Herramientas de PSIRT, comparadas

La respuesta corta

• Firmware de proveedores en forma de binarios: ONEKEY, Finite State, NetRise o Cybellum. El análisis de binarios es la forma de ver el interior del código cuyo build usted nunca ejecuta.
• Dispositivos de automoción, médicos o industriales con plantillas normativas: Cybellum, con plantillas para FDA PMA, ISO 21434 y el CRA de la UE.
• Dispositivos médicos y presentaciones ante la FDA: Medcrypt, con Helm para SBOM y vulnerabilidades.
• Muchos escáneres en una sola cola, con un flujo de avisos para el PSIRT: DefectDojo, de código abierto y con una edición Pro.
• Un sistema de registro para las SBOM de muchos proveedores: Cybeats SBOM Studio.
• Imágenes Yocto o Buildroot con datos de CVE depurados: Timesys Vigiles.
• Protección también en el dispositivo: Exein.
• Un lugar gratuito y autoalojado para monitorizar SBOM: OWASP Dependency-Track.
• Software que usted compila en GitHub Actions: CRACI, que registra la SBOM de cada build, conserva cada build anterior y monitoriza lo que se distribuyó.

Para quién es esta página

Usted dirige o está creando una función de seguridad de producto y está eligiendo las herramientas que la sustentan. Si todavía está definiendo el rol, empiece por qué hace un PSIRT. Nosotros desarrollamos CRACI, así que téngalo en cuenta. Toda afirmación sobre otro producto procede de su propio sitio web o documentación, comprobados en octubre de 2026, y la mayoría de los proveedores de esta página tienen una página más extensa de CRACI frente a X.

Qué debe hacer una herramienta de PSIRT

El trabajo sigue el ciclo de vida de la gestión de vulnerabilidades, y un PSIRT necesita apoyo en cada paso:

1. Saber lo que se distribuye. Una SBOM por versión del producto, con las dependencias transitivas y los componentes de proveedores. Todo lo que sigue depende de que esté completa.
2. Detectar nuevas vulnerabilidades. Monitorización continua que coteja los nuevos avisos con cada versión lanzada, no solo con la siguiente.
3. Encontrar los productos afectados. Qué productos, versiones y builds contienen el componente, y durante cuánto tiempo lo contuvieron.
4. Hacer el triaje y asignar. Decidir qué importa y enviarlo al equipo responsable de la corrección.
5. Decir qué no está afectado. VEX registra a qué productos afecta una vulnerabilidad y por qué los demás no están afectados.
6. Recibir informes e informar a la gente. Un canal para investigadores externos, seguimiento de casos y avisos, a menudo en CSAF legible por máquina.

Ninguna de las herramientas siguientes cubre los seis por igual. La mayoría destaca en los dos o tres primeros pasos, y donde más se diferencian es en el origen de su inventario.

Cómo elegir

• ¿Compila el software o lo recibe? Si gran parte del producto llega de fabricantes de chips y proveedores en forma de binarios, el análisis de binarios es la forma de ver su interior. Si lo compila usted, el build es la fuente más directa del inventario.
• ¿El producto está regulado? Los dispositivos médicos, los vehículos y los equipos industriales conllevan formatos de presentación y normas. Algunas herramientas incluyen plantillas para ellos; otras lo dejan en manos de su propio proceso.
• ¿Cuántos escáneres utiliza ya? Si los hallazgos llegan de muchas herramientas, un agregador que los deduplique puede importar más que otra fuente de hallazgos.
• ¿Por dónde entran los informes externos? Los envíos de investigadores suelen necesitar su propio canal (véase más abajo), sea cual sea la herramienta de inventario que elija.
• ¿Tiene que ser autoalojada? DefectDojo, Dependency-Track y Medcrypt Enterprise pueden ejecutarse en su propia infraestructura, y Cybellum puede ejecutarse en su propio centro de datos.

De un vistazo

Dos tablas: primero las herramientas centradas en firmware y dispositivos, y después las plataformas de gestión de vulnerabilidades y SBOM. «No indicado» significa que las páginas de los proveedores que citamos no dicen ni una cosa ni otra. La recepción de informes, la gestión de casos y la publicación de avisos se tratan en el texto siguiente, no en las tablas.

