Srovnání nástrojů PSIRT

Stručná odpověď

• Firmware od dodavatelů v binární podobě: ONEKEY, Finite State, NetRise nebo Cybellum. Binární analýza je způsob, jak nahlédnout do kódu, jehož build nikdy nespouštíte.
• Automobilová, zdravotnická nebo průmyslová zařízení s regulatorními šablonami: Cybellum, se šablonami pro FDA PMA, ISO 21434 a evropský CRA.
• Zdravotnické prostředky a podání u FDA: Medcrypt, s Helm pro SBOM a zranitelnosti.
• Mnoho skenerů v jedné frontě, s workflow pro bezpečnostní upozornění PSIRT: DefectDojo, open source s edicí Pro.
• Systém záznamu pro SBOM od mnoha dodavatelů: Cybeats SBOM Studio.
• Image Yocto nebo Buildroot s kurátorovanými daty CVE: Timesys Vigiles.
• Ochrana i přímo na zařízení: Exein.
• Bezplatné místo pro monitorování SBOM ve vlastním hostingu: OWASP Dependency-Track.
• Software, který sestavujete v GitHub Actions: CRACI, který zaznamenává SBOM z každého buildu, uchovává každý minulý build a monitoruje, co bylo vydáno.

Pro koho je tato stránka

Vedete nebo budujete funkci bezpečnosti produktů a vybíráte nástroje, které za ní budou stát. Pokud roli teprve definujete, začněte stránkou co dělá PSIRT. CRACI vyvíjíme my, vezměte to proto v úvahu. Každé tvrzení o jiném produktu pochází z jeho vlastního webu nebo dokumentace, ověřeno v říjnu 2026, a většina dodavatelů zde má delší stránku CRACI vs X.

Co musí nástroj PSIRT umět

Práce sleduje životní cyklus správy zranitelností a PSIRT potřebuje podporu v každém kroku:

1. Vědět, co se dodává. SBOM pro každou verzi produktu, včetně tranzitivních závislostí a komponent dodavatelů. Vše další závisí na tom, zda je úplná.
2. Zachytit nové zranitelnosti. Průběžné monitorování, které porovnává nová bezpečnostní upozornění s každou vydanou verzí, ne jen s tou příští.
3. Najít zasažené produkty. Které produkty, verze a buildy komponentu obsahují a jak dlouho ji obsahovaly.
4. Provést triáž a předat dál. Rozhodnout, co je důležité, a poslat to týmu, který za opravu odpovídá.
5. Uvést, čeho se to netýká. VEX zaznamenává, kterých produktů se zranitelnost týká a proč ostatních ne.
6. Přijímat hlášení a informovat. Kanál pro externí výzkumníky, sledování případů a bezpečnostní upozornění, často ve strojově čitelném formátu CSAF.

Žádný z nástrojů níže nepokrývá všech šest stejně. Většina je nejsilnější v prvních dvou nebo třech krocích a nejvíce se liší v tom, odkud pochází jejich inventář.

Jak vybírat

• Software sestavujete, nebo ho dostáváte? Pokud velká část produktu přichází od výrobců čipů a dodavatelů v binární podobě, binární analýza je způsob, jak do něj nahlédnout. Pokud ho sestavujete sami, nejpřímějším zdrojem inventáře je build.
• Je produkt regulovaný? Zdravotnické prostředky, vozidla a průmyslová zařízení mají své formáty podání a normy. Některé nástroje pro ně dodávají šablony; jiné to nechávají na vašem vlastním procesu.
• Kolik skenerů už provozujete? Pokud nálezy přicházejí z mnoha nástrojů, může být důležitější agregátor, který je deduplikuje, než další zdroj nálezů.
• Kudy přicházejí externí hlášení? Podání od výzkumníků obvykle potřebují vlastní kanál (viz níže), ať zvolíte jakýkoli nástroj pro inventář.
• Musí běžet ve vlastním hostingu? DefectDojo, Dependency-Track a Medcrypt Enterprise mohou běžet na vaší vlastní infrastruktuře a Cybellum může běžet ve vašem vlastním datovém centru.

Přehled

Dvě tabulky: nejprve nástroje postavené primárně kolem firmwaru a zařízení, poté platformy pro správu zranitelností a SBOM. „Neuvedeno“ znamená, že citované stránky dodavatele to neuvádějí ani v jednom smyslu. Přijímání hlášení, správa případů a publikace bezpečnostních upozornění jsou popsány v textu níže, ne v tabulkách.

