CRACI vs Black Duck

Stručná odpověď

Black Duck je široké portfolio pro bezpečnost aplikací postavené kolem produktu pro analýzu softwarového složení (SCA), doplněného statickou analýzou, analýzou binárek, fuzzingem a správou bezpečnostního stavu. CRACI je runner CI kompatibilní s GitHub Actions, který zaznamenává každou externí závislost, kterou build stáhne, a z tohoto záznamu vytváří SBOM, údaje o původu a důkazy o souladu. Black Duck je skener, a to důkladný. CRACI je záznamník. Překrývají se v generování SBOM a monitorování závislostí u buildů, které běží na GitHub Actions. Nepřekrývají se v hledání snippetů, analýze binárek ani statické analýze vašeho vlastního kódu, kterou CRACI nedělá.

Přehled

Co Black Duck dělá dobře

Hledání open source, který nikdo nedeklaroval. Black Duck SCA kombinuje skenování správců balíčků se skenováním signatur, detekcí snippetů u částečného nebo upraveného kódu a analýzou binárek. To je důležité, když byl kód zkopírován do repozitáře nebo vendorován bez manifestu. Nálezy čerpají z Black Duck Security Advisories, se závažností, určením priority a metrikami dosažitelnosti, a platforma označuje škodlivé balíčky.

Licence. Black Duck identifikuje deklarované i nedeklarované licence, úplné texty licencí a údaje o autorských právech a jeho KnowledgeBase sleduje více než 2 750 open source licencí. CRACI zahrnuje do exportu SBOM metadata deklarovaných licencí a vynucuje licenční politiku.

Binárky a firmware. Black Duck Binary Analysis zkoumá spustitelné soubory, knihovny, kontejnery a firmware bez přístupu ke zdrojovému kódu. Pokud dostáváte binárky třetích stran nebo potřebujete zkontrolovat hotový image firmwaru, je to oblast, kterou CRACI nepokrývá.

Víc než SCA. Coverity poskytuje statickou analýzu pro 22 jazyků, Defensics dělá fuzz testování a Software Risk Manager slučuje nálezy jako systém pro správu bezpečnostního stavu aplikací (ASPM). Black Duck se integruje s Jenkinsem, GitLabem, Azure DevOps, Bitbucket Pipelines, CircleCI, TeamCity a mnoha dalšími systémy CI. Jeho Bridge CLI umí otevírat Fix PR, které aktualizují zranitelné přímé závislosti.

Kde je Black Duck silnější:

• Analýza binárek firmwaru třetích stran a dalšího softwaru, který jste nesestavili.
• Hloubka u snippetů a licencí: částečné kopie open source ve vašich vlastních souborech, nedeklarované licence, úplné texty licencí a údaje o autorských právech z KnowledgeBase s více než 2 750 licencemi.
• Vyspělost a šíře podpory CI: Jenkins, GitLab, Azure DevOps a mnoho dalších.
• Širší portfolio: SAST přes Coverity, fuzzing přes Defensics a správa bezpečnostního stavu aplikací přes Software Risk Manager.
• Metriky dosažitelnosti a detekce škodlivých balíčků, obojí uvedené na stránce jeho produktu SCA.

Jak Black Duck hledá komponenty a co přidává záznam buildu

Black Duck používá čtyři způsoby identifikace open source a k tomu detektor pro buildy Yocto. Každý je silný v tom, co zkoumá, a každý pracuje s něčím, co existuje po buildu nebo mimo něj: s manifestem, stromem souborů, binárkou, grafem úloh BitBake. Záznamník buildu přidává jiný druh důkazu: co vydávací build skutečně stáhl, s uvedenou úplností.

Detektory správců balíčků (Black Duck Detect)

Jak funguje. Black Duck Detect spouští detektory, které hledají a extrahují závislosti ze správců balíčků projektu a pomocí každého správce balíčků odvozují hierarchii závislostí. Detect na projektu spouští také skener signatur Black Duck. Ve výchozím stavu může běžet každý nástroj Detect a vaše konfigurace rozhoduje, které skutečně poběží.

Silný v. Deklarovaných přímých a tranzitivních závislostech napříč mnoha ekosystémy a systémy CI, bez změny buildu.

Co přidává záznam buildu. Deklarovaný strom je to, co správce balíčků říká, že nainstaluje. Stažení, která žádný manifest neuvádí, například kód stažený instalačními hooky, skripty buildu, které stahují během buildu, a vrstvy základních image, stojí ze své podstaty mimo něj. CRACI je zaznamenává a stav úplnosti každého jobu označuje, co vidět nemohl.

