipeline som helst, med dokumenterade upplägg för GitHub Actions, CircleCI, Jenkins och Azure DevOps, plus en GitHub-app.
• AI-risk. Manifest inventerar AI-modeller och AIBOM:er bredvid programvara, vilket passar organisationer som styr sin AI-användning.
• Reglerade branscher. Det kopplar sina funktioner till FDA:s vägledning om cybersäkerhet, EO 14028, NIST 800-218, UNECE R155 och ISO/SAE 21434, och betjänar fordonsindustri, försvar, medicintekniska produkter, offentlig sektor och finansiella tjänster.

Där CRACI skiljer sig

En registrering av bygget, inte en skanning av repot

Manifests GitHub Action genererar SBOM:er med en skanner med öppen källkod. Standardvalet är Syft, och den stöder också Trivy, cdxgen med flera. De verktygen läser filerna och avbilderna de riktas mot. CRACI kör i stället jobbet. Du ändrar runs-on till craci, och en paketmedveten proxy registrerar trafiken till paketkällor under bygget: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar. Beroendebevisen följer med CI-cachar, så ett paket som återställs från en cache finns ändå med i registreringen.

Skillnaden visar sig så fort filerna tar slut. Express 5.2.1 checkar inte in någon lockfile, så en generator som riktas mot en ren utcheckning har inga npm-beroenden att lösa och returnerar det den annars känner igen, som GitHub Actions och arbetsflödesfiler. Manifest självt kan inte jämföras på det här sättet, och det kan inte heller CRACI, som registrerar byggen och inte kan skanna en katalog. Poängen är att svaret från en skanning beror på verktyget, dess inställningar och vilka filer som finns, och att varje efterföljande beslut i en hanteringsplattform ärver det svaret.

En fullständighetsstatus på varje SBOM

CRACI anger fullständighet per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Statusen är transitiv över cachar, så varje varning och rapport utgår från en inventering vars luckor är kända.

Kontroll och proveniens

Eftersom CRACI kör jobbet upprätthåller det en egress-policy för nätverket: neka som standard eller tillåt som standard, med 24 inbyggda förinställningar för programvarukällor och typade egna källor, som valideras innan jobbet startar och blockerar vid fel. API:t returnerar SBOM:er, nätverksspårningar och proveniens; CRACI signerar inte proveniens.

Bevakning

CRACI omvärderar bevakade SBOM:er löpande och sammanställer sårbarheter över byggen och repon. CRACI låter säkerhetsteam triagera fynd och skicka dem till rätt team.

En inventering av vad som är driftsatt var

CRACI:s inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. När en ny sårbarhet dyker upp ser du vilka produkter som kör den berörda versionen i stället för att pussla ihop det från release notes och kalkylblad.

Att ersätta Manifest med CRACI

För produkterna du bygger gör CRACI hela jobbet: det kör bygget på GitHub Actions, registrerar SBOM:en från det, fortsätter att omvärdera den SBOM:en när nya sårbarheter publiceras och exporterar bevisen. Det finns ingen skanner att konfigurera och inget uppladdningssteg mellan din pipeline och din SBOM-plattform.

Var tydlig med vad du avstår från. Manifests styrka är programvara du köper: en uppladdningsportal för leverantörer och binäranalys när en leverantör inte tillhandahåller någon SBOM. CRACI kan ha leverantörers SBOM:er bredvid dina egna byggen, men har ingen leverantörsportal och ingen binäranalys. Manifest erbjuder också automatiska ärenden, inventerar AI-modeller och fungerar med flera CI-system, medan CRACI i dag har stöd för GitHub Actions, med GitLab CI och Jenkins på roadmapen. Om programvara från tredje part är din största exponering passar Manifest fortfarande bättre.

För Cyber Resilience Act

Manifest publicerar material om CRA och säger att det för CRA "generates and maintains SBOMs/AIBOMs, links components to vulnerabilities and provenance, automates continuous monitoring and notifications, and produces exportable evidence for CRA conformity."

CRA:s rapporteringsskyldigheter gäller från den 11 september 2026: en tidig varning inom 24 timmar för en aktivt utnyttjad sårbarhet, via CRA Single Reporting Platform. Dess huvudsakliga bestämmelser gäller från den 11 december 2027. För dina egna produkter är frågan en myndighet kan ställa hur du vet att SBOM:en stämmer med releasen. CRACI:s svar är bevis från bygget: dess API returnerar varje bygges SBOM i CycloneDX, proveniens och jobbets nätverksspårning, och SBOM:er exporteras som CycloneDX eller SPDX.

CRACI automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med CRA-efterlevnad. Ingen av produkterna gör en tillverkare regelefterlevande på egen hand. Se vad CRA kräver och CRA-efterlevnad med CRACI.