NetRise-Alternativen

Wir entwickeln CRACI, bitte berücksichtigen Sie das; wir beschreiben jede Option anhand ihrer eigenen Dokumentation und sagen, wann ein anderes Tool besser passt.

Warum Teams Alternativen zu NetRise prüfen

NetRise Turbine erzeugt für Firmware, Container-Images und Anwendungs-Binärdateien eine vollständige, aus den Binärdateien abgeleitete SBOM aus der Software selbst, einschließlich statisch gelinkter und eingebetteter Abhängigkeiten. Es meldet Secrets, Schlüssel, Zertifikate, Fehlkonfigurationen und Lizenzprobleme, die mit dem Artefakt ausgeliefert werden, stuft Schwachstellen danach ein, ob ein Ausführungspfad sie erreicht, und importiert und exportiert SPDX und CycloneDX. NetRise Provenance prüft Herkunft und Zustand von Open-Source-Komponenten, und ZeroLens sucht nach Schwächen in kompilierter Software. Am 21. September 2026 gab Dragos bekannt, NetRise übernommen zu haben und in die Dragos Platform zu integrieren.

Teams vergleichen trotzdem Alternativen, meist aus einem dieser Gründe:

• Die Übernahme. Dragos holt NetRise in seine Plattform für Betreiber kritischer Infrastruktur. Gerätehersteller außerhalb dieses Marktes möchten vielleicht einen Anbieter, dessen Roadmap auf sie ausgerichtet ist.
• Der Großteil der Software stammt von ihnen selbst. Die Analyse einer Binärdatei arbeitet vom Ergebnis aus rückwärts. Ein Team, das seine eigenen Images baut, kann stattdessen aufzeichnen, was hineingeflossen ist.
• Ein PSIRT-Workflow. Die Website von NetRise beschreibt weder VEX noch Advisories oder PSIRT-Untersuchungen. Manche Teams möchten das im selben Tool wie die Analyse haben.
• Preise. NetRise veröffentlicht keine Preise.

Worauf ein PSIRT achten sollte

Ein PSIRT ist für jedes Produkt zuständig, das das Unternehmen ausliefert. Das Tool dahinter sollte helfen bei:

• einem Inventar dessen, was ausgeliefert wird, einschließlich Firmware von Dritten, die Sie nie gebaut haben.
• der Frage, wie die SBOM entsteht und ob das Tool Ihnen sagt, wann sie unvollständig ist.
• dem schnellen Auffinden der betroffenen Produkte und Releases, wenn eine Schwachstelle bekannt wird.
• der Überwachung nach dem Release, wenn neue Advisories für bereits ausgelieferte Komponenten erscheinen.
• Triage, Priorisierung und VEX, damit Sie sagen können, welche Produkte nicht betroffen sind.
• CI-Abdeckung, Hosting-Optionen und der Frage, wie die Preise skalieren.

Die Optionen

1. CRACI (unser Produkt)

CRACI ist ein GitHub-Actions-Runner, der die SBOM erzeugt, während der Build läuft. Es richtet sich an Teams, die ihre eigene Firmware und Software bauen. Ein paketbewusster Proxy zeichnet auf, was jeder Job von Paket- und Quellen-Hosts lädt, einschließlich der aus CI-Caches wiederhergestellten Pakete, und jede SBOM gibt ihre Vollständigkeit pro Job und pro Cache an. Yocto-Builds laufen auf Runnern mit bis zu 32 vCPUs und 96 GB RAM: In einem direkten Vergleich mit einem Build von core-image-sato enthielt die SBOM von CRACI jede Komponente aus Yoctos eigener SBOM plus 88, die dort fehlten, etwa Host-Pakete und GitHub Actions, und eine Package-URL für jede der 653 Rust-Crate-Versionen, die Yocto ohne eine solche auflistet.

CRACI bewertet überwachte SBOMs fortlaufend neu, zeigt, welche Builds eine verwundbare Abhängigkeit enthielten und welche Softwareversionen in welchen Produkten im Einsatz sind, unterstützt VEX und lässt Sicherheitsteams Befunde sichten und jeden an das Team weiterleiten, das für den Fix zuständig ist. Sie können Hersteller-SBOMs hinzufügen, sodass zugekaufte Komponenten neben Ihren eigenen Builds überwacht werden. Weil CRACI den Job ausführt, setzt es außerdem eine Egress-Richtlinie durch, die im Zweifel blockiert (fail closed).