Firmware y dispositivos

Plataformas de gestión de vulnerabilidades y SBOM

CRACI

CRACI es un runner de GitHub Actions. Usted cambia runs-on a craci y, mientras se ejecuta cada job, un proxy que entiende de paquetes registra lo que descarga, incluidos los paquetes restaurados desde cachés de CI y las dependencias que ningún lockfile enumera. La SBOM, en CycloneDX o SPDX, lleva un estado de completitud por job y por caché. CRACI conserva cada build anterior con su SBOM, de modo que, cuando llega un aviso, puede ver qué builds contenían la dependencia vulnerable, directa o transitiva, y durante cuánto tiempo, dentro de su periodo de retención. Su vista de inventario muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global.

Después del build, CRACI reevalúa continuamente las SBOM monitorizadas, permite a los equipos de seguridad hacer el triaje de los hallazgos y enviar cada uno al equipo responsable de la corrección, y es compatible con VEX. Los controles de política pueden bloquear un build que contenga un CVE concreto, y una política de egress limita a qué puede acceder el build. Puede añadir SBOM de proveedores, de modo que los componentes comprados se monitorizan junto a sus propios builds. Para las vulnerabilidades explotadas activamente, CRACI presenta las notificaciones del CRA en su nombre. Para Yocto, un build comparado de core-image-sato dio una SBOM con todos los componentes de la propia SBOM de Yocto más 88 que esta omitía. El precio son solo los minutos de build: $0.004 por minuto de 2 vCPU, medido por segundo, sin cuota mensual ni cargo por SBOM. Ideal para: PSIRT cuyos productos se compilan en GitHub Actions. Tenga en cuenta: no analiza binarios, así que el firmware que usted no compiló necesita una SBOM del proveedor o una herramienta de análisis de binarios; no tiene análisis de alcanzabilidad ni exportación de informes; y hoy es compatible con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta. Consulte CRACI para equipos de PSIRT.

Plataformas de firmware y dispositivos

Cybellum

Cybellum es una plataforma de seguridad de producto para fabricantes de dispositivos de los mercados de automoción, médico e industrial, propiedad mayoritaria de LG Electronics desde 2021. Sus Cyber Digital Twins se construyen a partir de binarios de firmware, y los combina con código fuente y SBOM de proveedores en SPDX, CycloneDX o CPE CSV. Monitoriza las versiones posteriores a la producción, hace el triaje con un asistente de IA, VM CoPilot, ofrece un banco de trabajo para crear y gestionar investigaciones con tickets, y comparte el estado de las vulnerabilidades mediante informes VEX y CSAF. Las plantillas normativas cubren FDA PMA, ISO 21434, el CRA de la UE y más de 50 normas. Se ejecuta en nubes públicas o en su propio centro de datos. Ideal para: fabricantes de dispositivos que necesitan análisis de binarios y evidencia normativa en una sola plataforma. Tenga en cuenta: el precio no se publica, y trabaja a partir de artefactos en lugar de ejecutar su build. CRACI frente a Cybellum y Alternativas a Cybellum

ONEKEY

ONEKEY analiza firmware compilado sin necesidad de código fuente ni de acceso a la red. Genera una SBOM a partir del binario, importa SBOM de proveedores, busca posibles zero-days como credenciales incrustadas y reanaliza el firmware a diario. Su Compliance Wizard guía a los equipos por el CRA, IEC 62443-4-2, ETSI EN 303 645 y la Radio Equipment Directive. Ideal para: equipos que integran mucho firmware de proveedores. Tenga en cuenta: trabaja sobre la imagen después del build, así que no registra lo que descargó el build. CRACI frente a ONEKEY y Alternativas a ONEKEY

Finite State

Finite State analiza firmware, binarios, código fuente y SBOM de proveedores, con soporte para más de 50 arquitecturas de conjuntos de instrucciones binarias, y los reúne en un único registro del software distribuido con monitorización posterior a la comercialización. Clasifica los hallazgos por alcanzabilidad e inteligencia de exploits, registra las decisiones de VEX y hace corresponder los controles con los requisitos del CRA y de la FDA. Ideal para: PSIRT que necesitan priorizar una larga lista de hallazgos de muchos proveedores. Tenga en cuenta: parte de artefactos, así que controlar a qué podría acceder su propio build queda fuera de su alcance. CRACI frente a Finite State y Alternativas a Finite State