Firmware a zařízení

Platformy pro správu zranitelností a SBOM

CRACI

CRACI je runner GitHub Actions. Změníte runs-on na craci a během každého jobu proxy, která rozumí balíčkům, zaznamenává, co job stahuje, včetně balíčků obnovených z cache CI a závislostí, které neuvádí žádný lockfile. SBOM, v CycloneDX nebo SPDX, nese stav úplnosti pro každý job a každou cache. CRACI uchovává každý minulý build s jeho SBOM, takže když přijde bezpečnostní upozornění, vidíte, které buildy obsahovaly zranitelnou závislost, přímou nebo tranzitivní, a jak dlouho, v rámci vaší doby uchovávání. Jeho pohled inventáře přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, a to globálně.

Po buildu CRACI průběžně znovu vyhodnocuje monitorované SBOM, umožňuje bezpečnostním týmům provádět triáž nálezů a předat každý z nich týmu, který odpovídá za opravu, a podporuje VEX. Policy gates mohou zablokovat build, který obsahuje konkrétní CVE, a egress policy omezuje, kam se build dostane. Můžete přidat SBOM dodavatelů, takže nakoupené komponenty se monitorují vedle vašich vlastních buildů. U aktivně zneužívaných zranitelností CRACI připravuje obsah oznámení podle CRA (včasné varování, oznámení a závěrečná zpráva), která pak podáváte vy. U Yocto dal srovnávací build core-image-sato SBOM s každou komponentou z vlastní SBOM od Yocto a navíc 88, které v ní chyběly. Platí se jen za minuty buildu: $0.004 za minutu se 2 vCPU, účtováno po sekundách, bez měsíčního poplatku a bez poplatku za SBOM. Nejvhodnější pro: týmy PSIRT, jejichž produkty se sestavují v GitHub Actions. Pozor: neanalyzuje binární soubory, takže firmware, který jste nesestavili, potřebuje SBOM dodavatele nebo nástroj pro binární analýzu; nemá analýzu dosažitelnosti ani export reportů; a dnes podporuje GitHub Actions, s GitLab CI a Jenkins v plánu vývoje. Viz CRACI pro týmy PSIRT.

Platformy pro firmware a zařízení

Cybellum

Cybellum je platforma pro bezpečnost produktů pro výrobce zařízení na automobilovém, zdravotnickém a průmyslovém trhu, od roku 2021 ve většinovém vlastnictví LG Electronics. Jeho Cyber Digital Twins se sestavují z binárních souborů firmwaru a slučuje je se zdrojovým kódem a SBOM dodavatelů v SPDX, CycloneDX nebo CPE CSV. Monitoruje verze po uvedení do provozu, provádí triáž s AI asistentem VM CoPilot, nabízí „pracovní prostředí pro vytváření a správu šetření“ s tikety a sdílí stav zranitelností prostřednictvím reportů VEX a CSAF. Regulatorní šablony pokrývají FDA PMA, ISO 21434, evropský CRA a více než 50 norem. Běží ve veřejných cloudech nebo ve vašem vlastním datovém centru. Nejvhodnější pro: výrobce zařízení, kteří potřebují binární analýzu a regulatorní důkazy v jedné platformě. Pozor: ceny nejsou zveřejněny a pracuje s artefakty, místo aby spouštěl váš build. CRACI vs Cybellum a alternativy k Cybellum

ONEKEY

ONEKEY analyzuje zkompilovaný firmware, a to „bez potřeby zdrojového kódu nebo přístupu k síti“. Generuje SBOM z binárního souboru, importuje SBOM dodavatelů, hledá pravděpodobné zero-day zranitelnosti, jako jsou napevno zapsané přihlašovací údaje, a denně firmware znovu analyzuje. Jeho Compliance Wizard provede týmy požadavky CRA, IEC 62443-4-2, ETSI EN 303 645 a směrnice o rádiových zařízeních (Radio Equipment Directive). Nejvhodnější pro: týmy, které integrují hodně firmwaru od dodavatelů. Pozor: pracuje s image po buildu, takže nezaznamenává, co build stáhl. CRACI vs ONEKEY a alternativy k ONEKEY

