CRACI frente a Black Duck

La respuesta corta

Black Duck es una amplia cartera de seguridad de aplicaciones construida en torno a su producto de análisis de composición de software (SCA), con análisis estático, análisis de binarios, fuzzing y gestión de la postura a su alrededor. CRACI es un runner de CI compatible con GitHub Actions que registra cada dependencia externa que descarga un build y genera la SBOM, la procedencia y la evidencia de cumplimiento a partir de ese registro. Black Duck es un escáner, y muy minucioso. CRACI es un registrador. Para la mayoría de los fabricantes, ambos son complementarios.

De un vistazo

Lo que Black Duck hace bien

Encontrar código abierto que nadie declaró. Black Duck SCA combina el escaneo de gestores de paquetes con el escaneo de firmas, la detección de fragmentos de código parcial o modificado y el análisis de binarios. Esto importa cuando el código se copió en un repositorio o se incorporó sin manifiesto. Los hallazgos se basan en Black Duck Security Advisories, con gravedad, priorización y métricas de alcanzabilidad, y la plataforma señala los paquetes maliciosos.

Licencias. Black Duck identifica licencias declaradas y no declaradas, el texto completo de las licencias y los datos de copyright, y su KnowledgeBase recoge más de 2.750 licencias de código abierto. CRACI incluye los metadatos de las licencias declaradas en la exportación de su SBOM y aplica la política de licencias.

Binarios y firmware. Black Duck Binary Analysis examina ejecutables, bibliotecas, contenedores y firmware sin acceso al código fuente. Si recibe binarios de terceros o necesita comprobar una imagen de firmware terminada, ese es un terreno que CRACI no cubre.

Más que SCA. Coverity ofrece análisis estático en 22 lenguajes, Defensics realiza pruebas de fuzzing y Software Risk Manager consolida los hallazgos como sistema de gestión de la postura de seguridad de las aplicaciones (ASPM). Black Duck se integra con Jenkins, GitLab, Azure DevOps, Bitbucket Pipelines, CircleCI, TeamCity y muchos otros sistemas de CI. Su Bridge CLI puede abrir Fix PRs que actualizan las dependencias directas vulnerables.

En qué se diferencia CRACI

Es testigo del build

Todas las técnicas anteriores inspeccionan algo: un manifiesto, un árbol de código fuente, un binario. Ninguna ve el build mientras se ejecuta, incluidos los toolchains, los scripts de instalación, las imágenes base, las descargas de versiones y los paquetes en caché que dan forma al resultado pero pueden no ser visibles en él. CRACI es el runner, así que ve esa actividad directamente. Un proxy que entiende de paquetes observa el tráfico hacia las fuentes de paquetes de npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de presets de descarga. La evidencia de dependencias viaja con las cachés de CI.

Cada SBOM indica su completitud, por job y por caché, en cinco estados: Complete, Complete with connections, Incomplete, Unavailable y Not recorded. La exportación en CycloneDX y SPDX está incluida.

Controla la red del build

Como CRACI ejecuta el job, usted puede definir una política de egress para él: denegación o permiso por defecto, 24 presets de fuentes de software integrados y fuentes personalizadas tipadas para npm, PyPI, apt, apk, el proxy de Go, Nix, Cargo, registros OCI y Git. Las políticas se validan antes de que empiece el job y, si fallan, bloquean (fail closed), y CRACI puede avisarle cuando un job infringe una. Un escáner informa de lo que entró. Una política de egress limita lo que puede entrar.

Procedencia y monitorización

La API devuelve SBOM, trazas de red y datos de procedencia. CRACI sigue reevaluando las SBOM monitorizadas en busca de nuevas vulnerabilidades.

Un inventario de qué está desplegado y dónde

La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. Cuando se publica una nueva vulnerabilidad, puede ver qué productos ejecutan la versión afectada en lugar de reconstruirlo a partir de notas de versión y hojas de cálculo.

Cuál encaja mejor y cuándo usar ambos

• Productos embebidos compilados con Yocto. CRACI puede ejecutar builds de Yocto y BitBake en sus runners, de hasta 32 vCPU y 96 GB, con una política de egress que complementa los propios controles de red de BitBake. La SBOM de CRACI registra lo que descargó el build, incluidos los paquetes del host y las GitHub Actions que la SBOM create-spdx de Yocto omite, con una package URL para cada crate de Rust. Black Duck Binary Analysis puede comprobar después la imagen terminada. Consulte la guía de Yocto.
• Código con un largo historial de código abierto copiado o incorporado. El escaneo de fragmentos y firmas es el punto fuerte de Black Duck. Consérvelo.
• Equipos en GitHub Actions que necesitan evidencia de cada versión. CRACI registra cada build, conserva la SBOM y los datos de procedencia correspondientes, y exporta las SBOM en CycloneDX o SPDX.
• Pipelines en Jenkins, GitLab o Azure DevOps. Hoy encaja Black Duck. CRACI solo es compatible hoy con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta, así que esos pipelines tendrían que migrar primero.

Para el Cyber Resilience Act

Black Duck publica una serie de páginas sobre el CRA que tratan los plazos, el requisito de notificar vulnerabilidades en 24 horas y por qué considera que el SCA por sí solo no basta para el CRA. Relaciona su cartera con el reglamento: Black Duck SCA para analizar bases de código con datos de EUVD y NVD y generar SBOM, Coverity con una opción de checker alineada con el CRA anunciada en julio de 2026, Defensics para las pruebas de robustez y Software Risk Manager para los controles de políticas. Su argumento es que el reglamento requiere varias capas: SCA para los componentes, además de pruebas estáticas y dinámicas para su propio código y sus servicios.

CRACI añade evidencia procedente del propio build: qué se incluyó en cada versión, cuán completo es ese registro y una monitorización continua posterior, con SBOM que se exportan en CycloneDX o SPDX. Automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA. Lea más sobre cumplimiento del CRA y IoT industrial.

Añadir CRACI junto a Black Duck

CRACI sustituye el runner, no GitHub Actions. Cambie runs-on a craci en un workflow y las ejecuciones seguirán apareciendo en la interfaz de GitHub. Los pasos de escaneo de Black Duck permanecen en el workflow. Elija una versión de un producto, compare la SBOM generada durante el build por CRACI con su lista de materiales de Black Duck y revise los componentes que solo encontró uno de los dos.