NetRise

NetRise Turbine produce una SBOM completa derivada del binario a partir del propio software, con el código enlazado estáticamente y embebido incluido, para el software que usted compila, compra y ejecuta. Importa SBOM en SPDX y CycloneDX, comprueba continuamente la NVD, CISA KEV y datos de actores de amenazas, clasifica los hallazgos por alcanzabilidad de la ruta de ejecución e informa de secretos, claves y errores de configuración dentro del artefacto, y se conecta a Jira y ServiceNow. Dragos anunció el 21 de septiembre de 2026 que había adquirido NetRise. Ideal para: tecnología operativa y flotas de dispositivos cuyo software procede de muchos proveedores. Tenga en cuenta: sus páginas no describen VEX, gestión de casos ni publicación de avisos, y el precio no se publica. CRACI frente a NetRise y Alternativas a NetRise

Exein

Exein trabaja en el dispositivo además de antes del lanzamiento. Exein Runtime usa eBPF para monitorizar y bloquear comportamientos maliciosos en Linux embebido, y la capa Yocto de código abierto meta-exein incorpora el agente Pulsar de Exein a su imagen. Exein Analyzer escanea el firmware, o su SBOM cuando el binario no está disponible, prioriza con una puntuación de alcanzabilidad y hace corresponder los hallazgos con los requisitos del CRA. Ideal para: productos de Linux embebido que necesitan protección sobre el terreno. Tenga en cuenta: la capa Yocto cambia lo que se ejecuta en el dispositivo; no ejecuta ni registra su build. CRACI frente a Exein

Timesys Vigiles

Vigiles, que ahora vende Lynx Software Technologies, convierte los metadatos de un build de Yocto, Buildroot u OpenWrt en una SBOM y la coteja con una base de datos de CVE depurada. Los filtros de configuración del kernel y de U-Boot eliminan los CVE de funciones que usted no compila, las decisiones de triaje (afectado, corregido, aplazado, no explotable) se conservan por versión, las entradas de CISA KEV se resaltan, y exporta SBOM, VEX e informes de vulnerabilidades. Ideal para: equipos de Linux embebido que quieren menos ruido de CVE. Tenga en cuenta: su SBOM refleja lo que los metadatos de BitBake dicen que entra en la imagen, no todo lo que descargó el build. CRACI frente a Timesys Vigiles

Plataformas de gestión de vulnerabilidades y SBOM

DefectDojo

DefectDojo es un proyecto OWASP Flagship con una edición comercial Pro. La Community Edition gratuita deduplica los hallazgos de los escáneres que usted ya utiliza, más de 500 herramientas compatibles según su propio recuento, en una sola cola con responsables, SLA y tickets de Jira. Pro añade la importación de SBOM en CycloneDX y SPDX, la exportación de CycloneDX VEX y un PSIRT Advisory Engine que recibe avisos de más de 20 fuentes, los coteja con datos de SBOM, los agrupa en casos con responsables y publica avisos en PDF con marca propia. Su versión de septiembre de 2026 añadió la exportación de avisos CSAF 2.0 y VEX y una interfaz de notificación del artículo 14 del CRA. Pro empieza en $100 al mes más $0.15 por hallazgo procesado. Ideal para: PSIRT que quieren una base de código abierto y un flujo de avisos. Tenga en cuenta: no genera SBOM por sí mismo, así que el inventario solo es tan completo como lo que usted suba. CRACI frente a DefectDojo y Alternativas a DefectDojo

