Alternativy k NetRise

CRACI vyvíjíme my, berte to proto v úvahu; každou možnost popisujeme podle její vlastní dokumentace a říkáme, kdy se hodí jiný nástroj.

Proč týmy hledají něco jiného než NetRise

NetRise Turbine vytváří „úplnou SBOM odvozenou z binárek, přímo ze samotného softwaru“ pro firmware, image kontejnerů a binárky aplikací, včetně staticky linkovaných a vestavěných závislostí. Hlásí tajné klíče, klíče, certifikáty, chybné konfigurace a licenční problémy, které se s artefaktem dodávají, řadí zranitelnosti podle toho, zda se k nim dostane cesta provádění, a importuje i exportuje SPDX a CycloneDX. NetRise Provenance kontroluje původ a stav open source komponent a ZeroLens hledá slabiny v kompilovaném softwaru. 21. září 2026 Dragos oznámil, že NetRise koupil a začlení ho do Dragos Platform.

Týmy přesto alternativy srovnávají, obvykle z jednoho z těchto důvodů:

• Akvizice. Dragos začleňuje NetRise do své platformy pro provozovatele kritické infrastruktury. Výrobci zařízení mimo tento trh mohou chtít dodavatele, jehož plán vývoje míří na ně.
• Většina softwaru je jejich vlastní. Analýza binárky postupuje zpětně od výstupu. Tým, který si sestavuje vlastní image, může místo toho zaznamenat, co do nich vstoupilo.
• Workflow pro PSIRT. Web NetRise nepopisuje VEX, bezpečnostní upozornění ani vyšetřování PSIRT. Některé týmy je chtějí ve stejném nástroji jako analýzu.
• Ceny. NetRise nezveřejňuje žádné ceny.

Na co by se měl tým PSIRT zaměřit

PSIRT odpovídá za každý produkt, který firma dodává. Nástroj, o který se opírá, by měl pomáhat s:

• Inventářem toho, co se dodává, včetně firmwaru třetích stran, který jste nikdy nesestavili.
• Tím, jak vzniká SBOM a zda vám nástroj řekne, když je neúplná.
• Rychlým nalezením dotčených produktů a vydání, když se objeví zranitelnost.
• Monitorováním po vydání, když se objevují nová upozornění na již dodané komponenty.
• Triáží, stanovením priorit a VEX, abyste mohli říct, kterých produktů se problém netýká.
• Pokrytím CI, možnostmi hostingu a tím, jak se mění cena s rozsahem.

Možnosti

1. CRACI (náš produkt)

CRACI je runner pro GitHub Actions, který vytváří SBOM během buildu. Je určen pro týmy, které si samy sestavují firmware a software. Proxy, která rozumí balíčkům, zaznamenává, co každý job stahuje z hostitelů balíčků a zdrojů, včetně balíčků obnovených z cache CI, a každá SBOM uvádí svou úplnost pro každý job a každou cache. Buildy Yocto běží na runnerech s až 32 vCPU a 96 GB RAM: při srovnávacím buildu core-image-sato obsahovala SBOM z CRACI všechny komponenty z vlastní SBOM Yocto a navíc 88, které Yocto vynechal, například balíčky hostitele a GitHub Actions, a také package URL pro každou z 653 verzí crate v Rustu, které Yocto uvádí bez ní.

CRACI průběžně znovu vyhodnocuje monitorované SBOM, ukazuje, které buildy obsahovaly zranitelnou závislost a které verze softwaru jsou nasazeny ve kterých produktech, podporuje VEX a umožňuje bezpečnostním týmům nálezy třídit a každý předat týmu, který opravu vlastní. Můžete přidat SBOM od dodavatelů, takže nakoupené komponenty se monitorují vedle vašich vlastních buildů. Protože CRACI job spouští, vynucuje také egress policy, která při selhání vše zablokuje.

Nejvhodnější pro: výrobce zařízení a softwarové týmy, které stavějí na GitHub Actions a chtějí build, SBOM a sledování zranitelností na jednom místě. Zvažte, pokud: se obejdete bez analýzy binárek, dosažitelnosti a nálezů tajných klíčů ve výstupu, protože nic z toho CRACI nemá; do firmwaru, který jste nesestavili, nevidí. Podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje. Viz CRACI pro týmy PSIRT a CRACI vs NetRise.

2. ONEKEY

ONEKEY analyzuje kompilovaný firmware „bez potřeby zdrojového kódu nebo přístupu k síti“. Generuje SBOM z binárky, importuje SBOM od dodavatelů, exportuje CycloneDX a SPDX, hledá pravděpodobné zero-day zranitelnosti, jako jsou napevno zapsané přihlašovací údaje, a firmware denně znovu analyzuje. Jeho Compliance Wizard provádí týmy CRA, IEC 62443-4-2, ETSI EN 303 645 a směrnicí o rádiových zařízeních.