Skenování signatur

Jak funguje. Skener signatur prochází soubory, adresáře a archivy a porovnává jejich signatury se signaturami open source komponent v Black Duck KnowledgeBase. Signatury jsou jednosměrné hashe MD5 nebo SHA-1 z metadat souborového systému a obsahu souborů. Sken odesílá cesty k souborům, velikosti souborů a signatury a Black Duck uvádí, že mimo vaše prostory se neodesílá žádný zdrojový ani binární kód. Vytváří přibližné shody s upravenými archivy a adresáři open source. Porovnávání jednotlivých souborů je volitelné: před verzí 2020.2.0 bylo výchozí a Black Duck ho ve výchozím stavu vypnul, protože vytvářelo dost falešně pozitivních nálezů.

Silný v. Open source, který byl zkopírován, vendorován nebo přejmenován bez manifestu, v jakémkoli jazyce.

Co přidává záznam buildu. Skenování signatur vidí soubory přítomné tam, kde běží. Co build stáhl, použil a zahodil, už tam není, aby se to dalo zahashovat. Obě metody odpovídají na jiné otázky: „jaký kód je v tomto stromu“ a „co tento build stáhl“. Pro vendorovaný kód je skenování signatur správný nástroj.

Hledání snippetů

Jak funguje. Druhá fáze po skenu signatur. Soubory, které se neshodovaly, a soubory v adresářích a archivech, které se neshodovaly, projdou skenem snippetů: Black Duck vypočítá codeprinty, druh jednosměrného hashe, a hledá části kódu, které se shodují s kódem v souborech KnowledgeBase.

Silný v. Částečných kopiích open source kódu uvnitř vašich vlastních souborů a licenčních povinnostech, které s sebou nesou.

Co přidává záznam buildu. Nic. CRACI se do vašich souborů nedívá.

Black Duck Binary Analysis

Jak funguje. Black Duck Binary Analysis zkoumá open source zkompilovaný do spustitelných souborů, knihoven, kontejnerů a firmwaru, i když nemáte přístup ke kódu. Používá kombinaci statické analýzy a analýzy řetězců s přibližným porovnáváním proti KnowledgeBase a reportuje komponenty, zranitelnosti a licence. Označuje také citlivé informace, jako jsou e-mailové adresy a autorizační tokeny, a mobilní aplikace, které žádají nadměrná oprávnění.

Silný v. Softwaru, který jste nesestavili: firmwaru dodavatelů, nakoupených modulech, hotovém image od někoho jiného. To je oblast, kterou CRACI nepokrývá. Pokud build nemáte, je analýza binárky způsob, jak se dovnitř podívat. Další nástroje pro firmware srovnáváme na stránkách CRACI vs Finite State a CRACI vs ONEKEY.

Co přidává záznam buildu. U softwaru, který sestavujete sami na CRACI, záznam toho, co šlo dovnitř, místo odvozování z toho, co vyšlo ven. Analýza výstupu zkompilovaného kódu musí vstupy odvozovat; záznam buildu, který ho vytvořil, nemusí. Jde o dva různé důkazy o stejném produktu.

Yocto a BitBake (detektor BitBake v Detect)

Jak funguje. Detektor BitBake v Detect načte skript prostředí buildu (ve výchozím stavu oe-init-build-env), spustí bitbake --environment, aby zjistil architekturu cílového stroje a adresář licencí, a spustí bitbake-layers show-recipes, aby každý recept přiřadil k jeho vrstvě. Pro každý cíl uvedený v detect.bitbake.package.names spustí bitbake -g, který vygeneruje task-depends.dot, a z tohoto souboru načte recepty a vztahy mezi jejich závislostmi. Aby vyloučil závislosti buildu, přečte Detect license.manifest image a ponechá to, co je v image nainstalováno. Výsledkem je graf závislostí na úrovni receptů porovnaný s KnowledgeBase.

Silný v. Rychlém pohledu na image na úrovni receptů bez změny buildu, s možností vyloučit recepty potřebné jen pro build.

Co přidává záznam buildu. Graf vzniká z grafu úloh BitBake, takže uvádí recepty. Cokoli, co build používá a co není receptem, stojí z principu mimo tento graf: balíčky nainstalované na hostiteli buildu, GitHub Actions ve workflow, nástroje, které stahují skripty. CRACI spouští build BitBake a zaznamenává i tato stažení. Jak to vypadá u skutečného image, ukazuje zveřejněné srovnání vedle sebe na stránce buildy Yocto na CRACI. Toto srovnání bylo provedeno proti vlastní SBOM create-spdx od Yocta, ne proti Black Duck.

Úplnost

Sken reportuje, co našel. CRACI uvádí úplnost každého jobu v pěti stavech: Complete, Complete with connections, Incomplete, Unavailable a Not recorded. Mezera v záznamu je viditelná, ne skrytá.

