CRACI vs Black Duck

A resposta curta

O Black Duck é um amplo portefólio de segurança aplicacional construído em torno do seu produto de análise de composição de software (SCA), com análise estática, análise de binários, fuzzing e gestão de postura à sua volta. O CRACI é um runner de CI compatível com GitHub Actions que regista todas as dependências externas que um build descarrega e produz a SBOM, a proveniência e as evidências de conformidade a partir desse registo. O Black Duck é um scanner, e um scanner minucioso. O CRACI é um registador. Para a maioria dos fabricantes, os dois são complementares.

Visão geral

O que o Black Duck faz bem

Encontrar open source que ninguém declarou. O Black Duck SCA combina a análise de gestores de pacotes com análise de assinaturas, deteção de snippets para código parcial ou modificado e análise de binários. Isso importa quando o código foi copiado para um repositório ou incluído sem manifesto (vendoring). As conclusões assentam nos Black Duck Security Advisories, com métricas de gravidade, priorização e alcançabilidade, e a plataforma assinala pacotes maliciosos.

Licenças. O Black Duck identifica licenças declaradas e não declaradas, o texto integral das licenças e dados de copyright, e a sua KnowledgeBase acompanha mais de 2.750 licenças open source. O CRACI inclui os metadados das licenças declaradas na exportação de SBOM e aplica políticas de licenças.

Binários e firmware. O Black Duck Binary Analysis examina executáveis, bibliotecas, contentores e firmware sem acesso ao código-fonte. Se recebe binários de terceiros ou precisa de verificar uma imagem de firmware final, esse é um terreno que o CRACI não cobre.

Mais do que SCA. O Coverity faz análise estática em 22 linguagens, o Defensics faz testes de fuzzing e o Software Risk Manager consolida conclusões como sistema de gestão da postura de segurança aplicacional (ASPM). O Black Duck integra-se com Jenkins, GitLab, Azure DevOps, Bitbucket Pipelines, CircleCI, TeamCity e muitos outros sistemas de CI. A sua Bridge CLI pode abrir Fix PRs que atualizam dependências diretas vulneráveis.

Onde o CRACI é diferente

Testemunha o build

Todas as técnicas acima inspecionam algo: um manifesto, uma árvore de código-fonte, um binário. Nenhuma delas vê o build durante a execução, incluindo as toolchains, os scripts de instalação, as imagens base, as descargas de versões e os pacotes em cache que moldam o resultado mas podem não ser visíveis nele. O CRACI é o runner, pelo que vê essa atividade diretamente. Um proxy que reconhece pacotes observa o tráfego para as fontes de pacotes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e Git, bem como predefinições de descarga. As evidências de dependências acompanham as caches de CI.

Cada SBOM indica a sua completude, por job e por cache, em cinco estados: Complete, Complete with connections, Incomplete, Unavailable e Not recorded. A exportação em CycloneDX e SPDX está incluída.

Controla a rede do build

Como o CRACI executa o job, pode definir uma política de egress para ele: negação ou permissão por defeito, 24 predefinições integradas de fontes de software e fontes personalizadas tipadas para npm, PyPI, apt, apk, o proxy Go, Nix, Cargo, registos OCI e Git. As políticas são validadas antes de o job arrancar e falham em modo fechado, e o CRACI pode alertá-lo quando um job viola uma delas. Um scanner reporta o que entrou. Uma política de egress limita o que pode entrar.

Proveniência e monitorização

A API devolve SBOM, traços de rede e proveniência. O CRACI continua a reavaliar as SBOM monitorizadas quanto a novas vulnerabilidades.

Um inventário do que está implementado e onde

A vista de inventário do CRACI mostra exatamente que versões de software estão implementadas em que produtos, a nível global. Quando surge uma nova vulnerabilidade, pode ver que produtos executam a versão afetada, em vez de reconstituir essa informação a partir de notas de versão e folhas de cálculo.

Qual escolher e quando usar ambos

• Produtos embebidos compilados com Yocto. O CRACI pode executar builds Yocto e BitBake nos seus runners, até 32 vCPU e 96 GB, com uma política de egress que complementa os controlos de rede do próprio BitBake. A SBOM do CRACI regista o que o build obteve, incluindo pacotes do host e GitHub Actions que a SBOM create-spdx do Yocto deixa de fora, com um package URL para cada crate Rust. O Black Duck Binary Analysis pode depois verificar a imagem final. Consulte o guia de Yocto.
• Código com um longo historial de open source copiado ou incluído (vendored). A análise de snippets e assinaturas é o ponto forte do Black Duck. Mantenha-a.
• Equipas em GitHub Actions que precisam de evidências das versões. O CRACI regista cada build, guarda a SBOM e os dados de proveniência correspondentes e exporta SBOM em CycloneDX ou SPDX.
• Pipelines em Jenkins, GitLab ou Azure DevOps. Hoje, a opção certa é o Black Duck. O CRACI suporta hoje apenas GitHub Actions, com GitLab CI e Jenkins no roadmap, pelo que esses pipelines teriam de migrar primeiro.

Para o Cyber Resilience Act

O Black Duck publica um conjunto de páginas sobre o CRA que abordam os prazos, o requisito de reporte de vulnerabilidades em 24 horas e a razão pela qual considera a SCA, por si só, insuficiente para o CRA. Mapeia o seu portefólio para o regulamento: o Black Duck SCA para analisar bases de código face a dados da EUVD e da NVD e gerar SBOM, o Coverity com uma opção de verificação alinhada com o CRA anunciada em julho de 2026, o Defensics para testes de robustez e o Software Risk Manager para pontos de controlo de políticas. O seu argumento é que o regulamento exige camadas: SCA para os componentes, mais testes estáticos e dinâmicos para o seu próprio código e serviços.

O CRACI acrescenta evidências do próprio build: o que entrou em cada versão, o grau de completude desse registo e a monitorização contínua posterior, com SBOM exportáveis em CycloneDX ou SPDX. Automatiza uma parte significativa da visibilidade e das evidências da cadeia de abastecimento de software de que as empresas precisam para o seu processo mais amplo de conformidade com o CRA. Saiba mais sobre conformidade com o CRA e IoT industrial.

Adicionar o CRACI a par do Black Duck

O CRACI substitui o runner, não o GitHub Actions. Altere runs-on para craci num workflow e as execuções continuam a aparecer na interface do GitHub. Os passos de análise do Black Duck mantêm-se no workflow. Escolha uma versão de um produto, compare a SBOM de build do CRACI com a lista de materiais do Black Duck e reveja os componentes que só uma delas encontrou.