Alternativas a Cybellum

Nosotros desarrollamos CRACI, así que téngalo en cuenta; describimos cada opción a partir de su propia documentación e indicamos cuándo encaja mejor otra herramienta.

Por qué los equipos buscan más allá de Cybellum

Cybellum es una plataforma de seguridad de producto para fabricantes de dispositivos de los mercados de automoción, médico e industrial. Sus Cyber Digital Twins "se pueden extraer de los archivos binarios de cualquier producto o componente", y la plataforma los combina con código fuente y SBOM "en formatos SPDX, CycloneDX o CSV de CPE". Monitoriza versiones y ramas posteriores a la producción, clasifica con un asistente de IA, muestra "qué productos o componentes se ven afectados por una nueva vulnerabilidad o normativa", ofrece a un PSIRT "un banco de trabajo para crear y gestionar investigaciones" y comparte el estado "mediante informes VEX/CSAF". Sus plantillas normativas cubren FDA PMA, ISO 21434 y el CRA de la UE. LG Electronics adquirió una participación mayoritaria en 2021.

Aun así, los equipos comparan alternativas, normalmente por uno de estos motivos:

• La mayor parte del software es suyo. Analizar un binario es trabajar hacia atrás desde el resultado. Un equipo que compila su propio software y sus imágenes puede registrar en su lugar lo que entró en ellos.
• Una tarea más acotada. Algunos equipos solo necesitan análisis de firmware, solo un sistema de registro de SBOM o solo la recepción de avisos y la gestión de casos, y no una plataforma completa de seguridad de producto.
• Encaje con el sector. Las plantillas de Cybellum se inclinan hacia la normativa de automoción y médica; algunos equipos quieren una herramienta pensada para un sector concreto, o una que no lo esté.
• Precios y alojamiento. Cybellum no publica precios, y algunos equipos quieren una base de código abierto que operen ellos mismos.

Qué debe tener en cuenta un PSIRT

• Un inventario de lo que se distribuye: si sale del binario, de las SBOM que le facilitan o del build.
• Productos y versiones afectados: con qué rapidez responde la herramienta a "¿dónde distribuimos este componente?".
• La monitorización después del lanzamiento, y qué fuentes de vulnerabilidades vigila.
• Clasificación: señales de explotabilidad, VEX y el envío de cada hallazgo al equipo responsable de la corrección.
• Avisos e informes: qué puede publicar para sus clientes, y las evidencias que pide el Cyber Resilience Act.
• Cobertura de CI, opciones de alojamiento y cómo escalan los precios.

Para el proceso en sí, consulte qué hace un PSIRT y la comparativa de herramientas de PSIRT.

Las opciones

1. CRACI (nuestro producto)

CRACI es un runner de GitHub Actions que genera la SBOM mientras se ejecuta el build. Está pensado para equipos que compilan su propio software y firmware. Un proxy que entiende de paquetes registra lo que descarga cada job de los servidores de paquetes y de código fuente, incluidos los paquetes restaurados desde cachés de CI, y cada SBOM indica su completitud por job y por caché. Los builds de Yocto se ejecutan en runners de hasta 32 vCPU y 96 GB de RAM: en un build comparativo de core-image-sato, la SBOM de CRACI contenía todos los componentes de la propia SBOM de Yocto y 88 más que esta no recogía, como paquetes del host y GitHub Actions, además de una package URL para cada una de las 653 versiones de crates de Rust que Yocto lista sin ella.

Para un PSIRT, CRACI conserva cada build anterior con su SBOM, de modo que puede ver qué builds contenían una dependencia vulnerable y durante cuánto tiempo, y su vista de inventario muestra qué versiones de software están desplegadas en qué productos. Reevalúa de forma continua las SBOM monitorizadas, es compatible con VEX y permite a los equipos de seguridad clasificar los hallazgos y enviar cada uno al equipo responsable de la corrección. Puede añadir SBOM de proveedores, de modo que los componentes comprados se monitorizan junto con sus propios builds. Como CRACI ejecuta el job, también aplica una política de egress que, si falla, bloquea (fail closed).

