PSIRT-værktøjer sammenlignet

Det korte svar

• Firmware fra leverandører som binærfiler: ONEKEY, Finite State, NetRise eller Cybellum. Binæranalyse er måden at se ind i kode, hvis build du aldrig kører.
• Bilindustri, medicinsk eller industrielt udstyr med regulatoriske skabeloner: Cybellum, med skabeloner til FDA PMA, ISO 21434 og EU's CRA.
• Medicinsk udstyr og FDA-indsendelser: Medcrypt, med Helm til SBOM'er og sårbarheder.
• Mange scannere i én kø med et PSIRT-workflow til advisories: DefectDojo, open source med en Pro-udgave.
• Et system of record for SBOM'er fra mange leverandører: Cybeats SBOM Studio.
• Yocto- eller Buildroot-images med kurateret CVE-data: Timesys Vigiles.
• Beskyttelse også på enheden: Exein.
• Et gratis, selvhostet sted at overvåge SBOM'er: OWASP Dependency-Track.
• Software, du bygger i GitHub Actions: CRACI, som registrerer SBOM'en fra hvert build, gemmer alle tidligere builds og overvåger det leverede.

Hvem denne side er til

Du driver eller er ved at opbygge en produktsikkerhedsfunktion og skal vælge værktøjerne bag den. Er du stadig ved at definere rollen, så start med hvad et PSIRT gør. Vi bygger CRACI, så tag det med i vurderingen. Alle påstande om andre produkter kommer fra produktets eget websted eller egen dokumentation, tjekket i oktober 2026, og de fleste leverandører her har en længere CRACI vs X-side.

Hvad et PSIRT-værktøj skal kunne

Arbejdet følger livscyklussen for sårbarhedsstyring, og et PSIRT har brug for støtte i hvert trin:

1. Vid, hvad der leveres. En SBOM pr. produktversion, inklusive transitive afhængigheder og leverandørkomponenter. Alt, hvad der følger, afhænger af, at den er komplet.
2. Opdag nye sårbarheder. Løbende overvågning, der matcher nye advisories mod alle frigivne versioner, ikke kun den næste.
3. Find de berørte produkter. Hvilke produkter, versioner og builds der indeholder komponenten, og hvor længe de gjorde det.
4. Triagér og videresend. Afgør, hvad der betyder noget, og send det til det team, der ejer rettelsen.
5. Sig, hvad der ikke er berørt. VEX registrerer, hvilke produkter en sårbarhed berører, og hvorfor de andre ikke er det.
6. Modtag rapporter, og informér. En kanal til eksterne forskere, sagsstyring og advisories, ofte som maskinlæsbar CSAF.

Intet værktøj nedenfor dækker alle seks lige godt. De fleste er stærkest i de første to eller tre trin, og de adskiller sig mest ved, hvor deres inventar kommer fra.

Sådan vælger du

• Bygger du softwaren, eller modtager du den? Kommer meget af produktet fra chipleverandører og andre leverandører som binærfiler, er binæranalyse måden at se ind i det på. Bygger du det selv, er buildet den mest direkte kilde til inventaret.
• Er produktet reguleret? Medicinsk udstyr, køretøjer og industrielt udstyr kommer med indsendelsesformater og standarder. Nogle værktøjer leveres med skabeloner til dem; andre overlader det til din egen proces.
• Hvor mange scannere kører du allerede? Kommer fund fra mange værktøjer, kan en aggregator, der deduplikerer dem, betyde mere end endnu en kilde til fund.
• Hvor kommer eksterne rapporter ind? Indsendelser fra forskere har som regel brug for deres egen kanal (se nedenfor), uanset hvilket inventarværktøj du vælger.
• Skal det være selvhostet? DefectDojo, Dependency-Track og Medcrypt Enterprise kan køre på din egen infrastruktur, og Cybellum kan køre i dit eget datacenter.

Overblik

To tabeller: først værktøjer bygget op om firmware og enheder, derefter platforme til sårbarhedsstyring og SBOM. "Ikke oplyst" betyder, at de leverandørsider, vi henviser til, ikke siger noget om det. Modtagelse af rapporter, sagsstyring og offentliggørelse af advisories behandles i teksten nedenfor i stedet for i tabellerne.

