CRACI vs Black Duck

Het korte antwoord

Black Duck is een breed portfolio voor applicatiebeveiliging, gebouwd rond zijn product voor software composition analysis (SCA), met daaromheen statische analyse, binaire analyse, fuzzing en posture management. CRACI is een met GitHub Actions compatibele CI-runner die elke externe afhankelijkheid vastlegt die een build binnenhaalt, en op basis van dat verslag de SBOM, herkomst en compliancebewijs levert. Black Duck is een scanner, en een grondige. CRACI is een registrator. Voor de meeste fabrikanten vullen de twee elkaar aan.

In één oogopslag

Waar Black Duck goed in is

Open source vinden die niemand heeft gedeclareerd. Black Duck SCA combineert het scannen van pakketbeheerders met signatuurscanning, snippetdetectie voor gedeeltelijke of aangepaste code, en binaire analyse. Dat is belangrijk wanneer code in een repository is gekopieerd of zonder manifest is gevendord. Bevindingen zijn gebaseerd op Black Duck Security Advisories, met ernst, prioritering en bereikbaarheidsmetrics, en het platform signaleert kwaadaardige pakketten.

Licenties. Black Duck identificeert gedeclareerde en niet-gedeclareerde licenties, volledige licentieteksten en copyrightgegevens, en de KnowledgeBase volgt meer dan 2.750 opensourcelicenties. CRACI neemt de metadata van gedeclareerde licenties op in de SBOM-export en dwingt licentiebeleid af.

Binaries en firmware. Black Duck Binary Analysis onderzoekt executables, bibliotheken, containers en firmware zonder toegang tot broncode. Als u binaries van derden ontvangt of een afgerond firmware-image moet controleren, is dat terrein dat CRACI niet afdekt.

Meer dan SCA. Coverity biedt statische analyse voor 22 talen, Defensics doet fuzz testing, en Software Risk Manager consolideert bevindingen als systeem voor application security posture management (ASPM). Black Duck integreert met Jenkins, GitLab, Azure DevOps, Bitbucket Pipelines, CircleCI, TeamCity en vele andere CI-systemen. De Bridge CLI kan Fix PR's openen die kwetsbare directe afhankelijkheden upgraden.

Waar CRACI anders is

Het is getuige van de build

Elke techniek hierboven inspecteert iets: een manifest, een broncodeboom, een binary. Geen enkele ziet de build terwijl hij draait, inclusief de toolchains, installatiescripts, base images, releasedownloads en gecachete pakketten die de uitvoer vormgeven, maar er mogelijk niet in zichtbaar zijn. CRACI is de runner en ziet die activiteit dus rechtstreeks. Een proxy die pakketten herkent, observeert het verkeer naar pakketbronnen voor npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Het bewijs van afhankelijkheden reist mee met CI-caches.

Elke SBOM geeft zijn volledigheid aan, per job en per cache, in vijf statussen: Complete, Complete with connections, Incomplete, Unavailable en Not recorded. Export in CycloneDX en SPDX is inbegrepen.

Het beheerst het buildnetwerk

Omdat CRACI de job uitvoert, kunt u er een egressbeleid voor instellen: standaard weigeren of standaard toestaan, 24 ingebouwde presets voor softwarebronnen en getypeerde eigen bronnen voor npm, PyPI, apt, apk, de Go-proxy, Nix, Cargo, OCI-registries en Git. Beleid wordt gevalideerd voordat de job start en is fail-closed, en CRACI kan u waarschuwen wanneer een job het beleid overtreedt. Een scanner rapporteert over wat er is binnengekomen. Een egressbeleid beperkt wat er kan binnenkomen.

Herkomst en monitoring

De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI blijft gemonitorde SBOM's opnieuw beoordelen op nieuwe kwetsbaarheden.

Een inventaris van wat waar is uitgerold

De inventarisweergave van CRACI toont precies welke softwareversies op welke producten zijn uitgerold, wereldwijd. Wanneer er een nieuwe kwetsbaarheid opduikt, ziet u welke producten de getroffen versie draaien, in plaats van het bij elkaar te puzzelen uit releasenotes en spreadsheets.

Welke past, en wanneer u beide gebruikt

• Embedded producten gebouwd met Yocto. CRACI kan Yocto- en BitBake-builds op zijn runners draaien, tot 32 vCPU en 96 GB, met een egressbeleid dat de eigen netwerkcontroles van BitBake aanvult. De SBOM van CRACI legt vast wat de build heeft opgehaald, inclusief hostpakketten en GitHub Actions die de create-spdx-SBOM van Yocto weglaat, met een package-URL voor elke Rust-crate. Black Duck Binary Analysis kan daarna het afgeronde image controleren. Zie de Yocto-handleiding.
• Code met een lange geschiedenis van gekopieerde of gevendorde open source. Scannen op snippets en signaturen is de kracht van Black Duck. Blijf dat gebruiken.
• Teams op GitHub Actions die releasebewijs nodig hebben. CRACI legt elke build vast, bewaart de SBOM en herkomstgegevens ervan, en exporteert SBOM's als CycloneDX of SPDX.
• Pipelines op Jenkins, GitLab of Azure DevOps. Black Duck past daar vandaag bij. CRACI ondersteunt vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap, dus die pipelines zouden eerst moeten verhuizen.

Voor de Cyber Resilience Act

Black Duck publiceert een reeks CRA-pagina's over deadlines, de meldplicht voor kwetsbaarheden binnen 24 uur, en waarom het SCA alleen onvoldoende vindt voor de CRA. Het koppelt zijn portfolio aan de verordening: Black Duck SCA om codebases te analyseren tegen gegevens uit EUVD en NVD en SBOM's te genereren, Coverity met een op de CRA afgestemde checkeroptie die in juli 2026 werd aangekondigd, Defensics voor robuustheidstests, en Software Risk Manager voor policy gates. Het argument is dat de verordening lagen vereist: SCA voor componenten, plus statische en dynamische tests voor uw eigen code en diensten.

CRACI voegt bewijs uit de build zelf toe: wat er in elke release is gegaan, hoe volledig dat verslag is, en continue monitoring daarna, met SBOM's die worden geëxporteerd als CycloneDX of SPDX. Het automatiseert een aanzienlijk deel van het inzicht in en bewijs over de softwareketen dat bedrijven nodig hebben voor hun bredere CRA-complianceproces. Lees meer over CRA-compliance en industriële IoT.

CRACI naast Black Duck toevoegen

CRACI vervangt de runner, niet GitHub Actions. Wijzig runs-on in craci in een workflow, en runs verschijnen nog steeds in de GitHub-interface. De scanstappen van Black Duck blijven in de workflow. Kies één productrelease, vergelijk de SBOM van CRACI uit de build met uw bill of materials van Black Duck, en beoordeel de componenten die slechts een van beide heeft gevonden.