CRACI vs. Black Duck

Die kurze Antwort

Black Duck ist ein breites Portfolio für Anwendungssicherheit rund um sein Produkt für Software Composition Analysis (SCA), ergänzt um statische Analyse, Binäranalyse, Fuzzing und Posture-Management. CRACI ist ein GitHub-Actions-kompatibler CI-Runner, der jede externe Abhängigkeit aufzeichnet, die ein Build lädt, und aus dieser Aufzeichnung SBOM, Provenienz und Compliance-Nachweise erzeugt. Black Duck ist ein Scanner, und zwar ein gründlicher. CRACI ist ein Aufzeichnungsgerät. Für die meisten Hersteller ergänzen sich die beiden.

Auf einen Blick

Was Black Duck gut kann

Open Source finden, das niemand deklariert hat. Black Duck SCA kombiniert das Scannen von Paketmanagern mit Signatur-Scanning, Snippet-Erkennung für teilweise übernommenen oder veränderten Code und Binäranalyse. Das ist wichtig, wenn Code in ein Repository kopiert oder ohne Manifest eingebunden wurde. Die Befunde stützen sich auf Black Duck Security Advisories, mit Schweregrad, Priorisierung und Erreichbarkeitsmetriken, und die Plattform markiert schädliche Pakete.

Lizenzen. Black Duck erkennt deklarierte und nicht deklarierte Lizenzen, vollständige Lizenztexte und Copyright-Angaben, und seine KnowledgeBase erfasst mehr als 2.750 Open-Source-Lizenzen. CRACI nimmt die deklarierten Lizenzmetadaten in seinen SBOM-Export auf und setzt Lizenzrichtlinien durch.

Binärdateien und Firmware. Black Duck Binary Analysis untersucht ausführbare Dateien, Bibliotheken, Container und Firmware ohne Zugriff auf den Quellcode. Wenn Sie Binärdateien von Drittanbietern erhalten oder ein fertiges Firmware-Image prüfen müssen, ist das ein Bereich, den CRACI nicht abdeckt.

Mehr als SCA. Coverity bietet statische Analyse für 22 Sprachen, Defensics übernimmt Fuzz-Tests, und Software Risk Manager führt Befunde als System für Application Security Posture Management (ASPM) zusammen. Black Duck lässt sich in Jenkins, GitLab, Azure DevOps, Bitbucket Pipelines, CircleCI, TeamCity und viele weitere CI-Systeme integrieren. Sein Bridge CLI kann Fix-PRs öffnen, die verwundbare direkte Abhängigkeiten aktualisieren.

Worin sich CRACI unterscheidet

Es ist Zeuge des Builds

Jede der oben genannten Techniken untersucht etwas: ein Manifest, einen Quellbaum, eine Binärdatei. Keine davon sieht den Build, während er läuft, einschließlich der Toolchains, Install-Skripte, Basis-Images, Release-Downloads und gecachten Pakete, die das Ergebnis prägen, darin aber womöglich nicht sichtbar sind. CRACI ist der Runner und sieht diese Aktivität deshalb direkt. Ein paketbewusster Proxy beobachtet den Datenverkehr zu den Paketquellen für npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen, dazu Download-Presets. Die Abhängigkeitsnachweise reisen mit CI-Caches mit.

Jede SBOM weist ihre Vollständigkeit pro Job und pro Cache in fünf Zuständen aus: Complete, Complete with connections, Incomplete, Unavailable und Not recorded. Der Export als CycloneDX und SPDX ist enthalten.

Es steuert das Build-Netzwerk

Weil CRACI den Job ausführt, können Sie dafür eine Egress-Richtlinie festlegen: standardmäßig sperrend oder standardmäßig erlaubend, 24 integrierte Presets für Softwarequellen und typisierte eigene Quellen für npm, PyPI, apt, apk, den Go-Proxy, Nix, Cargo, OCI-Registries und Git. Richtlinien werden vor dem Start des Jobs validiert und blockieren im Zweifel (fail closed), und CRACI kann Sie alarmieren, wenn ein Job gegen eine verstößt. Ein Scanner meldet, was hineingelangt ist. Eine Egress-Richtlinie begrenzt, was hineingelangen kann.