Ideal für: Gerätehersteller und Softwareteams, die auf GitHub Actions bauen und Build, SBOM und Schwachstellenverfolgung an einem Ort wollen. Sinnvoll, wenn: Sie ohne Binäranalyse, Erreichbarkeit und Secrets-Befunde im Ergebnis auskommen, die CRACI alle nicht bietet; in Firmware, die Sie nicht gebaut haben, kann es nicht hineinsehen. Es unterstützt nur GitHub Actions; GitLab CI und Jenkins sind auf der Roadmap. Siehe CRACI für PSIRT-Teams und CRACI vs. NetRise.

2. ONEKEY

ONEKEY analysiert kompilierte Firmware, ohne dass Quellcode oder Netzwerkzugang nötig sind. Es erzeugt eine SBOM aus der Binärdatei, importiert Lieferanten-SBOMs, exportiert CycloneDX und SPDX, sucht nach wahrscheinlichen Zero-Days wie fest codierten Zugangsdaten und analysiert Firmware täglich neu. Sein Compliance Wizard führt Teams durch den CRA, IEC 62443-4-2, ETSI EN 303 645 und die Funkanlagenrichtlinie.

Ideal für: Gerätehersteller, die Firmware-Images prüfen, die sie nicht gebaut haben, mit geführten Prüfungen gegen Standards. Sinnvoll, wenn: Sie Befunde über bekannte CVEs hinaus von einem Anbieter wollen, der auf vernetzte Produkte spezialisiert ist. CRACI vs. ONEKEY

3. Finite State

Finite State analysiert Firmware, Binärdateien, Quellcode und Lieferanten-SBOMs, mit Unterstützung für mehr als 50 Binär-Befehlssatzarchitekturen, und führt sie in einem Produktdatensatz zusammen. Es stuft Befunde nach Erreichbarkeit, Exploit-Informationen und Produktkontext ein und zeichnet VEX-Entscheidungen auf, und sein Compliance-Workflow umfasst CRA-Control-Mapping und auditfähige Berichte mit SBOM- und VEX-Artefakten. Prüfungen bindet es in GitHub Actions, GitLab CI und Jenkins ein.

Ideal für: Hersteller vernetzter Geräte, die Firmware von vielen Lieferanten analysieren müssen und VEX-Entscheidungen am selben Ort wollen. Sinnvoll, wenn: Sie eine Plattform über Quellcode, Binärdateien und Lieferanten-SBOMs hinweg wollen. CRACI vs. Finite State

4. Cybellum

Die Product Security Platform von Cybellum erstellt SBOMs, indem sie Daten aus Binärscannern, Quellcode und externen SBOM-Quellen in den Formaten SPDX, CycloneDX oder CPEs CSV zusammenführt. Das Schwachstellenmanagement sichtet und priorisiert Befunde und kann VEX-Berichte erstellen. Für die PSIRT-Arbeit ermittelt die Plattform, welche Produkte oder Komponenten eine neue Schwachstelle betrifft, teilt den Schwachstellenstatus über VEX/CSAF-Berichte und bietet eine Workbench zum Anlegen und Verwalten von Untersuchungen. Außerdem deckt sie Compliance mit FDA-Anforderungen, ISO 21434 und dem CRA ab.

Ideal für: Hersteller aus Automobil, Medizintechnik und Industrie, die SBOMs, Schwachstellenmanagement und PSIRT-Untersuchungen auf einer Plattform wollen. Sinnvoll, wenn: Ihnen der PSIRT-Workflow wichtiger ist als ein eigenständiger Binärscanner. Cybellum veröffentlicht keine Preise.