Nejvhodnější pro: výrobce zařízení, kteří kontrolují image firmwaru, které nesestavili, s řízenými kontrolami podle norem. Zvažte, pokud: chcete nálezy nad rámec známých CVE od dodavatele zaměřeného na připojené produkty. CRACI vs ONEKEY

3. Finite State

Finite State analyzuje firmware, binárky, zdrojový kód a SBOM od dodavatelů, „s podporou více než 50 binárních architektur instrukční sady“, a spojuje je do jednoho záznamu produktu. Řadí nálezy podle dosažitelnosti, informací o exploitech a kontextu produktu, zaznamenává rozhodnutí VEX a jeho compliance workflow pokrývá mapování kontrol CRA a reporty připravené pro audit s artefakty SBOM a VEX. Vkládá checky do GitHub Actions, GitLab CI a Jenkins.

Nejvhodnější pro: výrobce připojených zařízení, kteří potřebují analýzu firmwaru od mnoha dodavatelů, s rozhodnutími VEX na stejném místě. Zvažte, pokud: chcete jednu platformu napříč zdrojovým kódem, binárkami a SBOM od dodavatelů. CRACI vs Finite State

4. Cybellum

Product Security Platform od Cybellum vytváří SBOM „kombinováním dat z binárních skenerů, zdrojového kódu a externích zdrojů SBOM ve formátech SPDX, CycloneDX nebo CSV s CPE“. Jeho správa zranitelností třídí nálezy a stanovuje jejich priority a umí vytvářet reporty VEX. Pro práci PSIRT zjistí, kterých produktů nebo komponent se nová zranitelnost týká, sdílí stav zranitelností „prostřednictvím reportů VEX/CSAF“ a poskytuje pracovní prostředí pro vytváření a správu vyšetřování. Pokrývá také soulad s požadavky FDA, ISO 21434 a CRA.

Nejvhodnější pro: výrobce v automobilovém, zdravotnickém a průmyslovém odvětví, kteří chtějí SBOM, správu zranitelností a vyšetřování PSIRT v jedné platformě. Zvažte, pokud: je pro vás workflow PSIRT důležitější než samostatný binární skener. Cybellum nezveřejňuje žádné ceny.

5. ReversingLabs Spectra Assure

Spectra Assure analyzuje kompilované softwarové balíčky bez zdrojového kódu na malware, manipulace, vyzrazené tajné klíče a zranitelnosti a z toho, co najde, vytváří SBOM ve formátech CycloneDX a SPDX. Diferenciální analýza porovnává verze a upozorňuje na podezřelé změny mezi vydáními. CLI rl-secure běží on-premises i v CI.

Nejvhodnější pro: kontrolní bránu vydání na malware a manipulace v balíčku, který dodáváte, nebo v komerčním softwaru před jeho nasazením. Zvažte, pokud: je vaším hlavním cílem firmware zařízení, a ne softwarové balíčky. Community je zdarma a Community+ stojí $500 měsíčně (k září 2026). CRACI vs ReversingLabs

6. Exein

Exein pracuje na zařízení i s firmwarem. Exein Runtime využívá eBPF k monitorování a blokování škodlivého chování na embedded Linuxu a open source vrstva Yocto meta-exein vloží do vašeho image jeho agenta Pulsar. Exein Analyzer kontroluje firmware před vydáním, nebo vaši SBOM, když binárka není k dispozici, řadí nálezy pomocí hodnocení dosažitelnosti a filtrování s využitím LLM a mapuje je na požadavky CRA.

Nejvhodnější pro: výrobce s embedded Linuxem, kteří chtějí ochranu v provozu i analýzu firmwaru. Zvažte, pokud: vám nevadí dodávat na zařízení agenta. CRACI vs Exein

7. Cybeats

Cybeats SBOM Studio je systém záznamů, který načítá, spravuje, monitoruje a sdílí SBOM napříč produkty a dodavateli. Při importu hodnotí kvalitu SBOM a sdílí SBOM a VEX se zákazníky. Pro generování SBOM a analýzu složení binárek Cybeats odkazuje na dodavatele ve svém Marketplace a jeho doplněk RAVEN vyhodnocuje dosažitelnost a připravuje návrhy VEX.

Nejvhodnější pro: výrobce ve zdravotnictví, průmyslu a telekomunikacích, kteří provozují program SBOM napříč mnoha produkty a dodavateli. Zvažte, pokud: potřebujete samotnou analýzu; SBOM Studio spravuje SBOM, které vygeneroval jiný nástroj. CRACI vs Cybeats

Vedle sebe

„NetRise“ znamená NetRise Turbine, „Cybellum“ znamená Cybellum Product Security Platform, „ReversingLabs“ znamená Spectra Assure a „Cybeats“ znamená SBOM Studio. Ceny ReversingLabs jsou k září 2026. „Neuvedeno“ znamená, že funkce není popsána v dokumentaci dodavatele, nikoli že chybí.