Finite State

Finite State analyzuje firmware, binární soubory, zdrojový kód a SBOM dodavatelů, s podporou více než 50 architektur binárních instrukčních sad, a spojuje je do jednoho záznamu o dodaném softwaru s monitorováním po uvedení na trh. Řadí nálezy podle dosažitelnosti a informací o exploitech, zaznamenává rozhodnutí VEX a mapuje kontroly na požadavky CRA a FDA. Nejvhodnější pro: týmy PSIRT, které potřebují prioritizovat dlouhý seznam nálezů napříč mnoha dodavateli. Pozor: vychází z artefaktů, takže kontrola toho, kam se může dostat váš vlastní build, je mimo jeho záběr. CRACI vs Finite State a alternativy k Finite State

NetRise

NetRise Turbine vytváří „úplnou SBOM odvozenou z binárních souborů přímo ze samotného softwaru“, včetně staticky linkovaného a vestavěného kódu, pro software, který sestavujete, kupujete a provozujete. Importuje SBOM v SPDX a CycloneDX, průběžně kontroluje NVD, CISA KEV a data o aktérech hrozeb, řadí nálezy podle dosažitelnosti cest provádění, hlásí tajné klíče, klíče a chybné konfigurace uvnitř artefaktu a napojuje se na Jira a ServiceNow. Dragos 21. září 2026 oznámil, že NetRise koupil. Nejvhodnější pro: provozní technologie (OT) a flotily zařízení, jejichž software pochází od mnoha dodavatelů. Pozor: jeho stránky nepopisují VEX, správu případů ani publikaci bezpečnostních upozornění a ceny nejsou zveřejněny. CRACI vs NetRise a alternativy k NetRise

Exein

Exein pracuje přímo na zařízení i před vydáním. Exein Runtime využívá eBPF k monitorování a blokování škodlivého chování na vestavěném Linuxu a open source vrstva Yocto meta-exein vkládá do vašeho image jeho agenta Pulsar. Exein Analyzer skenuje firmware, nebo vaši SBOM, když binární soubor není k dispozici, prioritizuje pomocí skóre dosažitelnosti a mapuje nálezy na požadavky CRA. Nejvhodnější pro: produkty s vestavěným Linuxem, které potřebují ochranu v provozu. Pozor: vrstva Yocto mění, co na zařízení běží; váš build nespouští ani nezaznamenává. CRACI vs Exein

Timesys Vigiles

Vigiles, který nyní prodává Lynx Software Technologies, převádí metadata buildu Yocto, Buildroot nebo OpenWrt na SBOM a porovnává ji s kurátorovanou databází CVE. Konfigurační filtry jádra a U-Boot odstraňují CVE ve funkcích, které nesestavujete, rozhodnutí z triáže (affected, fixed, deferred, not exploitable) se uchovávají pro každé vydání, záznamy CISA KEV jsou zvýrazněny a exportuje SBOM, VEX a reporty o zranitelnostech. Nejvhodnější pro: týmy vestavěného Linuxu, které chtějí méně šumu CVE. Pozor: jeho SBOM odráží, co podle metadat BitBake jde do image, ne vše, co build stáhl. CRACI vs Timesys Vigiles

Platformy pro správu zranitelností a SBOM

DefectDojo

DefectDojo je projekt OWASP Flagship s komerční edicí Pro. Bezplatná Community Edition deduplikuje nálezy ze skenerů, které už provozujete, podle vlastních údajů z více než 500 podporovaných nástrojů, do jedné fronty s vlastníky, SLA a tikety v Jira. Pro přidává import SBOM v CycloneDX a SPDX, export CycloneDX VEX a PSIRT Advisory Engine, který přijímá bezpečnostní upozornění z více než 20 zdrojů, porovnává je s daty SBOM, seskupuje je do případů s vlastníky a publikuje upozornění ve formátu PDF s vlastní značkou. Jeho vydání ze září 2026 přidalo export upozornění CSAF 2.0 a VEX a rozhraní pro oznamování podle článku 14 CRA. Pro začíná na $100 měsíčně plus $0.15 za zpracovaný nález. Nejvhodnější pro: týmy PSIRT, které chtějí open source základ a workflow pro bezpečnostní upozornění. Pozor: samo SBOM negeneruje, takže inventář je jen tak úplný jako to, co nahrajete. CRACI vs DefectDojo a alternativy k DefectDojo