5. ReversingLabs Spectra Assure

Spectra Assure analysiert kompilierte Softwarepakete ohne Quellcode auf Malware, Manipulation, offengelegte Secrets und Schwachstellen und erzeugt aus den Ergebnissen CycloneDX- und SPDX-SBOMs. Die differenzielle Analyse vergleicht Versionen und kennzeichnet verdächtige Änderungen zwischen Releases. Die CLI rl-secure läuft On-Premises und im CI.

Ideal für: ein Release-Gate gegen Malware und Manipulation an dem Paket, das Sie ausliefern, oder an kommerzieller Software vor dem Deployment. Sinnvoll, wenn: eher Geräte-Firmware als Softwarepakete Ihr Hauptziel ist. Community ist kostenlos und Community+ kostet $500 pro Monat (Stand September 2026). CRACI vs. ReversingLabs

6. Exein

Exein arbeitet auf dem Gerät und an der Firmware. Exein Runtime nutzt eBPF, um bösartiges Verhalten auf Embedded Linux zu überwachen und zu blockieren, und der Open-Source-Yocto-Layer meta-exein bringt seinen Pulsar-Agenten in Ihr Image. Exein Analyzer prüft Firmware vor dem Release oder Ihre SBOM, wenn die Binärdatei nicht verfügbar ist, stuft Befunde mit Erreichbarkeits-Scoring und LLM-gestützter Filterung ein und ordnet sie den CRA-Anforderungen zu.

Ideal für: Hersteller von Embedded-Linux-Geräten, die Schutz im Feld und Firmware-Analyse wollen. Sinnvoll, wenn: es für Sie in Ordnung ist, einen Agenten auf dem Gerät auszuliefern. CRACI vs. Exein

7. Cybeats

Cybeats SBOM Studio ist ein System of Record, das SBOMs über Produkte und Lieferanten hinweg aufnimmt, verwaltet, überwacht und teilt. Es bewertet die SBOM-Qualität beim Import und teilt SBOMs und VEX mit Kunden. Für SBOM-Generierung und binäre Kompositionsanalyse verweist Cybeats auf Anbieter in seinem Marketplace, und das Add-on RAVEN bewertet Erreichbarkeit und entwirft VEX.

Ideal für: Hersteller aus Medizin, Industrie und Telekommunikation, die ein SBOM-Programm über viele Produkte und Lieferanten betreiben. Sinnvoll, wenn: Sie die Analyse selbst brauchen; SBOM Studio verwaltet SBOMs, die ein anderes Tool erzeugt hat. CRACI vs. Cybeats

Im direkten Vergleich

„NetRise“ steht für NetRise Turbine, „Cybellum“ für die Cybellum Product Security Platform, „ReversingLabs“ für Spectra Assure und „Cybeats“ für SBOM Studio. Die Preise von ReversingLabs haben den Stand September 2026. „Keine Angabe“ bedeutet, dass die Funktion in der Dokumentation des Anbieters nicht beschrieben ist, nicht dass sie fehlt.

Für den Cyber Resilience Act

NetRise, ONEKEY, Finite State, Cybellum und Exein gehen alle auf den CRA ein. Seine Meldepflichten gelten seit dem 11. September 2026, seine wesentlichen Bestimmungen ab dem 11. Dezember 2027. Eine Frühwarnung innerhalb von 24 Stunden hängt davon ab, schnell zu wissen, welche Releases eine betroffene Komponente enthalten. Für Software, die Sie bauen, bewahrt CRACI die Build-Historie mit der SBOM jedes Builds auf, sodass Sie sehen können, welche Builds eine verwundbare Abhängigkeit enthielten. Seine API liefert SBOMs, Netzwerk-Traces und Provenienz, SBOMs lassen sich als CycloneDX oder SPDX exportieren, und CRACI reicht die CRA-Meldungen in Ihrem Auftrag ein.

Kein Tool auf dieser Seite macht einen Hersteller allein konform. Siehe was der CRA verlangt und PSIRT-Tools im Vergleich.

Wann Sie bei NetRise bleiben sollten

• Sie brauchen SBOMs für Firmware und Binärdateien, die Sie zukaufen, ebenso wie für die, die Sie bauen, einschließlich statisch gelinkten Codes.
• Sie möchten Secrets, Schlüssel, Zertifikate und Fehlkonfigurationen im Artefakt neben CVEs gemeldet bekommen.
• Sie sind auf Erreichbarkeit über Ausführungspfade angewiesen, um die Liste der Befunde zu kürzen.
• Sie betreiben Operational Technology und möchten Firmware-Transparenz innerhalb der Dragos Platform.