Metody vedle sebe

Metoda	Čte	Kdy	Silná v	Co přidává záznam buildu
Detektory správců balíčků	Správce balíčků projektu	Tam, kde běží Detect, ze souborů a nástrojů projektu	Deklarované přímé a tranzitivní závislosti	Stažení, která žádný manifest neuvádí, se stavem úplnosti
Skenování signatur	Soubory, adresáře a archivy	Tam, kde běží sken, na přítomných souborech	Zkopírovaný, vendorovaný nebo přejmenovaný open source	Co build stáhl a pak zahodil
Hledání snippetů	Neshodné soubory jako codeprinty	Po skenu signatur	Částečné kopie open source ve vašich souborech	Nic: CRACI se do vašich souborů nedívá
Black Duck Binary Analysis	Spustitelné soubory, knihovny, kontejnery, firmware	Po buildu, na výstupu	Software, který jste nesestavili	U vašich vlastních buildů záznam vstupů
Detektor BitBake	task-depends.dot, recepty a vrstvy	Z prostředí buildu, vlastními příkazy BitBake	Pohled na image na úrovni receptů	Balíčky hostitele, GitHub Actions a nástroje stažené mimo recepty
Záznam buildu v CRACI	Provoz jobu ke zdrojům balíčků	Během buildu	Co vydávací build skutečně stáhl, včetně cache a skrytých závislostí	Neuplatňuje se

V čem je CRACI jiné

Je u buildu přítomné

Každá z výše uvedených technik něco zkoumá: manifest, strom zdrojového kódu, binárku. Žádná z nich nevidí build, když běží, včetně toolchainů, instalačních skriptů, základních image, stahovaných vydání a balíčků z cache, které výstup ovlivňují, ale nemusí v něm být vidět. CRACI je runner, takže tuto činnost vidí přímo. Proxy, která rozumí balíčkům, sleduje provoz ke zdrojům balíčků pro npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a zdroje Git, plus presety pro stahování. Důkazy o závislostech putují spolu s cache CI.

Každá SBOM uvádí svou úplnost, pro každý job a každou cache, v pěti stavech: Complete, Complete with connections, Incomplete, Unavailable a Not recorded. Export do CycloneDX a SPDX je součástí.

Kontroluje síť buildu

Protože job spouští CRACI, můžete pro něj nastavit egress policy: výchozí blokování nebo výchozí povolení, 24 vestavěných presetů softwarových zdrojů a typované vlastní zdroje pro npm, PyPI, apt, apk, Go proxy, Nix, Cargo, registry OCI a Git. Politiky se ověřují před spuštěním jobu, při selhání vše zablokují a CRACI vás může upozornit, když je job poruší. Skener reportuje, co se dostalo dovnitř. Egress policy omezuje, co se dovnitř dostat může.

Původ a monitorování

API vrací SBOM, síťové záznamy a původ. CRACI monitorované SBOM průběžně znovu vyhodnocuje kvůli novým zranitelnostem.

Inventář toho, co je kde nasazené

Pohled inventáře v CRACI ukazuje přesně, které verze softwaru jsou nasazené ve kterých produktech, globálně. Když se objeví nová zranitelnost, vidíte, které produkty používají zasaženou verzi, místo abyste to skládali z poznámek k vydání a tabulek.

SBOM z Black Duck a SBOM z CRACI

Black Duck SCA exportuje SBOM ze svého kusovníku ve formátech SPDX 2.2, 2.3 a 3.0 a CycloneDX 1.3 až 1.6 a umí importovat soubory SBOM. CRACI exportuje CycloneDX a SPDX ze záznamu buildu spolu se zranitelnostmi nalezenými v jeho komponentách a jeho API vrací SBOM, síťové záznamy a údaje o původu. Rozdíl je ve zdroji seznamu, ne ve formátu: seznam Black Duck vychází z toho, co jeho skeny našly, seznam CRACI z toho, co build stáhl.

Co se hodí kdy a kdy použít obojí

• Embedded produkty sestavované pomocí Yocto. CRACI spouští build BitBake na svých runnerech, až s 32 vCPU a 96 GB, a zaznamenává, co stáhl, s egress policy, která doplňuje vlastní síťové kontroly BitBake. Detektor BitBake od Black Duck mapuje recepty image z grafu úloh a Black Duck Binary Analysis může zkontrolovat hotový image. Viz buildy Yocto na CRACI a průvodce Yocto.
• Kód s dlouhou historií zkopírovaného nebo vendorovaného open source. Skenování snippetů a signatur je silnou stránkou Black Duck. Nechte si ho.
• Týmy na GitHub Actions, které potřebují důkazy o vydání. CRACI zaznamenává každý build, uchovává pro něj SBOM a údaje o původu a exportuje SBOM jako CycloneDX nebo SPDX.
• Pipeline na Jenkinsu, GitLabu nebo Azure DevOps. Dnes se hodí Black Duck. CRACI dnes podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje, takže tyto pipeline by se musely nejdřív přesunout.