Firmware og enheder

Platforme til sårbarhedsstyring og SBOM

CRACI

CRACI er en GitHub Actions-runner. Du ændrer runs-on til craci, og mens hvert job kører, registrerer en pakkebevidst proxy, hvad det henter, inklusive pakker gendannet fra CI-caches og afhængigheder, som ingen lockfile angiver. SBOM'en, i CycloneDX eller SPDX, har en fuldstændighedsstatus pr. job og pr. cache. CRACI gemmer alle tidligere builds med deres SBOM, så når en advisory kommer, kan du se, hvilke builds der indeholdt den sårbare afhængighed, direkte eller transitiv, og hvor længe, inden for din opbevaringsperiode. Dets inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt.

Efter buildet genvurderer CRACI løbende overvågede SBOM'er, lader sikkerhedsteams triagere fund og sende hvert enkelt videre til det team, der ejer rettelsen, og understøtter VEX. Policy gates kan blokere et build, der indeholder en bestemt CVE, og en egress-politik begrænser, hvad buildet kan nå. Du kan tilføje leverandørers SBOM'er, så indkøbte komponenter overvåges ved siden af dine egne builds. For aktivt udnyttede sårbarheder indsender CRACI CRA-underretningerne på dine vegne. For Yocto gav et build side om side af core-image-sato en SBOM med alle komponenter i Yoctos egen SBOM plus 88, som den overså. Prisen er kun build-minutter: $0.004 pr. 2 vCPU-minut, målt pr. sekund, uden månedligt gebyr og uden betaling pr. SBOM. Bedst til: PSIRT'er, hvis produkter bygges i GitHub Actions. Vær opmærksom på: Det analyserer ikke binærfiler, så firmware, du ikke selv har bygget, kræver en SBOM fra leverandøren eller et værktøj til binæranalyse; det har ingen reachability-analyse og ingen rapporteksport; og det understøtter GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen. Se CRACI til PSIRT-teams.

Platforme til firmware og enheder

Cybellum

Cybellum er en produktsikkerhedsplatform til enhedsproducenter i bil-, medicinal- og industrimarkederne, majoritetsejet af LG Electronics siden 2021. Dets Cyber Digital Twins bygges ud fra firmware-binærfiler, og det fletter dem med kildekode og leverandørers SBOM'er i SPDX, CycloneDX eller CPE CSV. Det overvåger versioner efter produktion, triagerer med en AI-assistent, VM CoPilot, tilbyder "a workbench for creating and managing investigations" med tickets og deler sårbarhedsstatus via VEX- og CSAF-rapporter. Regulatoriske skabeloner dækker FDA PMA, ISO 21434, EU's CRA og mere end 50 standarder. Det kører i offentlige clouds eller dit eget datacenter. Bedst til: enhedsproducenter, der har brug for binæranalyse og regulatorisk dokumentation på én platform. Vær opmærksom på: Prisen er ikke offentliggjort, og det arbejder ud fra artefakter i stedet for at køre dit build. CRACI vs Cybellum og Alternativer til Cybellum

ONEKEY

ONEKEY analyserer kompileret firmware med "no source code or network access needed." Det genererer en SBOM ud fra binærfilen, importerer leverandørers SBOM'er, leder efter sandsynlige zero-days som hardcodede legitimationsoplysninger og genanalyserer firmware dagligt. Dets Compliance Wizard guider teams gennem CRA, IEC 62443-4-2, ETSI EN 303 645 og Radio Equipment Directive. Bedst til: teams, der integrerer meget leverandørfirmware. Vær opmærksom på: Det arbejder på imaget efter buildet, så det registrerer ikke, hvad buildet hentede. CRACI vs ONEKEY og Alternativer til ONEKEY

Finite State

Finite State analyserer firmware, binærfiler, kildekode og leverandørers SBOM'er med understøttelse af mere end 50 binære instruktionssætarkitekturer og samler dem i én registrering af leveret software med overvågning efter markedsføring. Det rangerer fund efter reachability og exploit-efterretninger, registrerer VEX-beslutninger og kobler kontroller til kravene i CRA og fra FDA. Bedst til: PSIRT'er, der skal prioritere en lang liste af fund på tværs af mange leverandører. Vær opmærksom på: Det starter fra artefakter, så det ligger uden for dets omfang at styre, hvad dit eget build kunne nå. CRACI vs Finite State og Alternativer til Finite State

