CRACI vs. Black Duck

Lyhyt vastaus

Black Duck on laaja sovellusturvallisuuden tuotevalikoima, jonka ytimessä on ohjelmistokoostumuksen analyysin (SCA) tuote ja sen ympärillä staattinen analyysi, binäärianalyysi, fuzzaus ja tietoturvatilanteen hallinta. CRACI on GitHub Actions -yhteensopiva CI-runneri, joka tallentaa jokaisen ulkoisen riippuvuuden, jonka buildi hakee, ja tuottaa tallenteesta SBOM:n, alkuperätiedot ja vaatimustenmukaisuuden näytön. Black Duck on skanneri, ja perusteellinen sellainen. CRACI on tallentaja. Ne menevät päällekkäin SBOM-generoinnissa ja riippuvuuksien seurannassa GitHub Actionsilla ajettavien buildien osalta. Ne eivät mene päällekkäin snippet-vertailussa, binäärianalyysissä tai oman koodisi staattisessa analyysissä, joita CRACI ei tee.

Yhdellä silmäyksellä

Missä Black Duck on hyvä

Avoimen lähdekoodin löytäminen, jota kukaan ei ilmoittanut. Black Duck SCA yhdistää paketinhallinnan skannauksen signatuuriskannaukseen, osittaisen tai muokatun koodin snippet-tunnistukseen ja binäärianalyysiin. Tällä on merkitystä, kun koodia on kopioitu repositorioon tai vendoroitu ilman manifestia. Löydökset perustuvat Black Duck Security Advisories -tietoihin, ja niissä on vakavuus-, priorisointi- ja reachability-mittarit, ja alusta merkitsee haitalliset paketit.

Lisenssit. Black Duck tunnistaa ilmoitetut ja ilmoittamattomat lisenssit, lisenssien kokotekstit ja tekijänoikeustiedot, ja sen KnowledgeBase seuraa yli 2 750 avoimen lähdekoodin lisenssiä. CRACI sisällyttää ilmoitettujen lisenssien metatiedot SBOM-vientiinsä ja valvoo lisenssikäytäntöä.

Binäärit ja laiteohjelmistot. Black Duck Binary Analysis tutkii suoritettavia tiedostoja, kirjastoja, kontteja ja laiteohjelmistoja ilman pääsyä lähdekoodiin. Jos saat kolmansien osapuolten binäärejä tai sinun on tarkistettava valmis laiteohjelmistokuva, se on aluetta, jota CRACI ei kata.

Enemmän kuin SCA. Coverity tarjoaa staattisen analyysin 22 kielelle, Defensics tekee fuzz-testausta, ja Software Risk Manager kokoaa löydökset sovellusturvallisuuden tilannehallinnan (ASPM) järjestelmänä. Black Duck integroituu Jenkinsiin, GitLabiin, Azure DevOpsiin, Bitbucket Pipelinesiin, CircleCI:hin, TeamCityyn ja moniin muihin CI-järjestelmiin. Sen Bridge CLI voi avata Fix PR:iä, jotka päivittävät haavoittuvat suorat riippuvuudet.

Missä Black Duck on vahvempi:

• Kolmansien osapuolten laiteohjelmistojen ja muiden itse rakentamattomien ohjelmistojen binäärianalyysi.
• Snippet- ja lisenssisyvyys: avoimen lähdekoodin osittaiset kopiot omissa tiedostoissasi, ilmoittamattomat lisenssit, lisenssien kokotekstit ja tekijänoikeustiedot yli 2 750 lisenssin KnowledgeBasesta.
• Kypsyys ja CI-kattavuus: Jenkins, GitLab, Azure DevOps ja monet muut.
• Laajempi tuotevalikoima: SAST Coverityn kautta, fuzzaus Defensicsin kautta ja sovellusturvallisuuden tilannehallinta Software Risk Managerin kautta.
• Reachability-mittarit ja haitallisten pakettien tunnistus, jotka molemmat on lueteltu sen SCA-tuotesivulla.