Ideal para: fabricantes que compilan su propio software y sus imágenes en GitHub Actions y quieren el build, la SBOM y el seguimiento de vulnerabilidades en un solo lugar. Valórelo si: puede prescindir del análisis de binarios, los hallazgos de día cero, la alcanzabilidad y las comprobaciones guiadas frente a normas, nada de lo cual tiene CRACI; tampoco puede ver el interior del firmware que usted no ha compilado. Solo es compatible con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta. CRACI frente a Cybellum

2. ONEKEY

ONEKEY analiza firmware compilado "sin necesidad de código fuente ni acceso a la red". Genera una SBOM a partir del binario, importa SBOM de proveedores, exporta CycloneDX y SPDX, busca probables vulnerabilidades de día cero, como credenciales incrustadas en el código, y vuelve a analizar el firmware a diario. Su Compliance Wizard guía a los equipos por el CRA, la IEC 62443-4-2, la ETSI EN 303 645 y la Radio Equipment Directive.

Ideal para: fabricantes de dispositivos que revisan imágenes de firmware que no han compilado, con comprobaciones guiadas frente a normas. Valórelo si: quiere el análisis de imágenes sin las plantillas normativas de automoción y médicas. CRACI frente a ONEKEY

3. Finite State

Finite State analiza firmware, binarios, código fuente y SBOM de proveedores, con "compatibilidad con más de 50 arquitecturas de juegos de instrucciones de binarios", y lo reúne todo en un único registro de producto. Ordena los hallazgos por alcanzabilidad, inteligencia de explotación y contexto del producto, registra las decisiones VEX, y su flujo de trabajo de cumplimiento cubre la correspondencia de controles del CRA e informes listos para auditoría con artefactos SBOM y VEX. Integra comprobaciones en GitHub Actions, GitLab CI y Jenkins.

Ideal para: fabricantes de dispositivos conectados que necesitan analizar firmware de muchos proveedores, con menos ruido de hallazgos no alcanzables. Valórelo si: la alcanzabilidad es la señal con la que clasifica su PSIRT. CRACI frente a Finite State

4. NetRise

NetRise Turbine analiza código compilado "para crear SBOM precisas y descubrir el riesgo dentro del software que realmente se ejecuta" en los dispositivos, y prioriza las vulnerabilidades por alcanzabilidad y explotabilidad. NetRise Provenance examina el origen, los mantenedores y la salud de los repositorios de los componentes de código abierto. Dragos adquirió NetRise el 21 de septiembre de 2026 y lo orienta a flotas de tecnología operativa (OT).

Ideal para: equipos de seguridad de producto, riesgo de terceros y respuesta a incidentes, sobre todo en la industria y en infraestructuras críticas, que necesitan saber qué se ejecuta en los dispositivos. Valórelo si: le sirve comprar mediante presupuesto; NetRise no publica precios y forma parte de Dragos desde septiembre de 2026.

5. Cybeats

Cybeats SBOM Studio es un sistema de registro que ingiere, gestiona, monitoriza y comparte SBOM entre productos y proveedores. Puntúa la calidad de las SBOM al importarlas y comparte SBOM y VEX con los clientes. Para la generación de SBOM y el análisis de composición de binarios, Cybeats remite a proveedores de su Marketplace, y su complemento RAVEN razona sobre la alcanzabilidad y redacta VEX.

