Alternativer til NetRise

Vi bygger CRACI, så tag det med i betragtning; vi beskriver hver mulighed ud fra dens egen dokumentation og siger det, når et andet værktøj passer bedre.

Hvorfor teams kigger ud over NetRise

NetRise Turbine producerer "a complete, binary-derived SBOM from the software itself" for firmware, container-images og applikationsbinærfiler, inklusive statisk linkede og indlejrede afhængigheder. Det rapporterer secrets, nøgler, certifikater, fejlkonfigurationer og licensproblemer, der leveres i artefaktet, rangerer sårbarheder efter, om en eksekveringssti når dem, og importerer og eksporterer SPDX og CycloneDX. NetRise Provenance tjekker oprindelse og sundhed for open source-komponenter, og ZeroLens leder efter svagheder i kompileret software. Den 21. september 2026 annoncerede Dragos, at det havde købt NetRise og vil integrere det i Dragos Platform.

Teams sammenligner alligevel alternativer, som regel af en af disse grunde:

• Opkøbet. Dragos bringer NetRise ind i sin platform for operatører af kritisk infrastruktur. Producenter af enheder uden for det marked vil måske have en leverandør, hvis roadmap er rettet mod dem.
• Det meste af softwaren er deres egen. Analyse af en binærfil arbejder baglæns fra outputtet. Et team, der bygger sine egne images, kan i stedet registrere, hvad der indgik i dem.
• Et PSIRT-workflow. NetRises website beskriver ikke VEX, advisories eller PSIRT-undersøgelser. Nogle teams vil have dem i samme værktøj som analysen.
• Priser. NetRise offentliggør ingen priser.

Hvad et PSIRT skal kigge efter

Et PSIRT står til ansvar for hvert produkt, virksomheden leverer. Værktøjet bag det bør hjælpe med:

• Et inventar over det, der leveres, inklusive tredjepartsfirmware, du aldrig selv har bygget.
• Hvordan SBOM'en produceres, og om værktøjet fortæller dig, når den er ufuldstændig.
• At finde de berørte produkter og releases hurtigt, når en sårbarhed dukker op.
• Overvågning efter release, når nye advisories dukker op for komponenter, der allerede er leveret.
• Triage, prioritering og VEX, så du kan sige, hvilke produkter der ikke er berørt.
• CI-dækning, hostingmuligheder, og hvordan prisen skalerer.

Mulighederne

1. CRACI (vores produkt)

CRACI er en GitHub Actions-runner, der producerer SBOM'en, mens buildet kører. Det er til teams, der bygger deres egen firmware og software. En pakkebevidst proxy registrerer, hvad hvert job henter fra pakke- og kildehosts, inklusive pakker gendannet fra CI-caches, og hver SBOM angiver sin fuldstændighed pr. job og pr. cache. Yocto-builds kører på runnere med op til 32 vCPU'er og 96 GB RAM: I et sammenligningsbuild af core-image-sato havde CRACI's SBOM alle komponenter fra Yoctos egen SBOM plus 88, som den overså, for eksempel host-pakker og GitHub Actions, og en package URL for hver af de 653 Rust crate-versioner, som Yocto lister uden.

CRACI genvurderer løbende overvågede SBOM'er, viser, hvilke builds der indeholdt en sårbar afhængighed, og hvilke softwareversioner der er udrullet til hvilke produkter, understøtter VEX og lader sikkerhedsteams triagere fund og sende hvert enkelt videre til det team, der ejer rettelsen. Du kan tilføje leverandørers SBOM'er, så indkøbte komponenter overvåges ved siden af dine egne builds. Fordi CRACI kører jobbet, håndhæver det også en egress-politik, der blokerer ved fejl (fail closed).

Bedst til: producenter af enheder og softwareteams, der bygger på GitHub Actions og vil have buildet, SBOM'en og sporingen af sårbarheder samlet ét sted. Overvej, hvis: du kan undvære binæranalyse, reachability og fund af secrets i outputtet, som CRACI ikke har nogen af; det kan ikke se ind i firmware, du ikke selv har bygget. Det understøtter kun GitHub Actions, med GitLab CI og Jenkins på roadmappen. Se CRACI til PSIRT-teams og CRACI vs. NetRise.

2. ONEKEY

ONEKEY analyserer kompileret firmware med "no source code or network access needed." Det genererer en SBOM ud fra binærfilen, importerer SBOM'er fra leverandører, eksporterer CycloneDX og SPDX, leder efter sandsynlige zero-days som hardcodede legitimationsoplysninger og genanalyserer firmware dagligt. Dets Compliance Wizard guider teams gennem CRA, IEC 62443-4-2, ETSI EN 303 645 og Radio Equipment Directive.

