Alternativas a NetRise

Nosotros desarrollamos CRACI, así que téngalo en cuenta; describimos cada opción a partir de su propia documentación e indicamos cuándo encaja mejor otra herramienta.

Por qué los equipos buscan más allá de NetRise

NetRise Turbine obtiene una SBOM completa a partir del propio binario para firmware, imágenes de contenedor y binarios de aplicaciones, incluidas las dependencias enlazadas estáticamente y embebidas. Informa de secretos, claves, certificados, errores de configuración y problemas de licencias que se distribuyen en el artefacto, clasifica las vulnerabilidades según si una ruta de ejecución las alcanza, e importa y exporta SPDX y CycloneDX. NetRise Provenance comprueba el origen y la salud de los componentes de código abierto, y ZeroLens busca debilidades en software compilado. El 21 de septiembre de 2026, Dragos anunció que había adquirido NetRise y que lo integrará en la Dragos Platform.

Aun así, los equipos comparan alternativas, normalmente por uno de estos motivos:

• La adquisición. Dragos está incorporando NetRise a su plataforma para operadores de infraestructuras críticas. Los fabricantes de dispositivos fuera de ese mercado quizá quieran un proveedor cuya hoja de ruta se dirija a ellos.
• La mayor parte del software es suyo. Analizar un binario es trabajar hacia atrás desde la salida. Un equipo que compila sus propias imágenes puede registrar lo que entró en ellas.
• Un flujo de trabajo de PSIRT. El sitio de NetRise no describe VEX, avisos ni investigaciones de PSIRT. Algunos equipos los quieren en la misma herramienta que el análisis.
• Precios. NetRise no publica precios.

Qué debe buscar un PSIRT

Un PSIRT responde por cada producto que distribuye la empresa. La herramienta que lo respalde debería ayudar con:

• Un inventario de lo que se distribuye, incluido el firmware de terceros que usted nunca compiló.
• Cómo se produce la SBOM, y si la herramienta le avisa cuando está incompleta.
• Encontrar rápidamente los productos y versiones afectados cuando surge una vulnerabilidad.
• La monitorización tras el lanzamiento, a medida que aparecen nuevos avisos sobre componentes ya distribuidos.
• Triaje, priorización y VEX, para poder indicar qué productos no están afectados.
• Cobertura de CI, opciones de alojamiento y cómo escala el precio.

Las opciones

1. CRACI (nuestro producto)

CRACI es un runner de GitHub Actions que produce la SBOM mientras se ejecuta el build. Está pensado para equipos que compilan su propio firmware y software. Un proxy que entiende de paquetes registra lo que descarga cada job de los hosts de paquetes y de código fuente, incluidos los paquetes restaurados desde cachés de CI, y cada SBOM indica su completitud por job y por caché. Los builds de Yocto se ejecutan en runners de hasta 32 vCPU y 96 GB de RAM: en un build comparativo de core-image-sato, la SBOM de CRACI tenía todos los componentes de la propia SBOM de Yocto y 88 más que esta no recogía, como paquetes del host y GitHub Actions, además de una package URL para cada una de las 653 versiones de crates de Rust que Yocto lista sin ella.

CRACI reevalúa de forma continua las SBOM monitorizadas, muestra qué builds contenían una dependencia vulnerable y qué versiones de software están desplegadas en qué productos, es compatible con VEX y permite a los equipos de seguridad hacer el triaje de los hallazgos y enviar cada uno al equipo responsable de la corrección. Puede añadir SBOM de proveedores, de modo que los componentes comprados se monitoricen junto a sus propios builds. Como CRACI ejecuta el job, también aplica una política de egress que, si falla, bloquea.

Ideal para: fabricantes de dispositivos y equipos de software que compilan en GitHub Actions y quieren el build, la SBOM y el seguimiento de vulnerabilidades en un solo lugar. Valórelo si: puede prescindir del análisis de binarios, de la alcanzabilidad y de los hallazgos de secretos en la salida, nada de lo cual ofrece CRACI; no puede ver el interior del firmware que usted no ha compilado. Solo es compatible con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta. Consulte CRACI para equipos PSIRT y CRACI frente a NetRise.

2. ONEKEY

ONEKEY analiza firmware compilado sin necesidad de código fuente ni de acceso a la red. Genera una SBOM a partir del binario, importa SBOM de proveedores, exporta CycloneDX y SPDX, busca posibles vulnerabilidades de día cero, como credenciales incrustadas en el código, y vuelve a analizar el firmware a diario. Su Compliance Wizard guía a los equipos por el CRA, IEC 62443-4-2, ETSI EN 303 645 y la Radio Equipment Directive.