Medcrypt

Medcrypt pomáhá výrobcům zdravotnických prostředků projít s podáním v oblasti kybernetické bezpečnosti posouzením FDA, s týmem, jehož součástí jsou bývalí posuzovatelé FDA. Jeho produkt Helm importuje SBOM v CycloneDX nebo SPDX přes API, GitHub Action nebo Azure DevOps, průběžně je monitoruje, řadí nálezy pomocí EPSS, CISA KEV a dat o exploitech a exportuje reporty CycloneDX VEX a VDR. MSI, jehož součástí je Helm, stojí $35,000 za produktovou řadu ročně a jeho členství v MedISAO přináší program koordinovaného zveřejňování zranitelností. Nejvhodnější pro: výrobce zdravotnických prostředků, kteří připravují nebo udržují podání u FDA. Pozor: SBOM přijímá, místo aby je vytvářel (nástroj pro generování je k dispozici na vyžádání), a jeho stránka s ceníkem uvádí, že platforma dnes pokrývá FDA. CRACI vs Medcrypt

Cybeats

Cybeats SBOM Studio o sobě říká, že je „systémem záznamu pro SBOM“. Ukládá SBOM vašich produktů a dodavatelů v SPDX 2.2 až 3.0.1 a CycloneDX 1.2 až 1.7, před importem hodnotí jejich kvalitu, průběžně porovnává každou komponentu s informacemi o zranitelnostech, vydává VEX a sdílí SBOM se zákazníky, mimo jiné přes Transparency Exchange API. Nejvhodnější pro: týmy bezpečnosti produktů v ICS, zdravotnických prostředcích, telekomunikacích a automobilovém průmyslu, které provozují program SBOM napříč mnoha dodavateli. Pozor: pro generování odkazuje na dodavatele ve svém Marketplace, takže samotná SBOM pochází z jiného nástroje. CRACI vs Cybeats a alternativy k Cybeats

Open source možnost: Dependency-Track

OWASP Dependency-Track je platforma pod licencí Apache 2.0, která sleduje komponenty napříč každou verzí každé aplikace, stahuje data o zranitelnostech ze zdrojů včetně NVD a GitHub Advisories, uplatňuje bezpečnostní, licenční a provozní politiky a přijímá i vytváří CycloneDX VEX. Pipeline nahrávají SBOM přes jeho API. Je zdarma a hostujete a provozujete ho sami. Nejvhodnější pro: týmy, které chtějí transparentní analytickou platformu ve vlastním hostingu. Pozor: SBOM negeneruje, takže jeho výsledky závisejí na generátoru, který spouštíte před ním. CRACI vs Dependency-Track a alternativy k Dependency-Track

Přijímání hlášení, případy a bezpečnostní upozornění

Tabulky výše končí u triáže a VEX. Zbytek práce PSIRT, tedy přijímání hlášení a informování, je pokrytý nerovnoměrně:

• Hlášení od externích výzkumníků. Ta obvykle přicházejí přes program zveřejňování zranitelností. Mnoho firem ho provozuje na platformě jako HackerOne Response nebo Bugcrowd VDP, které výzkumníkům dávají kanál pro podávání hlášení a pomáhají s jejich triáží. Jiné samy zveřejní politiku a bezpečnostní kontakt. Náš průvodce koordinovaným zveřejňováním zranitelností pokrývá politiku, security.txt a lhůty.
• Správa případů. Cybellum má pracovní prostředí pro šetření s tikety. DefectDojo Pro seskupuje porovnaná bezpečnostní upozornění do případů s vlastníky a sledováním SLA. Ani jeden neuvádí, že by hostoval podání od výzkumníků.
• Bezpečnostní upozornění. DefectDojo Pro publikuje upozornění ve formátu PDF s vlastní značkou a exportuje CSAF 2.0. Cybellum sdílí stav zranitelností prostřednictvím reportů VEX a CSAF. Členství v MedISAO od Medcryptu zahrnuje program koordinovaného zveřejňování zranitelností.

Kam zapadá CRACI

První otázka v každém případu PSIRT zní, které produkty a verze obsahují zranitelnou komponentu. Binární analýza na ni odpovídá z toho, co bylo dodáno, platformy SBOM ze SBOM, které jim poskytnete, a agregátory z toho, co hlásí jiné skenery. CRACI na ni odpovídá ze záznamu toho, co vaše vlastní buildy skutečně stáhly, uchovávaného pro každý minulý build. U softwaru, který sestavujete v GitHub Actions, to v jednom produktu pokrývá inventář, monitorování, triáž i VEX, takže samostatný správce SBOM jako Dependency-Track nebo Cybeats pro tyto buildy není potřeba.