Miten Black Duck löytää komponentit ja mitä buildin tallenne tuo lisää

Black Duck käyttää neljää tapaa avoimen lähdekoodin tunnistamiseen sekä tunnistinta Yocto-buildeille. Kukin on vahva siinä, mitä se tutkii, ja kukin työskentelee jonkin buildin jälkeen tai sen ulkopuolella olevan pohjalta: manifesti, tiedostopuu, binääri, BitBaken tehtävägraafi. Buildin tallentaja tuo erilaista näyttöä: mitä julkaisubuildi todella haki, ja ilmoitetun kattavuuden.

Paketinhallinnan tunnistimet (Black Duck Detect)

Miten se toimii. Black Duck Detect ajaa tunnistimia, jotka löytävät ja poimivat riippuvuudet projektin paketinhallinnoista ja johtavat riippuvuuksien hierarkian kunkin paketinhallinnan avulla. Detect ajaa myös Black Duckin signatuuriskannerin projektille. Oletuksena jokainen Detect-työkalu voi ajautua, ja kokoonpanosi päättää, mitkä ajetaan.

Vahva. Ilmoitetut suorat ja transitiiviset riippuvuudet monissa ekosysteemeissä ja CI-järjestelmissä ilman muutoksia buildiin.

Mitä buildin tallenne tuo lisää. Ilmoitettu puu on se, minkä paketinhallinta sanoo asentavansa. Haut, joita mikään manifesti ei luettele, kuten asennushookkien lataama koodi, buildin aikana lataavat build-skriptit ja peruskuvien kerrokset, jäävät sen ulkopuolelle jo suunnittelultaan. CRACI tallentaa ne, ja jokaisen jobin kattavuustila merkitsee sen, mitä se ei nähnyt.

Signatuuriskannaus

Miten se toimii. Signatuuriskanneri käy läpi tiedostot, hakemistot ja arkistot ja vertaa niiden signatuureja Black Duck KnowledgeBasen avoimen lähdekoodin komponenttien signatuureihin. Signatuurit ovat yksisuuntaisia MD5- tai SHA-1-tiivisteitä tiedostojärjestelmän metatiedoista ja tiedostojen sisällöstä. Skannaus lähettää tiedostopolut, tiedostokoot ja signatuurit, ja Black Duckin mukaan lähde- tai binäärikoodia ei lähetetä ulos. Se tuottaa sumeita vastaavuuksia muokattuihin avoimen lähdekoodin arkistoihin ja hakemistoihin. Yksittäisten tiedostojen vertailu on valinnainen: se oli oletus ennen versiota 2020.2.0, ja Black Duck poisti sen oletuksista, koska se tuotti melko paljon vääriä positiivisia.

Vahva. Avoin lähdekoodi, joka on kopioitu, vendoroitu tai nimetty uudelleen ilman manifestia, millä tahansa kielellä.

Mitä buildin tallenne tuo lisää. Signatuuriskannaus näkee tiedostot, jotka ovat paikalla siellä, missä se ajetaan. Jotain, minkä buildi haki, käytti ja hylkäsi, ei ole enää tiivistettävänä. Ne vastaavat eri kysymyksiin: "mitä koodia tässä puussa on" ja "mitä tämä buildi haki". Vendoroidulle koodille signatuuriskannaus on oikea työkalu.

Snippet-vertailu

Miten se toimii. Signatuuriskannauksen jälkeinen toinen vaihe. Tiedostot, joille ei löytynyt vastaavuutta, sekä vastaavuutta vailla olevien hakemistojen ja arkistojen tiedostot skannataan snippet-tasolla: Black Duck laskee codeprintit, eräänlaiset yksisuuntaiset tiivisteet, ja etsii koodin osia, jotka vastaavat KnowledgeBasen tiedostojen koodia.

Vahva. Avoimen lähdekoodin osittaiset kopiot omissa tiedostoissasi ja niiden mukanaan tuomat lisenssivelvoitteet.

Mitä buildin tallenne tuo lisää. Ei mitään. CRACI ei katso tiedostojesi sisään.