Provenienz und Überwachung

Die API liefert SBOMs, Netzwerk-Traces und Provenienz. CRACI bewertet überwachte SBOMs laufend auf neue Schwachstellen neu.

Ein Inventar dessen, was wo im Einsatz ist

Die Inventaransicht von CRACI zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit. Wenn eine neue Schwachstelle bekannt wird, sehen Sie, welche Produkte die betroffene Version ausführen, statt es aus Release Notes und Tabellen zusammenzusuchen.

Was passt, und wann Sie beide nutzen sollten

• Embedded-Produkte, die mit Yocto gebaut werden. CRACI kann Yocto- und BitBake-Builds auf seinen Runnern ausführen, mit bis zu 32 vCPU und 96 GB und unter einer Egress-Richtlinie, die die eigenen Netzwerkkontrollen von BitBake ergänzt. Die SBOM von CRACI zeichnet auf, was der Build geladen hat, einschließlich Host-Paketen und GitHub Actions, die die SBOM aus Yoctos create-spdx auslässt, mit einer Package URL für jedes Rust-Crate. Black Duck Binary Analysis kann anschließend das fertige Image prüfen. Siehe den Yocto-Leitfaden.
• Code mit einer langen Geschichte von kopiertem oder eingebundenem Open Source. Snippet- und Signatur-Scanning ist die Stärke von Black Duck. Behalten Sie es.
• Teams auf GitHub Actions, die Release-Nachweise brauchen. CRACI zeichnet jeden Build auf, hält die SBOM und die Provenienzdaten dazu bereit und exportiert SBOMs als CycloneDX oder SPDX.
• Pipelines auf Jenkins, GitLab oder Azure DevOps. Hier passt heute Black Duck. CRACI unterstützt heute nur GitHub Actions, mit GitLab CI und Jenkins auf der Roadmap, diese Pipelines müssten also zuerst umziehen.

Für den Cyber Resilience Act

Black Duck veröffentlicht eine Reihe von CRA-Seiten zu Fristen, zur Pflicht, Schwachstellen binnen 24 Stunden zu melden, und dazu, warum SCA allein aus seiner Sicht für den CRA nicht ausreicht. Es ordnet sein Portfolio der Verordnung zu: Black Duck SCA, um Codebasen mit Daten aus EUVD und NVD abzugleichen und SBOMs zu erzeugen, Coverity mit einer im Juli 2026 angekündigten, am CRA ausgerichteten Checker-Option, Defensics für Robustheitstests und Software Risk Manager für Policy-Gates. Sein Argument: Die Verordnung braucht mehrere Ebenen, SCA für Komponenten plus statische und dynamische Tests für Ihren eigenen Code und Ihre eigenen Dienste.

CRACI ergänzt Nachweise aus dem Build selbst: was in jedes Release eingeflossen ist, wie vollständig diese Aufzeichnung ist, und laufende Überwachung danach, mit SBOMs, die sich als CycloneDX oder SPDX exportieren lassen. Es automatisiert einen wesentlichen Teil der Transparenz und Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen. Mehr zu CRA-Compliance und Industrial IoT.

CRACI neben Black Duck einführen

CRACI ersetzt den Runner, nicht GitHub Actions. Ändern Sie in einem Workflow runs-on auf craci, und die Ausführungen erscheinen weiterhin in der GitHub-Oberfläche. Die Scan-Schritte von Black Duck bleiben im Workflow. Wählen Sie ein Produkt-Release, vergleichen Sie die Build-Time-SBOM von CRACI mit Ihrer Stückliste aus Black Duck und prüfen Sie die Komponenten, die nur eines der beiden gefunden hat.