NetRise

NetRise Turbine producerer "a complete, binary-derived SBOM from the software itself," inklusive statisk linket og indlejret kode, for software, du bygger, køber og kører. Det importerer SPDX- og CycloneDX-SBOM'er, tjekker løbende NVD, CISA KEV og data om trusselsaktører, rangerer fund efter reachability af eksekveringsstier og rapporterer secrets, nøgler og fejlkonfigurationer inde i artefaktet, og det forbinder sig til Jira og ServiceNow. Dragos annoncerede den 21. september 2026, at det havde opkøbt NetRise. Bedst til: operationel teknologi og enhedsflåder, hvis software kommer fra mange leverandører. Vær opmærksom på: Dets sider beskriver ikke VEX, sagsstyring eller offentliggørelse af advisories, og prisen er ikke offentliggjort. CRACI vs NetRise og Alternativer til NetRise

Exein

Exein arbejder både på enheden og før release. Exein Runtime bruger eBPF til at overvåge og blokere ondsindet adfærd på embedded Linux, og open source-Yocto-laget meta-exein sætter dets Pulsar-agent ind i dit image. Exein Analyzer scanner firmware eller din SBOM, når binærfilen ikke er tilgængelig, prioriterer med reachability-scoring og kobler fund til CRA-krav. Bedst til: embedded Linux-produkter, der har brug for beskyttelse i felten. Vær opmærksom på: Yocto-laget ændrer, hvad der kører på enheden; det kører eller registrerer ikke dit build. CRACI vs Exein

Timesys Vigiles

Vigiles, der nu sælges af Lynx Software Technologies, gør metadata fra et Yocto-, Buildroot- eller OpenWrt-build til en SBOM og matcher den mod en kurateret CVE-database. Konfigurationsfiltre til kernen og U-Boot fjerner CVE'er i funktioner, du ikke bygger, triage-beslutninger (affected, fixed, deferred, not exploitable) gemmes pr. release, CISA KEV-poster fremhæves, og det eksporterer SBOM'er, VEX og sårbarhedsrapporter. Bedst til: embedded Linux-teams, der vil have mindre CVE-støj. Vær opmærksom på: Dets SBOM afspejler, hvad BitBakes metadata siger går ind i imaget, ikke alt, hvad buildet hentede. CRACI vs Timesys Vigiles

Platforme til sårbarhedsstyring og SBOM

DefectDojo

DefectDojo er et OWASP Flagship-projekt med en kommerciel Pro-udgave. Den gratis Community Edition deduplikerer fund fra de scannere, du allerede kører, mere end 500 understøttede værktøjer efter dets egen optælling, i én kø med ejere, SLA'er og Jira-tickets. Pro tilføjer SBOM-import i CycloneDX og SPDX, CycloneDX VEX-eksport og en PSIRT Advisory Engine, der indlæser advisories fra mere end 20 feeds, matcher dem mod SBOM-data, samler dem i sager med ejere og offentliggør brandede PDF-advisories. Dets release fra september 2026 tilføjede eksport af CSAF 2.0- og VEX-advisories og en brugerflade til rapportering efter CRA artikel 14. Pro starter ved $100 pr. måned plus $0.15 pr. behandlet fund. Bedst til: PSIRT'er, der vil have et open source-grundlag og et workflow til advisories. Vær opmærksom på: Det genererer ikke selv SBOM'er, så inventaret er kun så komplet som det, du uploader. CRACI vs DefectDojo og Alternativer til DefectDojo

