CRACI vs Black Duck

La risposta breve

Black Duck è un ampio portfolio di sicurezza applicativa costruito attorno al suo prodotto di software composition analysis (SCA), affiancato da analisi statica, analisi dei binari, fuzzing e gestione della postura. CRACI è un runner CI compatibile con GitHub Actions che registra ogni dipendenza esterna scaricata da una build e, a partire da quel record, produce SBOM, provenance ed evidenze di conformità. Black Duck è uno scanner, e molto accurato. CRACI è un registratore. Per la maggior parte dei fabbricanti i due sono complementari.

In sintesi

Che cosa fa bene Black Duck

Trovare l'open source che nessuno ha dichiarato. Black Duck SCA combina la scansione dei package manager con la scansione delle firme, il rilevamento di snippet per codice parziale o modificato e l'analisi dei binari. Questo conta quando il codice è stato copiato in un repository o incorporato senza un manifest. I risultati si basano sui Black Duck Security Advisories, con metriche di gravità, prioritizzazione e raggiungibilità, e la piattaforma segnala i pacchetti dannosi.

Licenze. Black Duck individua licenze dichiarate e non dichiarate, il testo completo delle licenze e i dati sul copyright, e la sua KnowledgeBase traccia oltre 2.750 licenze open source. CRACI include i metadati delle licenze dichiarate nell'esportazione delle SBOM e applica le policy sulle licenze.

Binari e firmware. Black Duck Binary Analysis esamina eseguibili, librerie, container e firmware senza accedere al codice sorgente. Se riceve binari di terze parti o deve controllare un'immagine firmware finita, è un terreno che CRACI non copre.

Oltre la SCA. Coverity offre analisi statica in 22 linguaggi, Defensics esegue fuzz testing e Software Risk Manager consolida i risultati come sistema di application security posture management (ASPM). Black Duck si integra con Jenkins, GitLab, Azure DevOps, Bitbucket Pipelines, CircleCI, TeamCity e molti altri sistemi CI. La sua Bridge CLI può aprire Fix PR che aggiornano le dipendenze dirette vulnerabili.

In che cosa CRACI è diverso

Assiste alla build

Ognuna delle tecniche sopra descritte ispeziona qualcosa: un manifest, un albero di sorgenti, un binario. Nessuna vede la build mentre è in esecuzione, comprese toolchain, script di installazione, immagini base, download di release e pacchetti in cache che plasmano l'output ma potrebbero non esservi visibili. CRACI è il runner, quindi vede questa attività direttamente. Un proxy che riconosce i pacchetti osserva il traffico verso le sorgenti dei pacchetti per npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download. Le evidenze sulle dipendenze viaggiano con le cache CI.

Ogni SBOM dichiara la propria completezza, per job e per cache, in cinque stati: Complete, Complete with connections, Incomplete, Unavailable e Not recorded. L'esportazione in CycloneDX e SPDX è inclusa.

Controlla la rete di build

Poiché è CRACI a eseguire il job, Lei può assegnargli una policy di egress: negazione o autorizzazione predefinita, 24 preset integrati di sorgenti software e sorgenti personalizzate tipizzate per npm, PyPI, apt, apk, il proxy Go, Nix, Cargo, registry OCI e Git. Le policy vengono convalidate prima dell'avvio del job, operano in modalità fail closed e CRACI può avvisarLa quando un job ne viola una. Uno scanner segnala ciò che è entrato. Una policy di egress limita ciò che può entrare.

Provenance e monitoraggio

L'API restituisce SBOM, tracce di rete e provenance. CRACI continua a rivalutare le SBOM monitorate per individuare nuove vulnerabilità.

Un inventario di che cosa è distribuito e dove

La vista inventario di CRACI mostra con precisione quali versioni del software sono distribuite in quali prodotti, a livello globale. Quando arriva una nuova vulnerabilità, Lei vede quali prodotti eseguono la versione interessata invece di ricostruirlo da note di rilascio e fogli di calcolo.

Quale scegliere, e quando usarli entrambi

• Prodotti embedded compilati con Yocto. CRACI può eseguire build Yocto e BitBake sui propri runner, fino a 32 vCPU e 96 GB, con una policy di egress che integra i controlli di rete di BitBake. La SBOM di CRACI registra ciò che la build ha scaricato, compresi i pacchetti host e le GitHub Actions che la SBOM create-spdx di Yocto tralascia, con un package URL per ogni crate Rust. Black Duck Binary Analysis può poi controllare l'immagine finita. Veda la guida a Yocto.
• Codice con una lunga storia di open source copiato o incorporato. La scansione di snippet e firme è il punto di forza di Black Duck. Continui a usarlo.
• Team su GitHub Actions che hanno bisogno di evidenze sulle release. CRACI registra ogni build, ne conserva la SBOM e i dati di provenance ed esporta le SBOM in CycloneDX o SPDX.
• Pipeline su Jenkins, GitLab o Azure DevOps. Per ora la scelta adatta è Black Duck. Oggi CRACI supporta solo GitHub Actions, con GitLab CI e Jenkins in roadmap, quindi quelle pipeline dovrebbero prima essere migrate.

Per il Cyber Resilience Act

Black Duck pubblica una serie di pagine sul CRA che trattano le scadenze, l'obbligo di segnalare le vulnerabilità entro 24 ore e il motivo per cui ritiene la sola SCA insufficiente per il CRA. Mappa il proprio portfolio sul regolamento: Black Duck SCA per analizzare le codebase rispetto ai dati EUVD e NVD e generare SBOM, Coverity con un'opzione di checker allineata al CRA annunciata a luglio 2026, Defensics per i test di robustezza e Software Risk Manager per i policy gate. La sua tesi è che il regolamento richieda più livelli: la SCA per i componenti, più test statici e dinamici per il codice e i servizi propri.

CRACI aggiunge evidenze dalla build stessa: che cosa è entrato in ogni release, quanto è completo quel record e il monitoraggio continuo successivo, con SBOM che si esportano in CycloneDX o SPDX. Automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno nel loro più ampio processo di conformità al CRA. Scopra di più sulla conformità al CRA e sull'IoT industriale.

Aggiungere CRACI accanto a Black Duck

CRACI sostituisce il runner, non GitHub Actions. Cambi runs-on in craci in un workflow e le esecuzioni continuano a comparire nell'interfaccia di GitHub. Gli step di scansione di Black Duck restano nel workflow. Scelga la release di un prodotto, confronti la SBOM in fase di build di CRACI con la Sua bill of materials di Black Duck ed esamini i componenti trovati da uno solo dei due.