Ideal para: fabricantes de dispositivos que revisan imágenes de firmware que no han compilado, con comprobaciones guiadas frente a normas. Valórelo si: quiere hallazgos más allá de las CVE conocidas de un proveedor centrado en productos conectados. CRACI frente a ONEKEY

3. Finite State

Finite State analiza firmware, binarios, código fuente y SBOM de proveedores, con compatibilidad con más de 50 arquitecturas de juegos de instrucciones de binarios, y los reúne en un único registro de producto. Clasifica los hallazgos por alcanzabilidad, inteligencia de explotación y contexto del producto, registra las decisiones VEX, y su flujo de trabajo de cumplimiento cubre la correspondencia con los controles del CRA e informes listos para auditoría con artefactos SBOM y VEX. Integra comprobaciones en GitHub Actions, GitLab CI y Jenkins.

Ideal para: fabricantes de dispositivos conectados que necesitan analizar firmware de muchos proveedores, con las decisiones VEX en el mismo lugar. Valórelo si: quiere una sola plataforma para código fuente, binarios y SBOM de proveedores. CRACI frente a Finite State

4. Cybellum

La Product Security Platform de Cybellum crea SBOM combinando datos de escáneres de binarios, código fuente y fuentes externas de SBOM en formatos SPDX, CycloneDX o CSV de CPE. Su gestión de vulnerabilidades hace el triaje y prioriza los hallazgos, y puede crear informes VEX. Para el trabajo de PSIRT, localiza a qué productos o componentes afecta una nueva vulnerabilidad, comparte el estado de las vulnerabilidades mediante informes VEX/CSAF y ofrece un entorno de trabajo para crear y gestionar investigaciones. También cubre el cumplimiento de los requisitos de la FDA, ISO 21434 y el CRA.

Ideal para: fabricantes de los sectores de automoción, médico e industrial que quieren SBOM, gestión de vulnerabilidades e investigaciones de PSIRT en una sola plataforma. Valórelo si: el flujo de trabajo de PSIRT le importa más que un escáner de binarios independiente. Cybellum no publica precios.

5. ReversingLabs Spectra Assure

Spectra Assure analiza paquetes de software compilado sin código fuente en busca de malware, manipulación, secretos expuestos y vulnerabilidades, y produce SBOM en CycloneDX y SPDX a partir de lo que encuentra. El análisis diferencial compara versiones y señala cambios sospechosos entre lanzamientos. La CLI rl-secure se ejecuta on-premises y en CI.

Ideal para: un control de lanzamiento contra malware y manipulación en el paquete que distribuye, o en software comercial antes de desplegarlo. Valórelo si: su objetivo principal es el firmware de dispositivos más que los paquetes de software. Community es gratis y Community+ cuesta $500 al mes (a septiembre de 2026). CRACI frente a ReversingLabs

6. Exein

Exein trabaja en el dispositivo y en el firmware. Exein Runtime usa eBPF para monitorizar y bloquear comportamientos maliciosos en Linux embebido, y la capa de Yocto de código abierto meta-exein incorpora el agente Pulsar de Exein a su imagen. Exein Analyzer inspecciona el firmware antes del lanzamiento, o su SBOM cuando el binario no está disponible, clasifica los hallazgos con puntuación de alcanzabilidad y filtrado basado en LLM, y los asocia a los requisitos del CRA.

Ideal para: fabricantes de Linux embebido que quieren protección sobre el terreno además de análisis de firmware. Valórelo si: no le importa distribuir un agente en el dispositivo. CRACI frente a Exein

7. Cybeats

Cybeats SBOM Studio es un sistema de registro que ingiere, gestiona, monitoriza y comparte SBOM de productos y proveedores. Puntúa la calidad de las SBOM al importarlas y comparte SBOM y VEX con los clientes. Para la generación de SBOM y el análisis de composición de binarios, Cybeats remite a los proveedores de su Marketplace, y su complemento RAVEN razona sobre la alcanzabilidad y redacta VEX.

Ideal para: fabricantes de los sectores médico, industrial y de telecomunicaciones que gestionan un programa de SBOM en muchos productos y proveedores. Valórelo si: necesita el análisis en sí; SBOM Studio gestiona SBOM generadas por otra herramienta. CRACI frente a Cybeats

Lado a lado

«NetRise» significa NetRise Turbine, «Cybellum» significa Cybellum Product Security Platform, «ReversingLabs» significa Spectra Assure y «Cybeats» significa SBOM Studio. Los precios de ReversingLabs son a septiembre de 2026. «No indicado» significa que la funcionalidad no aparece descrita en la documentación del proveedor, no que falte.