Medcrypt

Medcrypt hjælper producenter af medicinsk udstyr med at få deres cybersikkerhedsindsendelse gennem FDA's vurdering med et team, der omfatter tidligere FDA-reviewere. Dets produkt Helm importerer CycloneDX- eller SPDX-SBOM'er via API, GitHub Action eller Azure DevOps, overvåger dem løbende, rangerer fund med EPSS, CISA KEV og exploit-data og eksporterer CycloneDX VEX- og VDR-rapporter. MSI, som omfatter Helm, koster $35,000 pr. produktlinje pr. år, og dets MedISAO-medlemskab giver et program for koordineret offentliggørelse af sårbarheder. Bedst til: producenter af medicinsk udstyr, der forbereder eller vedligeholder FDA-indsendelser. Vær opmærksom på: Det indlæser SBOM'er i stedet for at producere dem (et genereringsværktøj fås efter aftale), og dets prisside siger, at det er FDA, platformen dækker i dag. CRACI vs Medcrypt

Cybeats

Cybeats SBOM Studio kalder sig "the SBOM system of record." Det gemmer SBOM'er fra dine produkter og leverandører i SPDX 2.2 til 3.0.1 og CycloneDX 1.2 til 1.7, scorer deres kvalitet før import, matcher løbende hver komponent mod sårbarhedsefterretninger, udsteder VEX og deler SBOM'er med kunder, også via Transparency Exchange API. Bedst til: produktsikkerhedsteams inden for ICS, medicinsk udstyr, telekommunikation og bilindustrien, der driver et SBOM-program på tværs af mange leverandører. Vær opmærksom på: Til generering henviser det til leverandører i sit Marketplace, så selve SBOM'en kommer fra et andet værktøj. CRACI vs Cybeats og Alternativer til Cybeats

Open source-muligheden: Dependency-Track

OWASP Dependency-Track er en Apache 2.0-platform, der sporer komponenter på tværs af hver version af hver applikation, henter sårbarhedsdata fra kilder som NVD og GitHub Advisories, anvender sikkerheds-, licens- og driftspolitikker og både læser og producerer CycloneDX VEX. Pipelines uploader SBOM'er via dets API. Det er gratis, og du hoster og driver det selv. Bedst til: teams, der vil have en gennemsigtig, selvhostet analyseplatform. Vær opmærksom på: Det genererer ikke SBOM'er, så resultaterne afhænger af den generator, du kører før det. CRACI vs Dependency-Track og Alternativer til Dependency-Track

Modtagelse af rapporter, sager og advisories

Tabellerne ovenfor stopper ved triage og VEX. Resten af et PSIRT's arbejde, at modtage rapporter og informere, er dækket ujævnt:

• Rapporter fra eksterne forskere. De kommer som regel gennem et program for offentliggørelse af sårbarheder. Mange virksomheder driver et på en platform som HackerOne Response eller Bugcrowds VDP, som giver forskere en kanal til at indsende rapporter og hjælper med at triagere dem. Andre offentliggør selv en politik og en sikkerhedskontakt. Vores guide til koordineret offentliggørelse af sårbarheder dækker politikken, security.txt og tidsfristerne.
• Sagsstyring. Cybellum har en arbejdsbænk til undersøgelser med tickets. DefectDojo Pro samler matchede advisories i sager med ejere og SLA-sporing. Ingen af dem siger, at de hoster indsendelser fra forskere.
• Advisories. DefectDojo Pro offentliggør brandede PDF-advisories og eksporterer CSAF 2.0. Cybellum deler sårbarhedsstatus via VEX- og CSAF-rapporter. Medcrypts MedISAO-medlemskab omfatter et program for koordineret offentliggørelse af sårbarheder.

Hvor CRACI passer ind

Det første spørgsmål i enhver PSIRT-sag er, hvilke produkter og versioner der indeholder den sårbare komponent. Binæranalyse besvarer det ud fra det, der blev leveret, SBOM-platforme ud fra de SBOM'er, du giver dem, og aggregatorer ud fra det, andre scannere rapporterer. CRACI besvarer det ud fra en registrering af, hvad dine egne builds faktisk hentede, gemt for alle tidligere builds. For software, du bygger i GitHub Actions, dækker det inventaret, overvågningen, triage og VEX i ét produkt, så en separat SBOM-manager som Dependency-Track eller Cybeats ikke er nødvendig for de builds.