Medcrypt

Medcrypt ayuda a los fabricantes de dispositivos médicos a superar la revisión de la FDA de su presentación de ciberseguridad, con un equipo que incluye a antiguos revisores de la FDA. Su producto Helm importa SBOM en CycloneDX o SPDX por API, GitHub Action o Azure DevOps, las monitoriza continuamente, clasifica los hallazgos con EPSS, CISA KEV y datos de exploits, y exporta informes CycloneDX VEX y VDR. MSI, que incluye Helm, cuesta $35,000 por línea de producto al año, y su pertenencia a MedISAO aporta un programa de divulgación coordinada de vulnerabilidades. Ideal para: fabricantes de dispositivos médicos que preparan o mantienen presentaciones ante la FDA. Tenga en cuenta: ingiere SBOM en lugar de producirlas (hay una herramienta de generación disponible bajo petición), y su página de precios indica que la FDA es lo que la plataforma cubre hoy. CRACI frente a Medcrypt

Cybeats

Cybeats SBOM Studio se presenta como el sistema de registro de SBOM. Almacena las SBOM de sus productos y proveedores en SPDX 2.2 a 3.0.1 y CycloneDX 1.2 a 1.7, puntúa su calidad antes de importarlas, coteja continuamente cada componente con inteligencia de vulnerabilidades, emite VEX y comparte las SBOM con los clientes, también a través de la Transparency Exchange API. Ideal para: equipos de seguridad de producto de ICS, dispositivos médicos, telecomunicaciones y automoción que gestionan un programa de SBOM con muchos proveedores. Tenga en cuenta: para la generación remite a proveedores de su Marketplace, así que la propia SBOM procede de otra herramienta. CRACI frente a Cybeats y Alternativas a Cybeats

La opción de código abierto: Dependency-Track

OWASP Dependency-Track es una plataforma Apache 2.0 que sigue los componentes en todas las versiones de todas las aplicaciones, obtiene datos de vulnerabilidades de fuentes como la NVD y GitHub Advisories, aplica políticas de seguridad, licencias y operativas, y consume y produce CycloneDX VEX. Los pipelines suben las SBOM a través de su API. Es gratuito, y lo aloja y opera usted mismo. Ideal para: equipos que quieren una plataforma de análisis transparente y autoalojada. Tenga en cuenta: no genera SBOM, así que sus resultados dependen del generador que ejecute antes. CRACI frente a Dependency-Track y Alternativas a Dependency-Track

Recepción de informes, casos y avisos

Las tablas anteriores llegan hasta el triaje y VEX. El resto del trabajo de un PSIRT, recibir informes e informar a la gente, está cubierto de forma desigual:

• Informes de investigadores externos. Suelen llegar a través de un programa de divulgación de vulnerabilidades. Muchas empresas gestionan uno en una plataforma como HackerOne Response o el VDP de Bugcrowd, que ofrecen a los investigadores un canal para enviar informes y ayudan a hacer su triaje. Otras publican por su cuenta una política y un contacto de seguridad. Nuestra guía de divulgación coordinada de vulnerabilidades cubre la política, security.txt y los plazos.
• Gestión de casos. Cybellum tiene un banco de trabajo para investigaciones con tickets. DefectDojo Pro agrupa los avisos cotejados en casos con responsables y seguimiento de SLA. Ninguno de los dos dice alojar los envíos de los investigadores.
• Avisos. DefectDojo Pro publica avisos en PDF con marca propia y exporta CSAF 2.0. Cybellum comparte el estado de las vulnerabilidades mediante informes VEX y CSAF. La pertenencia a MedISAO de Medcrypt incluye un programa de divulgación coordinada de vulnerabilidades.

Cómo encaja CRACI

La primera pregunta en todo caso de PSIRT es qué productos y versiones contienen el componente vulnerable. El análisis de binarios la responde a partir de lo que se distribuyó, las plataformas de SBOM a partir de las SBOM que usted les da, y los agregadores a partir de lo que informan otros escáneres. CRACI la responde a partir de un registro de lo que sus propios builds descargaron realmente, conservado para cada build anterior. Para el software que usted compila en GitHub Actions, eso cubre en un solo producto el inventario, la monitorización, el triaje y VEX, de modo que para esos builds no hace falta un gestor de SBOM aparte como Dependency-Track o Cybeats.