Black Duck Binary Analysis

Miten se toimii. Black Duck Binary Analysis tutkii suoritettaviin tiedostoihin, kirjastoihin, kontteihin ja laiteohjelmistoihin käännettyä avointa lähdekoodia myös silloin, kun sinulla ei ole pääsyä koodiin. Se käyttää staattisen analyysin ja merkkijonoanalyysin yhdistelmää sumealla vertailulla KnowledgeBasea vasten ja raportoi komponentit, haavoittuvuudet ja lisenssit. Se merkitsee myös arkaluonteiset tiedot, kuten sähköpostiosoitteet ja valtuutustunnisteet, sekä mobiilisovellukset, jotka pyytävät liiallisia käyttöoikeuksia.

Vahva. Ohjelmistot, joita et itse rakentanut: toimittajan laiteohjelmisto, ostetut moduulit, jonkun muun valmis levykuva. Tämä on aluetta, jota CRACI ei kata. Jos sinulla ei ole buildia, binäärin analysointi on tapa nähdä sen sisään. Muita laiteohjelmistotyökaluja vertaillaan sivuilla CRACI vs. Finite State ja CRACI vs. ONEKEY.

Mitä buildin tallenne tuo lisää. Itse CRACI:lla rakentamillesi ohjelmistoille tallenteen siitä, mitä niihin meni, eikä päätelmää siitä, mitä niistä tuli ulos. Käännetyn koodin tulosanalyysin on pääteltävä syötteet; sen tuottaneen buildin tallenteen ei tarvitse. Ne ovat eri näyttöä samasta tuotteesta.

Yocto ja BitBake (Detectin BitBake-tunnistin)

Miten se toimii. Detectin BitBake-tunnistin lataa build-ympäristön skriptin (oletuksena oe-init-build-env), ajaa bitbake --environment -komennon selvittääkseen kohdekoneen arkkitehtuurin ja lisenssihakemiston ja ajaa bitbake-layers show-recipes -komennon liittääkseen kunkin reseptin sen kerrokseen. Jokaiselle detect.bitbake.package.names-asetuksessa nimetylle kohteelle se ajaa bitbake -g -komennon, joka generoi tiedoston task-depends.dot, ja lukee reseptit ja niiden riippuvuussuhteet siitä. Build-riippuvuuksien poissulkemiseksi Detect lukee levykuvan license.manifest-tiedoston ja pitää sen, mitä levykuvaan on asennettu. Tuloksena on reseptitason riippuvuusgraafi, jota verrataan KnowledgeBaseen.

Vahva. Nopea reseptitason näkymä levykuvaan muuttamatta buildia, ja mahdollisuus sulkea pois vain buildissa käytetyt reseptit.

Mitä buildin tallenne tuo lisää. Graafi rakennetaan BitBaken tehtävägraafista, joten se luettelee reseptejä. Kaikki, mitä buildi käyttää ja mikä ei ole resepti, jää rakenteeltaan graafin ulkopuolelle: build-koneelle asennetut paketit, työnkulun GitHub Actions -actionit, skriptien hakemat työkalut. CRACI ajaa BitBake-buildin ja tallentaa myös nämä haut. Miltä tämä näyttää oikeassa levykuvassa, näet julkaistusta rinnakkaisvertailusta sivulla Yocto-buildit CRACI:lla. Vertailu tehtiin Yocton omaa create-spdx-SBOM:ia vastaan, ei Black Duckia vastaan.

Kattavuus

Skannaus raportoi sen, minkä se tunnisti. CRACI ilmoittaa jokaisen jobin kattavuuden viidellä tilalla: Complete, Complete with connections, Incomplete, Unavailable ja Not recorded. Aukko tallenteessa näkyy eikä jää huomaamatta.