Ideal para: fabricantes de los sectores médico, industrial y de telecomunicaciones que gestionan un programa de SBOM en muchos productos y proveedores. Valórelo si: ya tiene una forma de generar SBOM; SBOM Studio gestiona SBOM que generó otra herramienta. CRACI frente a Cybeats

6. Medcrypt

Medcrypt se centra en los fabricantes de dispositivos médicos. Su producto Helm se encarga de la gestión de SBOM y de vulnerabilidades: usted "sube o crea manualmente SBOM (CycloneDX o SPDX)" o conecta Helm a su pipeline a través de su API, su GitHub Action o su integración con Azure DevOps. Helm usa EPSS, CISA KEV, ExploitDB y Metasploit para clasificar las vulnerabilidades, las vuelve a puntuar a medida que llegan datos de corrección y exporta SBOM, VDR y VEX. Medcrypt también ofrece servicios como la revisión del modelado de amenazas y ayuda con las solicitudes ante la FDA.

Ideal para: fabricantes de dispositivos médicos que preparan solicitudes de precomercialización ante la FDA y gestionan las vulnerabilidades poscomercialización. Valórelo si: sus productos no son dispositivos médicos, o necesita análisis de binarios, que Medcrypt no describe.

7. DefectDojo

DefectDojo es una plataforma de gestión de vulnerabilidades de código abierto que ingiere hallazgos de "más de 500 integraciones", los deduplica y hace el seguimiento de la corrección. Su PSIRT Advisory Engine, que forma parte de DefectDojo Pro, recibe avisos de CISA, NVD, EUVD y más de una docena de fuentes más, los coteja con sus datos de SBOM, los puntúa con CVSS, EPSS y KEV, agrupa las coincidencias en casos con responsables y genera avisos en PDF con su marca. Pro se ejecuta en la nube o autoalojado.

Ideal para: PSIRT que quieren la recepción de avisos, la gestión de casos y el seguimiento de SLA sobre una base de gestión de vulnerabilidades de código abierto. Valórelo si: ya tiene SBOM con las que cotejar; DefectDojo no las genera ni analiza binarios. La Community Edition es gratuita; Pro cuesta $100 al mes más 15 céntimos por hallazgo (a octubre de 2026).

8. Exein

Exein trabaja en el dispositivo y en el firmware. Exein Runtime usa eBPF para monitorizar y bloquear comportamientos maliciosos en Linux embebido, y la capa de Yocto de código abierto meta-exein incorpora su agente Pulsar a su imagen. Exein Analyzer inspecciona el firmware antes del lanzamiento, o su SBOM cuando el binario no está disponible, clasifica los hallazgos con puntuación de alcanzabilidad y filtrado basado en LLM, y los asigna a los requisitos del CRA.

Ideal para: fabricantes de dispositivos con Linux embebido que quieren protección sobre el terreno además de análisis de firmware. Valórelo si: no le importa distribuir un agente en el dispositivo. CRACI frente a Exein

9. Timesys Vigiles

Vigiles, que ahora vende Lynx Software Technologies, convierte los metadatos de un build de Yocto o Buildroot en una SBOM y la coteja con una base de datos de CVE seleccionada. Los equipos registran si cada CVE está afectado, corregido, aplazado o no es explotable, Vigiles conserva esas decisiones por versión y exporta SBOM junto con VEX e informes de vulnerabilidades.

Ideal para: equipos de Linux embebido que quieren menos ruido de CVE en imágenes de Yocto y Buildroot. Valórelo si: sus productos no se basan en Linux embebido. CRACI frente a Timesys Vigiles

Lado a lado

"Medcrypt Helm" se refiere al producto de gestión de SBOM y vulnerabilidades de Medcrypt, "NetRise" a NetRise Turbine y "Cybeats" a SBOM Studio. Timesys Vigiles se describe más arriba y queda fuera de la tabla. "No indicado" significa que la capacidad no se describe en la documentación del proveedor, no que falte.

Para el Cyber Resilience Act

Cybellum, ONEKEY, Finite State, DefectDojo y Exein describen compatibilidad con el CRA. Las obligaciones de notificación del CRA se aplican desde el 11 de septiembre de 2026, y sus disposiciones principales se aplican a partir del 11 de diciembre de 2027. Una alerta temprana en 24 horas depende de saber rápidamente qué versiones contienen un componente afectado. Para el software que usted compila, CRACI conserva el historial de builds con la SBOM de cada build, de modo que puede ver qué builds contenían una dependencia vulnerable. Su API devuelve SBOM, trazas de red y procedencia, las SBOM se exportan en CycloneDX o SPDX, y CRACI presenta las notificaciones del CRA en su nombre.