Para el Cyber Resilience Act

NetRise, ONEKEY, Finite State, Cybellum y Exein abordan todos el CRA. Las obligaciones de notificación del CRA se aplican desde el 11 de septiembre de 2026, y sus disposiciones principales se aplicarán a partir del 11 de diciembre de 2027. Una alerta temprana en 24 horas depende de saber rápidamente qué versiones contienen un componente afectado. Para el software que usted compila, CRACI conserva el historial de builds con la SBOM de cada uno, de modo que puede ver qué builds contenían una dependencia vulnerable. La API de CRACI devuelve SBOM, trazas de red y procedencia, las SBOM se exportan en CycloneDX o SPDX, y CRACI presenta las notificaciones del CRA en su nombre.

Ninguna herramienta de esta página hace que un fabricante cumpla por sí sola. Consulte qué exige el CRA y la comparativa de herramientas para PSIRT.

Cuándo quedarse con NetRise

• Necesita SBOM del firmware y los binarios que compra además de los que compila, incluido el código enlazado estáticamente.
• Quiere que los secretos, claves, certificados y errores de configuración del artefacto aparezcan junto a las CVE.
• Depende de la alcanzabilidad por rutas de ejecución para reducir la lista de hallazgos.
• Gestiona tecnología operativa y quiere visibilidad del firmware dentro de la Dragos Platform.

Para más información, consulte builds de Yocto en CRACI, alternativas a ONEKEY y alternativas a Finite State.

Alternativas a NetRise: preguntas frecuentes

Respuestas breves a las preguntas que se plantean los equipos al comparar

¿Cuál es la mejor alternativa a NetRise?

Depende de para qué use NetRise. Para análisis de firmware con hallazgos más allá de las CVE conocidas y comprobaciones de cumplimiento guiadas, fíjese en ONEKEY. Para firmware, binarios, código fuente y SBOM de proveedores en un único registro de producto con alcanzabilidad, fíjese en Finite State. Para investigaciones de PSIRT e informes VEX o CSAF además del análisis de binarios, fíjese en Cybellum. Para comprobaciones de malware y manipulación en un paquete de versión, fíjese en ReversingLabs Spectra Assure. Para protección en el dispositivo, fíjese en Exein. Para gestionar SBOM de muchos proveedores, fíjese en Cybeats. Si compila su propio software en GitHub Actions, CRACI registra la SBOM de cada build y la monitoriza en busca de vulnerabilidades.

¿Se sigue vendiendo NetRise tras la adquisición por parte de Dragos?

Dragos anunció la adquisición de NetRise y runZero el 21 de septiembre de 2026, sin dar a conocer las condiciones financieras. Dragos afirma que la dirección de NetRise lo integrará en la Dragos Platform mientras sigue atendiendo a los clientes actuales, y netrise.io seguía presentando Turbine, Provenance y ZeroLens en octubre de 2026. Pregunte a NetRise o a Dragos cómo se venderá a partir de ahora.

¿Puede CRACI analizar firmware como NetRise?

No. CRACI no analiza binarios ni imágenes de firmware, no hace análisis de alcanzabilidad y no busca secretos ni errores de configuración en la salida. Registra lo que descargan sus propios builds mientras se ejecutan en los runners de GitHub Actions de CRACI, incluidos los builds de Yocto, y genera la SBOM a partir de ese registro. Para el firmware que recibe como binario, puede añadir la SBOM del proveedor a CRACI para que se monitoricen sus componentes, pero sin una SBOM necesita una herramienta de análisis de binarios.

¿Cuáles de estas herramientas ayudan a un PSIRT a encontrar los productos afectados?

Cybellum describe un entorno de trabajo para PSIRT que localiza a qué productos o componentes afecta una nueva vulnerabilidad. Finite State y Cybeats mantienen un registro de productos y proveedores. CRACI muestra qué builds contenían una dependencia vulnerable, directa o transitiva, y su vista de inventario muestra qué versiones de software están desplegadas en qué productos. Las herramientas de análisis de binarios como NetRise y ONEKEY le dicen qué hay dentro del firmware que no ha compilado usted.

¿Es mejor una SBOM de build que una de análisis de binarios?

Para el software que usted compila, una SBOM de build registra lo que entró en lugar de deducirlo de la salida, algo difícil con código compilado como Rust y C. El análisis de binarios sigue siendo la única opción para el firmware que no ha compilado usted. En un build comparativo de core-image-sato, la SBOM de CRACI tenía todos los componentes de la propia SBOM de Yocto y 88 más que esta no recogía, además de una package URL para cada una de las 653 versiones de crates de Rust que Yocto lista sin ella.