Menetelmät rinnakkain

Menetelmä	Lukee	Milloin	Vahva	Mitä buildin tallenne tuo lisää
Paketinhallinnan tunnistimet	Projektin paketinhallinnat	Siellä, missä Detect ajetaan, projektin tiedostoista ja työkaluista	Ilmoitetut suorat ja transitiiviset riippuvuudet	Haut, joita mikään manifesti ei luettele, kattavuustilan kanssa
Signatuuriskannaus	Tiedostot, hakemistot ja arkistot	Siellä, missä skannaus ajetaan, paikalla olevista tiedostoista	Kopioitu, vendoroitu tai uudelleen nimetty avoin lähdekoodi	Mitä buildi haki ja sitten hylkäsi
Snippet-vertailu	Vastaavuutta vailla olevat tiedostot codeprintteinä	Signatuuriskannauksen jälkeen	Avoimen lähdekoodin osittaiset kopiot tiedostoissasi	Ei mitään: CRACI ei katso tiedostojesi sisään
Black Duck Binary Analysis	Suoritettavat tiedostot, kirjastot, kontit, laiteohjelmistot	Buildin jälkeen, tuotoksesta	Ohjelmistot, joita et itse rakentanut	Omille buildeillesi tallenne syötteistä
BitBake-tunnistin	task-depends.dot, reseptit ja kerrokset	Build-ympäristöstä BitBaken omilla komennoilla	Reseptitason näkymä levykuvaan	Build-koneen paketit, GitHub Actions -actionit ja reseptien ulkopuolelta haetut työkalut
CRACI:n buildin tallennus	Jobin liikenne pakettilähteisiin	Buildin aikana	Mitä julkaisubuildi todella haki, välimuistit ja piilotetut riippuvuudet mukaan lukien	Ei sovellu

Missä CRACI eroaa

Se näkee buildin

Jokainen yllä oleva tekniikka tutkii jotain: manifestia, lähdekoodipuuta, binääriä. Mikään niistä ei näe buildia sen ajon aikana, mukaan lukien työkaluketjut, asennusskriptit, peruskuvat, julkaisulataukset ja välimuistissa olevat paketit, jotka muovaavat tuotosta, mutta eivät välttämättä näy siinä. CRACI on itse runneri, joten se näkee tämän toiminnan suoraan. Paketit tunnistava välityspalvelin havainnoi liikennettä npm-, PyPI-, RubyGems-, Composer-, Cargo-, Go-, Nix-, OCI-, apt-, apk- ja Git-pakettilähteisiin sekä latausesiasetuksiin. Riippuvuustiedot kulkevat CI-välimuistien mukana.

Jokainen SBOM ilmoittaa kattavuutensa jobeittain ja välimuisteittain viidellä tilalla: Complete, Complete with connections, Incomplete, Unavailable ja Not recorded. CycloneDX- ja SPDX-vienti sisältyvät.

Se hallitsee buildin verkkoa

Koska CRACI ajaa jobin, voit asettaa sille egress-käytännön: oletuksena estävä tai salliva, 24 valmista ohjelmistolähteiden esiasetusta ja tyypitetyt mukautetut lähteet npm:lle, PyPI:lle, aptille, apkille, Go-proxylle, Nixille, Cargolle, OCI-rekistereille ja Gitille. Käytännöt validoidaan ennen jobin alkua ja ne estävät liikenteen virhetilanteessa (fail closed), ja CRACI voi hälyttää, kun jobi rikkoo käytäntöä. Skanneri raportoi siitä, mitä pääsi sisään. Egress-käytäntö rajoittaa sitä, mitä pääsee sisään.

Alkuperätiedot ja seuranta

API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot. CRACI arvioi seurattuja SBOM:eja jatkuvasti uudelleen uusien haavoittuvuuksien varalta.

Inventaario siitä, mitä on käytössä missäkin

CRACI:n inventaarionäkymä näyttää tarkasti, mitkä ohjelmistoversiot on otettu käyttöön missäkin tuotteessa maailmanlaajuisesti. Kun uusi haavoittuvuus julkaistaan, näet, missä tuotteissa haavoittuva versio on käytössä, sen sijaan, että kokoaisit tiedon julkaisutiedoista ja taulukoista.