Mehr dazu unter Yocto-Builds auf CRACI, ONEKEY-Alternativen und Finite-State-Alternativen.

NetRise-Alternativen: FAQ

Kurze Antworten auf die Fragen, die Teams beim Vergleichen stellen

Was ist die beste Alternative zu NetRise?

Das hängt davon ab, wofür Sie NetRise einsetzen. Für Firmware-Analyse mit Befunden über bekannte CVEs hinaus und geführte Compliance-Prüfungen sehen Sie sich ONEKEY an. Für Firmware, Binärdateien, Quellcode und Lieferanten-SBOMs in einem Produktdatensatz mit Erreichbarkeit Finite State. Für PSIRT-Untersuchungen und VEX- oder CSAF-Berichte zusätzlich zur Binäranalyse Cybellum. Für Malware- und Manipulationsprüfungen an einem Release-Paket ReversingLabs Spectra Assure. Für Schutz auf dem Gerät Exein. Um SBOMs über viele Lieferanten hinweg zu verwalten, Cybeats. Wenn Sie Ihre eigene Software in GitHub Actions bauen, zeichnet CRACI die SBOM aus jedem Build auf und überwacht sie auf Schwachstellen.

Wird NetRise nach der Übernahme durch Dragos noch verkauft?

Dragos hat die Übernahme von NetRise und runZero am 21. September 2026 bekannt gegeben, ohne finanzielle Bedingungen zu nennen. Laut Dragos wird die Führung von NetRise das Produkt in die Dragos Platform integrieren und zugleich bestehende Kunden weiter betreuen, und netrise.io stellte im Oktober 2026 weiterhin Turbine, Provenance und ZeroLens vor. Fragen Sie NetRise oder Dragos, wie es künftig verkauft wird.

Kann CRACI Firmware analysieren wie NetRise?

Nein. CRACI analysiert keine Binärdateien oder Firmware-Images, bietet keine Erreichbarkeitsanalyse und sucht im Ergebnis nicht nach Secrets oder Fehlkonfigurationen. Es zeichnet auf, was Ihre eigenen Builds laden, während sie auf den GitHub-Actions-Runnern von CRACI laufen, einschließlich Yocto-Builds, und erzeugt daraus die SBOM. Für Firmware, die Sie als Binärdatei erhalten, können Sie die SBOM des Herstellers zu CRACI hinzufügen, damit ihre Komponenten überwacht werden, aber ohne SBOM brauchen Sie ein Tool für Binäranalyse.

Welche dieser Tools helfen einem PSIRT, betroffene Produkte zu finden?

Cybellum beschreibt eine PSIRT-Workbench, die ermittelt, welche Produkte oder Komponenten eine neue Schwachstelle betrifft. Finite State und Cybeats führen einen Datenbestand über Produkte und Lieferanten hinweg. CRACI zeigt, welche Builds eine verwundbare Abhängigkeit enthielten, direkt oder transitiv, und seine Inventaransicht zeigt, welche Softwareversionen in welchen Produkten im Einsatz sind. Tools für Binäranalyse wie NetRise und ONEKEY sagen Ihnen, was in Firmware steckt, die Sie nicht gebaut haben.

Ist eine Build-SBOM besser als eine aus der Binäranalyse?

Bei Software, die Sie selbst bauen, zeichnet eine Build-SBOM auf, was hineingeflossen ist, statt es aus dem Ergebnis abzuleiten, was bei kompiliertem Code wie Rust und C schwierig ist. Für Firmware, die Sie nicht gebaut haben, bleibt Binäranalyse die einzige Option. In einem direkten Vergleich mit einem core-image-sato-Build enthielt die SBOM von CRACI jede Komponente aus Yoctos eigener SBOM plus 88, die dort fehlten, und eine Package-URL für jede der 653 Rust-Crate-Versionen, die Yocto ohne eine solche auflistet.