Pro Cyber Resilience Act

NetRise, ONEKEY, Finite State, Cybellum i Exein se CRA věnují. Jeho oznamovací povinnosti platí od 11. září 2026 a jeho hlavní ustanovení se použijí od 11. prosince 2027. Včasné varování do 24 hodin závisí na tom, zda rychle víte, která vydání obsahují dotčenou komponentu. U softwaru, který sestavujete, CRACI uchovává historii buildů se SBOM každého buildu, takže vidíte, které buildy obsahovaly zranitelnou závislost. Jeho API vrací SBOM, síťové záznamy a údaje o původu (provenance), SBOM se exportují jako CycloneDX nebo SPDX a CRACI připravuje obsah oznámení podle CRA, který pak sami podáte.

Žádný nástroj na této stránce sám o sobě výrobce do souladu nepřivede. Viz co CRA požaduje a srovnání nástrojů pro PSIRT.

Kdy zůstat u NetRise

• Potřebujete SBOM pro firmware a binárky, které nakupujete i sestavujete, včetně staticky linkovaného kódu.
• Chcete, aby tajné klíče, klíče, certifikáty a chybné konfigurace v artefaktu byly hlášeny vedle CVE.
• Spoléháte na dosažitelnost cesty provádění, abyste zkrátili seznam nálezů.
• Provozujete provozní technologie (OT) a chcete přehled o firmwaru v rámci Dragos Platform.

Více najdete v článcích buildy Yocto na CRACI, alternativy k ONEKEY a alternativy k Finite State.

Alternativy k NetRise: časté dotazy

Stručné odpovědi na otázky, které si týmy kladou při srovnávání

Jaká je nejlepší alternativa k NetRise?

Záleží na tom, k čemu NetRise používáte. Pro analýzu firmwaru s nálezy nad rámec známých CVE a s řízenými kontrolami souladu se podívejte na ONEKEY. Pro firmware, binárky, zdrojový kód a SBOM od dodavatelů v jednom záznamu produktu s dosažitelností se podívejte na Finite State. Pro vyšetřování PSIRT a reporty VEX nebo CSAF nad analýzou binárek se podívejte na Cybellum. Pro kontroly malwaru a manipulací v balíčku vydání se podívejte na ReversingLabs Spectra Assure. Pro ochranu přímo na zařízení se podívejte na Exein. Pro správu SBOM napříč mnoha dodavateli se podívejte na Cybeats. Pokud vlastní software sestavujete v GitHub Actions, CRACI zaznamenává SBOM z každého buildu a monitoruje ji na zranitelnosti.

Prodává se NetRise i po akvizici společností Dragos?

Dragos oznámil akvizici NetRise a runZero 21. září 2026, bez finančních podmínek. Podle Dragosu ji vedení NetRise začlení do Dragos Platform a bude dál obsluhovat stávající zákazníky; netrise.io v říjnu 2026 stále představoval Turbine, Provenance a ZeroLens. Na to, jak se bude dál prodávat, se zeptejte NetRise nebo Dragosu.

Umí CRACI analyzovat firmware jako NetRise?

Ne. CRACI neanalyzuje binárky ani image firmwaru, neprovádí analýzu dosažitelnosti a ve výstupu nehledá tajné klíče ani chybné konfigurace. Zaznamenává, co vaše vlastní buildy stahují, když běží na runnerech CRACI pro GitHub Actions, včetně buildů Yocto, a z tohoto záznamu vytváří SBOM. U firmwaru, který dostáváte jako binárku, můžete do CRACI přidat SBOM od dodavatele, aby se jeho komponenty monitorovaly; bez SBOM ale potřebujete nástroj pro analýzu binárek.

Které z těchto nástrojů pomáhají týmu PSIRT najít dotčené produkty?

Cybellum popisuje pracovní prostředí PSIRT, které zjistí, kterých produktů nebo komponent se nová zranitelnost týká. Finite State a Cybeats vedou záznam napříč produkty a dodavateli. CRACI ukazuje, které buildy obsahovaly zranitelnou závislost, přímou nebo tranzitivní, a jeho inventář ukazuje, které verze softwaru jsou nasazeny ve kterých produktech. Nástroje pro analýzu binárek, jako NetRise a ONEKEY, vám řeknou, co je uvnitř firmwaru, který jste nesestavili.

Je SBOM z doby buildu lepší než SBOM z analýzy binárek?

U softwaru, který sestavujete, SBOM z doby buildu zaznamenává, co do něj vstoupilo, místo aby to odvozovala z výstupu, což je u kompilovaného kódu jako Rust a C obtížné. Pro firmware, který jste nesestavili, zůstává analýza binárek jedinou možností. Při srovnávacím buildu core-image-sato obsahovala SBOM z CRACI všechny komponenty z vlastní SBOM Yocto a navíc 88, které Yocto vynechal, a také package URL pro každou z 653 verzí crate v Rustu, které Yocto uvádí bez ní.