CRACI vs. Black Duck

Det korte svaret

Black Duck er en bred portefølje for applikasjonssikkerhet bygget rundt produktet for software composition analysis (SCA), med statisk analyse, binæranalyse, fuzzing og posture management rundt det. CRACI er en GitHub Actions-kompatibel CI-runner som registrerer hver ekstern avhengighet et bygg henter inn, og lager SBOM-en, provenance og samsvarsdokumentasjonen ut fra den registreringen. Black Duck er en skanner, og en grundig sådan. CRACI er en registrator. For de fleste produsenter utfyller de to hverandre.

Kort oppsummert

Hva Black Duck gjør bra

Finner åpen kildekode som ingen har deklarert. Black Duck SCA kombinerer skanning av pakkebehandlere med signaturskanning, oppdagelse av kodebiter for delvis eller endret kode, og binæranalyse. Det betyr noe når kode er kopiert inn i et repositorium eller vendoret uten et manifest. Funnene bygger på Black Duck Security Advisories, med alvorlighetsgrad, prioritering og reachability-målinger, og plattformen flagger skadelige pakker.

Lisenser. Black Duck identifiserer deklarerte og udeklarerte lisenser, full lisenstekst og opphavsrettsdata, og KnowledgeBase følger over 2 750 lisenser for åpen kildekode. CRACI tar med deklarerte lisensmetadata i SBOM-eksporten og håndhever lisenspolicy.

Binærfiler og firmware. Black Duck Binary Analysis undersøker kjørbare filer, biblioteker, containere og firmware uten tilgang til kildekoden. Mottar du binærfiler fra tredjeparter eller må sjekke et ferdig firmware-image, er det et område CRACI ikke dekker.

Mer enn SCA. Coverity gir statisk analyse på tvers av 22 språk, Defensics gjør fuzz-testing, og Software Risk Manager samler funn som et system for application security posture management (ASPM). Black Duck integreres med Jenkins, GitLab, Azure DevOps, Bitbucket Pipelines, CircleCI, TeamCity og mange andre CI-systemer. Bridge CLI kan åpne Fix PRs som oppgraderer sårbare direkte avhengigheter.

Der CRACI er annerledes

Det er vitne til bygget

Alle teknikkene ovenfor inspiserer noe: et manifest, et kildetre, en binærfil. Ingen av dem ser bygget mens det kjører, inkludert verktøykjedene, installasjonsskriptene, base-imagene, nedlastingene av utgivelser og pakkene i cache som former resultatet, men som ikke nødvendigvis er synlige i det. CRACI er runneren, så det ser den aktiviteten direkte. En pakkebevisst proxy observerer trafikken til pakkekildene for npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, i tillegg til forhåndsinnstillinger for nedlastinger. Dokumentasjonen for avhengighetene følger med CI-cacher.

Hver SBOM angir sin fullstendighet, per jobb og per cache, i fem statuser: Complete, Complete with connections, Incomplete, Unavailable og Not recorded. Eksport til CycloneDX og SPDX er inkludert.

Det kontrollerer byggets nettverk

Fordi CRACI kjører jobben, kan du sette en egress-policy for den: default deny eller default allow, 24 innebygde forhåndsinnstillinger for programvarekilder og typede egendefinerte kilder for npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registre og Git. Policyer valideres før jobben starter, blokkerer ved feil (fail closed), og CRACI kan varsle deg når en jobb bryter en av dem. En skanner rapporterer om det som kom inn. En egress-policy begrenser hva som kan komme inn.

Provenance og overvåking

API-et returnerer SBOM-er, nettverksspor og provenance. CRACI vurderer overvåkede SBOM-er fortløpende på nytt for nye sårbarheter.

En oversikt over hva som er utrullet hvor

CRACIs inventaroversikt viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. Når en ny sårbarhet dukker opp, ser du hvilke produkter som kjører den berørte versjonen, i stedet for å stykke det sammen fra utgivelsesnotater og regneark.

Hvilken som passer, og når du bør bruke begge

• Innebygde produkter bygget med Yocto. CRACI kan kjøre Yocto- og BitBake-bygg på runnerne sine, opptil 32 vCPU og 96 GB, med en egress-policy som utfyller BitBakes egne nettverkskontroller. CRACIs SBOM registrerer hva bygget hentet, inkludert vertspakker og GitHub Actions som Yoctos create-spdx-SBOM utelater, med en package URL for hver Rust-crate. Black Duck Binary Analysis kan deretter sjekke det ferdige imaget. Se Yocto-veiledningen.
• Kode med lang historikk av kopiert eller vendoret åpen kildekode. Skanning av kodebiter og signaturer er Black Ducks styrke. Behold den.
• Team på GitHub Actions som trenger dokumentasjon for utgivelser. CRACI registrerer hvert bygg, tar vare på SBOM-en og provenance-dataene for det, og eksporterer SBOM-er som CycloneDX eller SPDX.
• Pipelines på Jenkins, GitLab eller Azure DevOps. Black Duck passer i dag. CRACI støtter bare GitHub Actions i dag, med GitLab CI og Jenkins på veikartet, så disse pipelinene må flyttes først.

For Cyber Resilience Act

Black Duck publiserer en serie CRA-sider om frister, kravet om rapportering av sårbarheter innen 24 timer og hvorfor selskapet mener SCA alene ikke er nok for CRA. Det kobler porteføljen sin til forordningen: Black Duck SCA til å analysere kodebaser mot data fra EUVD og NVD og generere SBOM-er, Coverity med et CRA-tilpasset checker-alternativ annonsert i juli 2026, Defensics for robusthetstesting og Software Risk Manager for policykontroller. Argumentet er at forordningen krever flere lag: SCA for komponenter, pluss statisk og dynamisk testing av din egen kode og dine egne tjenester.

CRACI legger til dokumentasjon fra selve bygget: hva som gikk inn i hver utgivelse, hvor fullstendig den registreringen er, og kontinuerlig overvåking etterpå, med SBOM-er som eksporteres som CycloneDX eller SPDX. Det automatiserer en betydelig del av innsikten i og dokumentasjonen for programvareleverandørkjeden som selskaper trenger i sin bredere CRA-samsvarsprosess. Les mer om CRA-samsvar og industrielt IoT.

Legge til CRACI ved siden av Black Duck

CRACI erstatter runneren, ikke GitHub Actions. Endre runs-on til craci i en workflow, så vises kjøringene fortsatt i GitHub-grensesnittet. Black Duck-skannestegene blir værende i workflowen. Velg én produktutgivelse, sammenlign CRACIs SBOM fra bygget med stykklisten fra Black Duck, og gå gjennom komponentene bare ett av verktøyene fant.