Black Duckin SBOM:t ja CRACI:n SBOM:t

Black Duck SCA vie SBOM:t materiaaliluettelostaan SPDX 2.2-, 2.3- ja 3.0-muodoissa sekä CycloneDX 1.3–1.6 -muodoissa, ja se voi tuoda SBOM-tiedostoja. CRACI vie CycloneDX- ja SPDX-muodot buildin tallenteesta komponenteista löydettyjen haavoittuvuuksien kanssa, ja sen API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot. Ero on luettelon lähteessä, ei muodossa: Black Duckin luettelo tulee siitä, mitä sen skannaukset tunnistivat, CRACI:n siitä, mitä buildi haki.

Kumpi sopii, ja milloin käyttää molempia

• Yoctolla rakennetut sulautetut tuotteet. CRACI ajaa BitBake-buildin runnereillaan, enintään 32 vCPU ja 96 Gt, ja tallentaa, mitä se haki, egress-käytännöllä, joka täydentää BitBaken omia verkkohallintoja. Black Duckin BitBake-tunnistin kartoittaa levykuvan reseptit tehtävägraafista, ja Black Duck Binary Analysis voi tarkistaa valmiin levykuvan. Katso Yocto-buildit CRACI:lla ja Yocto-opas.
• Koodi, jossa on pitkä historia kopioitua tai vendoroitua avointa lähdekoodia. Snippet- ja signatuuriskannaus on Black Duckin vahvuus. Pidä se.
• GitHub Actionsia käyttävät tiimit, jotka tarvitsevat julkaisujen näyttöä. CRACI tallentaa jokaisen buildin, säilyttää sen SBOM:n ja alkuperätiedot ja vie SBOM:t CycloneDX- tai SPDX-muodossa.
• CI/CD-putket Jenkinsissä, GitLabissa tai Azure DevOpsissa. Black Duck sopii tänään. CRACI tukee tänään vain GitHub Actionsia, ja GitLab CI ja Jenkins ovat tiekartalla, joten näiden putkien pitäisi ensin siirtyä.

EU:n kyberkestävyyssäädöstä varten

Black Duck julkaisee joukon sivuja EU:n kyberkestävyyssäädöksestä (Cyber Resilience Act, CRA): määräajoista, 24 tunnin haavoittuvuusilmoitusvaatimuksesta ja siitä, miksi se pitää pelkkää SCA:ta riittämättömänä CRA:n kannalta. Se kohdistaa tuotevalikoimansa sääntelyyn: Black Duck SCA koodikantojen analysointiin EUVD- ja NVD-tietoja vasten ja SBOM:ien generointiin, Coverity heinäkuussa 2026 julkistetulla CRA:han linjatulla tarkistinvaihtoehdolla, Defensics kestävyystestaukseen ja Software Risk Manager käytäntöportteihin. Sen perustelu on, että sääntely vaatii kerroksia: SCA:n komponenteille sekä staattisen ja dynaamisen testauksen omalle koodillesi ja palveluillesi.

CRACI tuo näyttöä suoraan buildista: mitä kuhunkin julkaisuun meni, kuinka kattava tallenne on, ja jatkuvan seurannan sen jälkeen, ja SBOM:t viedään CycloneDX- tai SPDX-muodossa. Se automatisoi merkittävän osan ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, joita yritykset tarvitsevat laajempaan CRA-vaatimustenmukaisuusprosessiinsa. Lue lisää sivuilta CRA-vaatimustenmukaisuus ja teollinen IoT.

CRACI:n lisääminen Black Duckin rinnalle

CRACI korvaa runnerin, ei GitHub Actionsia. Vaihda työnkulussa runs-on-arvoksi craci, ja ajot näkyvät edelleen GitHubin käyttöliittymässä. Black Duckin skannausvaiheet jäävät työnkulkuun. Valitse yksi tuotejulkaisu, vertaa CRACI:n buildin aikana tallentamaa SBOM:ia Black Duckin materiaaliluetteloosi ja käy läpi komponentit, jotka vain toinen niistä löysi.

Black Duck ja CRACI: usein kysytyt kysymykset

Miten kumpikin löytää komponentit ja miten ne sopivat yhteen

Miten Black Duck löytää avoimen lähdekoodin?