Bedst til: producenter af enheder, der tjekker firmware-images, de ikke selv har bygget, med guidede tjek op mod standarder. Overvej, hvis: du vil have fund ud over kendte CVE'er fra en leverandør med fokus på forbundne produkter. CRACI vs. ONEKEY

3. Finite State

Finite State analyserer firmware, binærfiler, kildekode og SBOM'er fra leverandører, med "support for 50+ binary instruction set architectures," og samler dem i én produktregistrering. Det rangerer fund efter reachability, exploit intelligence og produktkontekst, registrerer VEX-beslutninger, og dets compliance-workflow dækker CRA-kontrolmapping og revisionsklare rapporter med SBOM- og VEX-artefakter. Det indlejrer tjek i GitHub Actions, GitLab CI og Jenkins.

Bedst til: producenter af forbundne enheder, der har brug for analyse af firmware fra mange leverandører, med VEX-beslutninger samme sted. Overvej, hvis: du vil have én platform på tværs af kildekode, binærfiler og SBOM'er fra leverandører. CRACI vs. Finite State

4. Cybellum

Cybellums Product Security Platform opretter SBOM'er "by combining data from binary scanners, source code and external SBOM sources in SPDX, CycloneDX or CPEs CSV formats." Dens sårbarhedsstyring triagerer og prioriterer fund, og den kan oprette VEX-rapporter. Til PSIRT-arbejde finder den ud af, hvilke produkter eller komponenter en ny sårbarhed berører, deler sårbarhedsstatus "via VEX/CSAF reports," og stiller en workbench til rådighed til at oprette og styre undersøgelser. Den dækker også compliance med FDA-krav, ISO 21434 og CRA.

Bedst til: producenter inden for bilindustri, medicinsk udstyr og industri, der vil have SBOM'er, sårbarhedsstyring og PSIRT-undersøgelser på én platform. Overvej, hvis: PSIRT-workflowet betyder mere for dig end en selvstændig binærscanner. Cybellum offentliggør ingen priser.

5. ReversingLabs Spectra Assure

Spectra Assure analyserer kompilerede softwarepakker uden kildekode for malware, manipulation, eksponerede secrets og sårbarheder og producerer SBOM'er i CycloneDX og SPDX ud fra det, det finder. Differentialanalyse sammenligner versioner og markerer mistænkelige ændringer mellem releases. CLI'en rl-secure kører on premises og i CI.

Bedst til: et release-kontrolpunkt for malware og manipulation på den pakke, du leverer, eller på kommerciel software, før du udruller den. Overvej, hvis: firmware til enheder er dit hovedmål frem for softwarepakker. Community er gratis, og Community+ koster $500 om måneden (pr. september 2026). CRACI vs. ReversingLabs

6. Exein

Exein arbejder på enheden og på firmwaren. Exein Runtime bruger eBPF til at overvåge og blokere ondsindet adfærd på embedded Linux, og Yocto-laget meta-exein, som er open source, lægger dets Pulsar-agent ind i dit image. Exein Analyzer undersøger firmware før release, eller din SBOM, når binærfilen ikke er tilgængelig, rangerer fund med reachability-scoring og LLM-drevet filtrering og knytter dem til CRA-krav.

Bedst til: producenter af embedded Linux, der vil have beskyttelse i marken såvel som firmware-analyse. Overvej, hvis: du er tryg ved at levere en agent på enheden. CRACI vs. Exein

7. Cybeats

Cybeats SBOM Studio er et registreringssystem, der indlæser, administrerer, overvåger og deler SBOM'er på tværs af produkter og leverandører. Det scorer SBOM-kvalitet ved import og deler SBOM'er og VEX med kunder. Til SBOM-generering og binær sammensætningsanalyse henviser Cybeats til leverandører på sin Marketplace, og tilføjelsen RAVEN ræsonnerer om reachability og udarbejder udkast til VEX.

Bedst til: producenter inden for medicinsk udstyr, industri og telekom, der driver et SBOM-program på tværs af mange produkter og leverandører. Overvej, hvis: du har brug for selve analysen; SBOM Studio administrerer SBOM'er, som et andet værktøj har genereret. CRACI vs. Cybeats

Side om side

"NetRise" betyder NetRise Turbine, "Cybellum" betyder Cybellum Product Security Platform, "ReversingLabs" betyder Spectra Assure, og "Cybeats" betyder SBOM Studio. Priser for ReversingLabs er pr. september 2026. "Ikke oplyst" betyder, at funktionen ikke er beskrevet i leverandørens dokumentation, ikke at den mangler.