Andre værktøjer vinder andre steder. Binæranalyse fra Cybellum, ONEKEY, Finite State eller NetRise ser ind i firmware, du ikke selv har bygget. Cybellum og Medcrypt bringer regulatoriske skabeloner og ekspertise i indsendelser. DefectDojo samler fund fra hundredvis af scannere og offentliggør advisories. Finite State, NetRise og Exein rangerer fund efter reachability, hvilket CRACI ikke tilbyder. Læs hvad et PSIRT gør og CRACI til PSIRT-teams, eller sammenlign værktøjer til CRA-compliance og SBOM-værktøjer.

PSIRT-værktøjer: ofte stillede spørgsmål

Hvad er et PSIRT-værktøj?

Software, der hjælper et product security incident response team med sit arbejde: at vide, hvilke komponenter der leveres i hver produktversion, opdage, når en ny sårbarhed påvirker dem, triagere den, sende rettelsen videre, registrere, hvilke produkter der ikke er berørt, og informere kunder og myndigheder. Få produkter dækker det hele. De fleste PSIRT'er kombinerer et værktøj til inventar og overvågning med en kanal til eksterne rapporter og en måde at offentliggøre advisories på.

Hvilket PSIRT-værktøj er bedst til firmware, vi modtager som binærfiler?

Et værktøj til binæranalyse. Cybellum, ONEKEY, Finite State og NetRise bygger en SBOM ud fra selve den kompilerede firmware, så de kan se ind i leverandørkode, hvis build du aldrig kører. Exein Analyzer scanner også firmware før release. CRACI analyserer ikke binærfiler; for leverandørfirmware kan det overvåge leverandørens SBOM, hvis leverandøren stiller en til rådighed.

Hvilket PSIRT-værktøj passer til software, vi selv bygger?

Kører dine builds i GitHub Actions, registrerer CRACI SBOM'en fra hvert build, mens det kører, gemmer alle tidligere builds med deres SBOM, genvurderer overvågede SBOM'er, når der kommer advisories, og viser, hvilke builds der indeholdt en sårbar afhængighed, og hvilke softwareversioner der er udrullet til hvilke produkter. GitLab CI og Jenkins er på dets roadmap. Til Yocto-images bygger Timesys Vigiles en SBOM ud fra BitBake-metadata i stedet for at registrere buildet.

Findes der et gratis eller open source PSIRT-værktøj?

To af værktøjerne her har gratis udgaver. DefectDojo Community Edition er gratis under BSD 3-Clause-licensen og deduplikerer fund fra hundredvis af scannere i én kø; dets PSIRT Advisory Engine, SBOM-import og CSAF-eksport er i DefectDojo Pro. OWASP Dependency-Track er gratis under Apache 2.0 og overvåger de SBOM'er, du uploader. Du hoster og driver begge selv.

Modtager PSIRT-værktøjer rapporter fra eksterne forskere?

Rapporter fra forskere kommer som regel gennem et program for offentliggørelse af sårbarheder, ofte drevet på en platform som HackerOne eller Bugcrowd, eller gennem en offentliggjort sikkerhedskontakt. DefectDojo Pro indlæser advisories fra offentlige feeds, og Cybellum tilbyder en arbejdsbænk til undersøgelser, men ingen af dem siger, at de hoster indsendelser fra forskere.

Hvilke værktøjer offentliggør CSAF-advisories?

DefectDojo Pro tilføjede eksport af CSAF 2.0- og VEX-advisories i september 2026 og offentliggør brandede PDF-advisories. Cybellum deler sårbarhedsstatus via VEX- og CSAF-rapporter. De øvrige leverandører på denne side beskriver ikke offentliggørelse af CSAF-advisories på de sider, vi henviser til.

Kræver CRA et PSIRT-værktøj?

Der kræves intet værktøj. Cyber Resilience Act beder producenter om at håndtere sårbarheder gennem hele supportperioden, have en politik for koordineret offentliggørelse af sårbarheder og en kontakt til rapporter og, siden den 11. september 2026, rapportere aktivt udnyttede sårbarheder inden for 24 timer, 72 timer og 14 dage. CRACI indsender disse underretninger på producentens vegne, og DefectDojo Pro har en brugerflade til rapportering efter CRA artikel 14. Forpligtelsen forbliver hos producenten.