Neljällä tavalla sekä BitBake-tunnistimella Yoctolle. Black Duck Detect lukee projektin paketinhallinnat johtaakseen riippuvuuspuun. Signatuuriskanneri vertaa tiedostojen, hakemistojen ja arkistojen tiivisteitä KnowledgeBaseen. Snippet-vertailu löytää avoimen lähdekoodin osittaiset kopiot tiedostoista, joille ei löytynyt vastaavuutta. Black Duck Binary Analysis tutkii käännettyjä suoritettavia tiedostoja, kirjastoja, kontteja ja laiteohjelmistoja.

Mikä on Black Duck Binary Analysis?

Black Duckin tuote, joka tutkii suoritettaviin tiedostoihin, kirjastoihin, kontteihin ja laiteohjelmistoihin käännettyä avointa lähdekoodia ilman pääsyä lähdekoodiin. Se käyttää staattista analyysiä ja merkkijonoanalyysiä sumealla vertailulla KnowledgeBasea vasten ja raportoi komponentit, haavoittuvuudet ja lisenssit sekä arkaluonteiset tiedot, kuten valtuutustunnisteet. Se sopii ohjelmistoille, joita et itse rakentanut, kuten toimittajan laiteohjelmistolle.

Tukeeko Black Duck Yoctoa?

Kyllä. Detectin BitBake-tunnistin ajaa BitBaken omia komentoja, kuten bitbake -g jokaiselle kohdelevykuvalle, lukee reseptit ja niiden riippuvuudet tiedostosta task-depends.dot ja voi sulkea pois build-riippuvuudet levykuvan license.manifest-tiedoston avulla. Tuloksena on reseptitason riippuvuusgraafi, jota verrataan KnowledgeBaseen.

Korvaako CRACI Black Duckin?

Ei. CRACI ei tee snippet-, binääri- eikä staattista analyysiä, joten ne jäävät Black Duckille. CRACI:lla ajettavissa buildeissa se voi ottaa hoitaakseen SBOM-generoinnin ja riippuvuuksien seurannan: se tallentaa, mitä kukin GitHub Actions -buildi haki, vie SBOM:n CycloneDX- tai SPDX-muodossa ja arvioi sitä jatkuvasti uudelleen uusien haavoittuvuuksien varalta.

Voinko käyttää molempia?

Kyllä. CRACI korvaa runnerin, ei GitHub Actionsia, joten Black Duckin skannausvaiheet ajetaan edelleen samassa työnkulussa CRACI-runnerilla. Vertaa yhden julkaisun osalta CRACI:n buildin aikana tallentamaa SBOM:ia Black Duckin materiaaliluetteloosi ja käy läpi komponentit, jotka vain toinen niistä löysi.

Black Duck vs. Snyk: mikä on ero?

Molemmat ovat ohjelmistokoostumuksen analyysin työkaluja, mutta ne löytävät avoimen lähdekoodin eri tavoin. Snyk Open Source rakentaa riippuvuuspuun manifesteista ja lukitustiedostoista ja vertaa tiedostosignatuureja hallitsemattomalle C- ja C++-koodille, kun riippuvuuksien koko lähdekoodi on skannatussa hakemistossa. Se on rakennettu kehittäjien ympärille IDE:ssä, CLI:ssä, repositorioissa ja CI:ssä, Snyk Coden, Snyk Containerin ja Snyk IaC:n rinnalla. Black Duck lisää minkä tahansa tiedostojen signatuuriskannauksen, osittaisten kopioiden snippet-vertailun ja käännettyjen ohjelmistojen ja laiteohjelmistojen Binary Analysisin ilman lähdekoodia. Snyk julkaisee Free-tilauksen ja Team-tilauksen alkaen $25 kuukaudessa; Black Duck hinnoittelee tarjouksen perusteella. Kumpikaan ei aja buildejasi. CRACI ajaa ja tallentaa, mitä kukin GitHub Actions -buildi haki, joten se sopii kummankin rinnalle.