Til Cyber Resilience Act

NetRise, ONEKEY, Finite State, Cybellum og Exein adresserer alle CRA. Dens rapporteringsforpligtelser har gældt siden 11. september 2026, og dens hovedbestemmelser gælder fra 11. december 2027. En tidlig varsling inden for 24 timer afhænger af, at du hurtigt ved, hvilke releases der indeholder en berørt komponent. For software, du selv bygger, gemmer CRACI build-historikken med hvert builds SBOM, så du kan se, hvilke builds der indeholdt en sårbar afhængighed. Dets API returnerer SBOM'er, netværkstraces og provenance, SBOM'er eksporteres som CycloneDX eller SPDX, og CRACI indsender CRA-underretningerne på dine vegne.

Intet værktøj på denne side gør alene en producent compliant. Se hvad CRA kræver og PSIRT-værktøjer sammenlignet.

Hvornår du skal blive hos NetRise

• Du har brug for SBOM'er for firmware og binærfiler, du køber, såvel som dem, du bygger, inklusive statisk linket kode.
• Du vil have secrets, nøgler, certifikater og fejlkonfigurationer i artefaktet rapporteret ved siden af CVE'er.
• Du er afhængig af reachability via eksekveringsstier til at skære listen over fund ned.
• Du driver operationel teknologi og vil have firmware-synlighed inde i Dragos Platform.

Læs mere om Yocto-builds på CRACI, alternativer til ONEKEY og alternativer til Finite State.

Alternativer til NetRise: ofte stillede spørgsmål

Korte svar på de spørgsmål, teams stiller, når de sammenligner

Hvad er det bedste alternativ til NetRise?

Det afhænger af, hvad du bruger NetRise til. Til firmware-analyse med fund ud over kendte CVE'er og guidede compliance-tjek kan du kigge på ONEKEY. Til firmware, binærfiler, kildekode og SBOM'er fra leverandører i én produktregistrering med reachability kan du kigge på Finite State. Til PSIRT-undersøgelser og VEX- eller CSAF-rapporter oven på binæranalyse kan du kigge på Cybellum. Til tjek for malware og manipulation af en release-pakke kan du kigge på ReversingLabs Spectra Assure. Til beskyttelse på enheden kan du kigge på Exein. Til at administrere SBOM'er på tværs af mange leverandører kan du kigge på Cybeats. Bygger du din egen software i GitHub Actions, registrerer CRACI SBOM'en fra hvert build og overvåger den for sårbarheder.

Sælges NetRise stadig efter Dragos' opkøb?

Dragos annoncerede købet af NetRise og runZero den 21. september 2026 uden at oplyse økonomiske vilkår. Dragos siger, at NetRises ledelse vil integrere det i Dragos Platform og samtidig fortsætte med at betjene eksisterende kunder, og netrise.io præsenterede stadig Turbine, Provenance og ZeroLens i oktober 2026. Spørg NetRise eller Dragos, hvordan det vil blive solgt fremover.

Kan CRACI analysere firmware som NetRise?

Nej. CRACI analyserer hverken binærfiler eller firmware-images, laver ikke reachability-analyse og leder ikke efter secrets eller fejlkonfigurationer i outputtet. Det registrerer, hvad dine egne builds henter, mens de kører på CRACI's GitHub Actions-runnere, inklusive Yocto-builds, og producerer SBOM'en ud fra den registrering. For firmware, du modtager som binærfil, kan du tilføje leverandørens SBOM til CRACI, så dens komponenter overvåges, men uden en SBOM har du brug for et værktøj til binæranalyse.

Hvilke af disse værktøjer hjælper et PSIRT med at finde berørte produkter?

Cybellum beskriver en PSIRT-workbench, der finder ud af, hvilke produkter eller komponenter en ny sårbarhed berører. Finite State og Cybeats fører en registrering på tværs af produkter og leverandører. CRACI viser, hvilke builds der indeholdt en sårbar afhængighed, direkte eller transitiv, og dets inventaroversigt viser, hvilke softwareversioner der er udrullet til hvilke produkter. Værktøjer til binæranalyse som NetRise og ONEKEY fortæller dig, hvad der er inde i firmware, du ikke selv har bygget.

Er en SBOM fra buildet bedre end en fra binæranalyse?

For software, du selv bygger, registrerer en SBOM fra buildet, hvad der indgik, i stedet for at udlede det af outputtet, hvilket er svært for kompileret kode som Rust og C. Binæranalyse er stadig den eneste mulighed for firmware, du ikke selv har bygget. I et sammenligningsbuild af core-image-sato havde CRACI's SBOM alle komponenter fra Yoctos egen SBOM plus 88, som den overså, og en package URL for hver af de 653 Rust crate-versioner, som Yocto lister uden.