Ninguna herramienta de esta página hace que un fabricante cumpla por sí sola. Consulte qué exige el CRA y la comparativa de herramientas de cumplimiento del CRA.

Cuándo quedarse con Cybellum

• Gran parte de su firmware le llega de proveedores en forma de binarios, y necesita ver su interior.
• Quiere combinar binarios, código fuente y SBOM de proveedores en una única SBOM validada por producto y versión.
• Su PSIRT lleva sus investigaciones en un único banco de trabajo y comparte el estado como informes VEX o CSAF.
• Depende de plantillas para FDA PMA, ISO 21434 o el CRA de la UE, o necesita ejecutarlo en su propio centro de datos.

Para saber más, consulte CRACI para equipos de PSIRT, la comparativa de herramientas de seguridad embebida y las alternativas a Finite State.

Alternativas a Cybellum: preguntas frecuentes

Respuestas breves a las preguntas que se plantean los equipos al comparar

¿Cuál es la mejor alternativa a Cybellum?

Depende de lo que más necesite su PSIRT. Para el análisis de binarios de firmware, fíjese en ONEKEY, Finite State o NetRise. Para un sistema de registro de SBOM de todos sus productos y proveedores, en Cybeats. Para dispositivos médicos y solicitudes ante la FDA, en Medcrypt. Para la recepción de avisos y la gestión de casos sobre una base de gestión de vulnerabilidades de código abierto, en DefectDojo con su PSIRT Advisory Engine. Para tener también protección en el dispositivo, en Exein. Si compila su propio software en GitHub Actions, CRACI registra la SBOM de cada build y la monitoriza en busca de vulnerabilidades.

¿Puede CRACI analizar binarios de firmware como Cybellum?

No. CRACI no analiza binarios ni imágenes de firmware, y no busca vulnerabilidades de día cero. Registra lo que descargan sus propios builds mientras se ejecutan en los runners de GitHub Actions de CRACI, incluidos los builds de Yocto, y genera la SBOM a partir de ese registro. Para el firmware que recibe como binario, puede añadir la SBOM del proveedor a CRACI para que se monitoricen sus componentes, pero sin una SBOM necesita una herramienta de análisis de binarios.

¿Cuál de estas herramientas indica a un PSIRT a qué productos afecta un nuevo CVE?

La mayoría, a partir de datos distintos. Cybellum, ONEKEY, Finite State y NetRise parten del análisis de los binarios que usted distribuye. Cybeats, Medcrypt Helm y DefectDojo cotejan las SBOM que usted les proporciona. CRACI parte de un registro de lo que descargó cada build: el historial de builds muestra qué builds contenían una dependencia vulnerable, directa o transitiva, y su vista de inventario muestra qué versiones de software están desplegadas en qué productos.

¿Existe una alternativa gratuita a Cybellum?

La Community Edition de DefectDojo es gratuita y de código abierto, y agrega y deduplica los hallazgos de otros escáneres. Su PSIRT Advisory Engine, que coteja los avisos con sus datos de SBOM y los agrupa en casos, forma parte de DefectDojo Pro. Ninguna de las dos ediciones analiza binarios de firmware.

¿Es mejor una SBOM generada durante el build que una obtenida por análisis de binarios?

Para el software que usted compila, una SBOM generada durante el build registra lo que entró en lugar de deducirlo del resultado, algo difícil con código compilado como Rust y C. El análisis de binarios sigue siendo la única opción para el firmware que no ha compilado usted. En un build comparativo de core-image-sato, la SBOM de CRACI contenía todos los componentes de la propia SBOM de Yocto y 88 más que esta no recogía, además de una package URL para cada una de las 653 versiones de crates de Rust que Yocto lista sin ella.