CRACI vs Black Duck

Det korta svaret

Black Duck är en bred portfölj för applikationssäkerhet byggd kring sin produkt för mjukvarukompositionsanalys (SCA), med statisk analys, binäranalys, fuzzing och hantering av säkerhetsläget runt omkring. CRACI är en GitHub Actions-kompatibel CI-runner som registrerar varje externt beroende som ett bygge drar in och tar fram SBOM:en, proveniensen och efterlevnadsbevisen från den registreringen. Black Duck är en skanner, och en grundlig sådan. CRACI är en registrerare. För de flesta tillverkare kompletterar de två varandra.

I korthet

Vad Black Duck gör bra

Att hitta öppen källkod som ingen deklarerade. Black Duck SCA kombinerar skanning av pakethanterare med signaturskanning, upptäckt av kodsnuttar för delvis kopierad eller modifierad kod och binäranalys. Det spelar roll när kod har kopierats in i ett repository eller vendorats utan manifest. Fynden bygger på Black Duck Security Advisories, med allvarlighetsgrad, prioritering och mått på nåbarhet, och plattformen flaggar skadliga paket.

Licenser. Black Duck identifierar deklarerade och odeklarerade licenser, fullständig licenstext och upphovsrättsdata, och dess KnowledgeBase följer fler än 2 750 licenser för öppen källkod. CRACI tar med metadata om deklarerade licenser i sin SBOM-export och upprätthåller licenspolicyer.

Binärer och firmware. Black Duck Binary Analysis undersöker körbara filer, bibliotek, containrar och firmware utan tillgång till källkoden. Om du tar emot binärer från tredje part eller behöver kontrollera en färdig firmwareavbild är det ett område som CRACI inte täcker.

Mer än SCA. Coverity ger statisk analys för 22 språk, Defensics utför fuzztestning, och Software Risk Manager samlar fynden som ett system för hantering av applikationssäkerhetsläget (ASPM). Black Duck integreras med Jenkins, GitLab, Azure DevOps, Bitbucket Pipelines, CircleCI, TeamCity och många andra CI-system. Dess Bridge CLI kan öppna Fix PRs som uppgraderar sårbara direkta beroenden.

Där CRACI är annorlunda

Det bevittnar bygget

Varje teknik ovan inspekterar något: ett manifest, ett källkodsträd, en binär. Ingen av dem ser bygget medan det körs, inklusive de verktygskedjor, installationsskript, basavbilder, releasenedladdningar och cachade paket som formar resultatet men kanske inte syns i det. CRACI är runnern, så det ser den aktiviteten direkt. En paketmedveten proxy observerar trafiken till paketkällorna för npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar. Beroendebevisen följer med CI-cachar.

Varje SBOM anger sin fullständighet, per jobb och per cache, med fem statusar: Complete, Complete with connections, Incomplete, Unavailable och Not recorded. Export i CycloneDX och SPDX ingår.

Det styr byggets nätverk

Eftersom CRACI kör jobbet kan du sätta en egress-policy för det: neka som standard eller tillåt som standard, 24 inbyggda förinställningar för programvarukällor och typade egna källor för npm, PyPI, apt, apk, Go-proxyn, Nix, Cargo, OCI-register och Git. Policyerna valideras innan jobbet startar och blockerar vid fel, och CRACI kan varna dig när ett jobb bryter mot en av dem. En skanner rapporterar vad som kom in. En egress-policy begränsar vad som kan komma in.

Proveniens och bevakning

API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI fortsätter att omvärdera bevakade SBOM:er mot nya sårbarheter.

En inventering av vad som är driftsatt var

CRACI:s inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. När en ny sårbarhet dyker upp ser du vilka produkter som kör den berörda versionen i stället för att pussla ihop det från release notes och kalkylblad.

Vilket som passar, och när du ska använda båda

• Inbyggda produkter som byggs med Yocto. CRACI kan köra Yocto- och BitBake-byggen på sina runners, upp till 32 vCPU och 96 GB, med en egress-policy som kompletterar BitBakes egna nätverkskontroller. CRACI:s SBOM registrerar vad bygget hämtade, även värdpaket och GitHub Actions som Yoctos SBOM från create-spdx utelämnar, med en paket-URL för varje Rust-crate. Black Duck Binary Analysis kan sedan kontrollera den färdiga avbilden. Se guiden för Yocto.
• Kod med en lång historik av kopierad eller vendorad öppen källkod. Skanning av kodsnuttar och signaturer är Black Ducks styrka. Behåll den.
• Team på GitHub Actions som behöver bevis om releaser. CRACI registrerar varje bygge, sparar SBOM:en och proveniensdata för det och exporterar SBOM:er i CycloneDX eller SPDX.
• Pipelines på Jenkins, GitLab eller Azure DevOps. Black Duck passar i dag. CRACI har i dag stöd för enbart GitHub Actions, med GitLab CI och Jenkins på roadmapen, så de pipelinerna skulle behöva flyttas först.

För Cyber Resilience Act

Black Duck publicerar en serie sidor om CRA som tar upp tidsfrister, kravet på sårbarhetsrapportering inom 24 timmar och varför företaget anser att SCA ensamt inte räcker för CRA. Det kopplar sin portfölj till förordningen: Black Duck SCA för att analysera kodbaser mot data från EUVD och NVD och generera SBOM:er, Coverity med ett CRA-anpassat kontrollalternativ som presenterades i juli 2026, Defensics för robusthetstestning och Software Risk Manager för policykontroller. Argumentet är att förordningen kräver flera lager: SCA för komponenter, plus statisk och dynamisk testning av din egen kod och dina tjänster.

CRACI tillför bevis från själva bygget: vad som ingick i varje release, hur komplett den registreringen är och löpande bevakning efteråt, med SBOM:er som exporteras i CycloneDX eller SPDX. Det automatiserar en betydande del av den insyn i och de bevis om leveranskedjan för programvara som företag behöver i sitt bredare arbete med CRA-efterlevnad. Läs mer om CRA-efterlevnad och industriell IoT.

Att lägga till CRACI bredvid Black Duck

CRACI ersätter runnern, inte GitHub Actions. Ändra runs-on till craci i ett arbetsflöde, så syns körningarna fortfarande i GitHubs gränssnitt. Black Ducks skanningssteg stannar kvar i arbetsflödet. Välj en produktrelease, jämför CRACI:s SBOM från bygget med din materialförteckning från Black Duck och granska de komponenter som bara ett av verktygen hittade.