Jinde vítězí jiné nástroje. Binární analýza od Cybellum, ONEKEY, Finite State nebo NetRise vidí do firmwaru, který jste nesestavili. Cybellum a Medcrypt přinášejí regulatorní šablony a odbornost v oblasti podání. DefectDojo agreguje nálezy ze stovek skenerů a publikuje bezpečnostní upozornění. Finite State, NetRise a Exein řadí nálezy podle dosažitelnosti, což CRACI nenabízí. Přečtěte si, co dělá PSIRT, a CRACI pro týmy PSIRT, nebo porovnejte nástroje pro soulad s CRA a nástroje SBOM.

Nástroje PSIRT: časté dotazy

Co je nástroj PSIRT?

Software, který pomáhá týmu pro reakci na bezpečnostní incidenty produktů (PSIRT) dělat jeho práci: vědět, které komponenty jsou v každé verzi produktu, zjistit, kdy se jich týká nová zranitelnost, provést triáž, předat opravu, zaznamenat, kterých produktů se netýká, a informovat zákazníky a úřady. Jen málo produktů pokrývá vše. Většina týmů PSIRT kombinuje nástroj pro inventář a monitorování s kanálem pro externí hlášení a způsobem publikace bezpečnostních upozornění.

Který nástroj PSIRT je nejlepší pro firmware, který dostáváme jako binární soubory?

Nástroj pro binární analýzu. Cybellum, ONEKEY, Finite State a NetRise sestavují SBOM přímo ze zkompilovaného firmwaru, takže vidí do kódu dodavatelů, jehož build nikdy nespouštíte. Firmware před vydáním skenuje také Exein Analyzer. CRACI binární soubory neanalyzuje; u firmwaru od dodavatelů může monitorovat SBOM dodavatele, pokud ji dodavatel poskytne.

Který nástroj PSIRT se hodí pro software, který sestavujeme sami?

Pokud vaše buildy běží v GitHub Actions, CRACI zaznamenává SBOM z každého buildu během jeho běhu, uchovává každý minulý build s jeho SBOM, znovu vyhodnocuje monitorované SBOM, jak se objevují bezpečnostní upozornění, a ukazuje, které buildy obsahovaly zranitelnou závislost a které verze softwaru jsou nasazeny ve kterých produktech. GitLab CI a Jenkins jsou v jeho plánu vývoje. Pro image Yocto sestavuje Timesys Vigiles SBOM z metadat BitBake, místo aby build zaznamenával.

Existuje bezplatný nebo open source nástroj PSIRT?

Dva z uvedených nástrojů mají bezplatné edice. DefectDojo Community Edition je zdarma pod licencí BSD 3-Clause a deduplikuje nálezy ze stovek skenerů do jedné fronty; jeho PSIRT Advisory Engine, import SBOM a export CSAF jsou v DefectDojo Pro. OWASP Dependency-Track je zdarma pod Apache 2.0 a monitoruje SBOM, které nahrajete. Oba hostujete a provozujete sami.

Přijímají nástroje PSIRT hlášení od externích výzkumníků?

Hlášení od výzkumníků obvykle přicházejí přes program zveřejňování zranitelností, často provozovaný na platformě jako HackerOne nebo Bugcrowd, nebo přes zveřejněný bezpečnostní kontakt. DefectDojo Pro přijímá bezpečnostní upozornění z veřejných zdrojů a Cybellum nabízí pracovní prostředí pro šetření, ale ani jeden neuvádí, že by hostoval podání od výzkumníků.

Které nástroje publikují bezpečnostní upozornění CSAF?

DefectDojo Pro přidal v září 2026 export bezpečnostních upozornění CSAF 2.0 a VEX a publikuje upozornění ve formátu PDF s vlastní značkou. Cybellum sdílí stav zranitelností prostřednictvím reportů VEX a CSAF. Ostatní dodavatelé na této stránce publikaci upozornění CSAF na citovaných stránkách nepopisují.

Vyžaduje CRA nástroj PSIRT?

Žádný nástroj není povinný. Cyber Resilience Act požaduje, aby výrobci řešili zranitelnosti po celou dobu podpory, měli politiku koordinovaného zveřejňování zranitelností a kontakt pro hlášení a od 11. září 2026 oznamovali aktivně zneužívané zranitelnosti do 24 hodin, 72 hodin a 14 dnů. CRACI připravuje obsah těchto oznámení, která podává pracovník výrobce přes Single Reporting Platform, a DefectDojo Pro má rozhraní pro oznamování podle článku 14 CRA. Povinnost zůstává na výrobci.