Pro Cyber Resilience Act

Black Duck zveřejňuje sadu stránek o CRA, které pokrývají termíny, požadavek na hlášení zranitelností do 24 hodin a důvody, proč považuje samotné SCA pro CRA za nedostatečné. Své portfolio na nařízení mapuje takto: Black Duck SCA pro analýzu kódových základen proti datům EUVD a NVD a generování SBOM, Coverity s možností checkeru sladěného s CRA oznámenou v červenci 2026, Defensics pro testování robustnosti a Software Risk Manager pro policy gates. Jeho argumentem je, že nařízení vyžaduje více vrstev: SCA pro komponenty a k tomu statické a dynamické testování vašeho vlastního kódu a služeb.

CRACI přidává důkazy přímo z buildu: co šlo do každého vydání, jak úplný je tento záznam, a průběžné monitorování poté, se SBOM exportovanými jako CycloneDX nebo SPDX. Automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA. Přečtěte si víc o souladu s CRA a průmyslovém IoT.

Přidání CRACI vedle Black Duck

CRACI nahrazuje runner, ne GitHub Actions. Změňte ve workflow runs-on na craci a běhy se dál zobrazují v rozhraní GitHubu. Kroky skenování Black Duck ve workflow zůstávají. Vyberte jedno vydání produktu, porovnejte SBOM z doby buildu od CRACI se svým kusovníkem z Black Duck a projděte komponenty, které našel jen jeden z nich.

Black Duck a CRACI: časté dotazy

Jak každý z nich hledá komponenty a kde se doplňují

Jak Black Duck hledá open source?

Čtyřmi způsoby a k tomu detektorem BitBake pro Yocto. Black Duck Detect čte správce balíčků projektu a odvozuje z nich strom závislostí. Skener signatur porovnává hashe souborů, adresářů a archivů s KnowledgeBase. Hledání snippetů nachází částečné kopie open source kódu v souborech, které se neshodovaly. Black Duck Binary Analysis zkoumá zkompilované spustitelné soubory, knihovny, kontejnery a firmware.

Co je Black Duck Binary Analysis?

Produkt Black Duck, který zkoumá open source zkompilovaný do spustitelných souborů, knihoven, kontejnerů a firmwaru bez přístupu ke zdrojovému kódu. Používá statickou analýzu a analýzu řetězců s přibližným porovnáváním proti KnowledgeBase a reportuje komponenty, zranitelnosti a licence a také citlivé informace, jako jsou autorizační tokeny. Hodí se pro software, který jste nesestavili, například firmware dodavatelů.

Podporuje Black Duck Yocto?

Ano. Detektor BitBake v Detect spouští vlastní příkazy BitBake, včetně bitbake -g pro každý cílový image, čte recepty a jejich závislosti z task-depends.dot a pomocí license.manifest image umí vyloučit závislosti buildu. Výsledkem je graf závislostí na úrovni receptů porovnaný s KnowledgeBase.

Nahrazuje CRACI Black Duck?

Ne. CRACI nedělá analýzu snippetů, binárek ani statickou analýzu, takže ty zůstávají u Black Duck. U buildů, které běží na CRACI, může převzít generování SBOM a monitorování závislostí: zaznamenává, co každý build GitHub Actions stáhl, exportuje SBOM jako CycloneDX nebo SPDX a průběžně ji znovu vyhodnocuje kvůli novým zranitelnostem.

Mohu používat obojí?

Ano. CRACI nahrazuje runner, ne GitHub Actions, takže kroky skenování Black Duck běží dál ve stejném workflow na runneru CRACI. Porovnejte SBOM z doby buildu od CRACI se svým kusovníkem z Black Duck pro jedno vydání a projděte komponenty, které našel jen jeden z nich.

Black Duck vs Snyk: jaký je rozdíl?

Oba jsou nástroje pro analýzu softwarového složení, ale open source hledají různě. Snyk Open Source sestavuje strom závislostí z manifestů a lockfilů a u nespravovaného kódu v C a C++ porovnává signatury souborů, pokud je úplný zdrojový kód závislostí ve skenovaném adresáři. Je postavený kolem vývojářů, v IDE, CLI, repozitářích a CI, vedle Snyk Code, Snyk Container a Snyk IaC. Black Duck přidává skenování signatur libovolných souborů, hledání snippetů u částečných kopií a Binary Analysis zkompilovaného softwaru a firmwaru bez zdrojového kódu. Snyk zveřejňuje plán Free a plán Team od $25 měsíčně; Black Duck stanovuje ceny na základě nabídky. Ani jeden nespouští vaše buildy. CRACI ano a zaznamenává, co každý build GitHub Actions stáhl, takže může stát vedle kteréhokoli z nich.