Otras herramientas ganan en otros terrenos. El análisis de binarios de Cybellum, ONEKEY, Finite State o NetRise ve el interior del firmware que usted no compiló. Cybellum y Medcrypt aportan plantillas normativas y experiencia en presentaciones. DefectDojo agrega hallazgos de cientos de escáneres y publica avisos. Finite State, NetRise y Exein clasifican los hallazgos por alcanzabilidad, algo que CRACI no ofrece. Lea qué hace un PSIRT y CRACI para equipos de PSIRT, o compare herramientas de cumplimiento del CRA y herramientas de SBOM.

Herramientas de PSIRT: preguntas frecuentes

¿Qué es una herramienta de PSIRT?

Software que ayuda a un equipo de respuesta a incidentes de seguridad de producto a hacer su trabajo: saber qué componentes se distribuyen en cada versión del producto, detectar cuándo les afecta una nueva vulnerabilidad, hacer el triaje, enviar la corrección a quien corresponda, registrar qué productos no están afectados e informar a los clientes y a las autoridades. Pocos productos cubren todo esto. La mayoría de los PSIRT combinan una herramienta de inventario y monitorización con un canal para informes externos y una forma de publicar avisos.

¿Qué herramienta de PSIRT es mejor para el firmware que recibimos como binarios?

Una herramienta de análisis de binarios. Cybellum, ONEKEY, Finite State y NetRise construyen una SBOM a partir del propio firmware compilado, de modo que pueden ver el interior del código de proveedores cuyo build usted nunca ejecuta. Exein Analyzer también escanea el firmware antes del lanzamiento. CRACI no analiza binarios; para el firmware de proveedores, puede monitorizar la SBOM del proveedor si este la facilita.

¿Qué herramienta de PSIRT encaja con el software que compilamos nosotros?

Si sus builds se ejecutan en GitHub Actions, CRACI registra la SBOM de cada build mientras se ejecuta, conserva cada build anterior con su SBOM, reevalúa las SBOM monitorizadas a medida que aparecen avisos y muestra qué builds contenían una dependencia vulnerable y qué versiones de software están desplegadas en qué productos. GitLab CI y Jenkins están en su hoja de ruta. Para las imágenes Yocto, Timesys Vigiles construye una SBOM a partir de los metadatos de BitBake en lugar de registrar el build.

¿Existe alguna herramienta de PSIRT gratuita o de código abierto?

Dos de las herramientas de esta página tienen ediciones gratuitas. DefectDojo Community Edition es gratuita con licencia BSD 3-Clause y deduplica los hallazgos de cientos de escáneres en una sola cola; su PSIRT Advisory Engine, la importación de SBOM y la exportación CSAF están en DefectDojo Pro. OWASP Dependency-Track es gratuito con licencia Apache 2.0 y monitoriza las SBOM que usted sube. Ambos los aloja y opera usted mismo.

¿Las herramientas de PSIRT reciben informes de investigadores externos?

Los informes de investigadores suelen llegar a través de un programa de divulgación de vulnerabilidades, a menudo gestionado en una plataforma como HackerOne o Bugcrowd, o a través de un contacto de seguridad publicado. DefectDojo Pro recibe avisos de fuentes públicas y Cybellum ofrece un banco de trabajo para investigaciones, pero ninguno de los dos dice alojar los envíos de los investigadores.

¿Qué herramientas publican avisos CSAF?

DefectDojo Pro añadió en septiembre de 2026 la exportación de avisos CSAF 2.0 y VEX, y publica avisos en PDF con marca propia. Cybellum comparte el estado de las vulnerabilidades mediante informes VEX y CSAF. Los demás proveedores de esta página no describen la publicación de avisos CSAF en las páginas que citamos.

¿El CRA exige una herramienta de PSIRT?

No se exige ninguna herramienta. El Cyber Resilience Act pide a los fabricantes que gestionen las vulnerabilidades durante todo el periodo de soporte, que mantengan una política de divulgación coordinada de vulnerabilidades y un contacto para notificarlas y, desde el 11 de septiembre de 2026, que notifiquen las vulnerabilidades explotadas activamente en plazos de 24 horas, 72 horas y 14 días. CRACI presenta esas notificaciones en nombre del fabricante, y DefectDojo Pro tiene una interfaz de notificación del artículo 14 del CRA. La obligación sigue siendo del fabricante.