Vaihtoehdot NetRiselle

Me kehitämme CRACI:a, joten ota se huomioon; kuvaamme jokaisen vaihtoehdon sen oman dokumentaation pohjalta ja kerromme, milloin jokin muu työkalu sopii paremmin.

Miksi tiimit katsovat NetRisen ohi

NetRise Turbine tuottaa "a complete, binary-derived SBOM from the software itself" laiteohjelmistoista, konttikuvista ja sovellusbinääreistä, staattisesti linkitetyt ja upotetut riippuvuudet mukaan lukien. Se raportoi artefaktin mukana toimitettavat salaisuudet, avaimet, varmenteet, virheelliset konfiguraatiot ja lisenssiongelmat, järjestää haavoittuvuudet sen mukaan, ulottuuko suorituspolku niihin, sekä tuo ja vie SPDX- ja CycloneDX-muotoja. NetRise Provenance tarkistaa avoimen lähdekoodin komponenttien alkuperän ja kunnon, ja ZeroLens etsii heikkouksia käännetystä ohjelmistosta. 21.9.2026 Dragos ilmoitti ostaneensa NetRisen ja integroivansa sen Dragos Platformiin.

Tiimit vertailevat silti vaihtoehtoja, yleensä jostakin näistä syistä:

• Yritysosto. Dragos tuo NetRisen alustaansa, joka on tarkoitettu kriittisen infrastruktuurin operaattoreille. Tämän markkinan ulkopuoliset laitevalmistajat voivat haluta toimittajan, jonka tiekartta on suunnattu heille.
• Suurin osa ohjelmistosta on omaa. Binäärin analysointi etenee tulosteesta taaksepäin. Tiimi, joka rakentaa omat levykuvansa, voi sen sijaan tallentaa, mitä niihin meni.
• PSIRT-työnkulku. NetRisen sivusto ei kuvaa VEX:iä, tietoturvatiedotteita tai PSIRT-tutkintoja. Jotkut tiimit haluavat ne samaan työkaluun analyysin kanssa.
• Hinnoittelu. NetRise ei julkaise hintoja.

Mitä PSIRT-tiimin kannattaa etsiä

PSIRT vastaa jokaisesta yrityksen toimittamasta tuotteesta. Sen tukena olevan työkalun pitäisi auttaa seuraavissa:

• Inventaario siitä, mitä toimitetaan, myös kolmansien osapuolten laiteohjelmistot, joita et ole koskaan rakentanut.
• Miten SBOM tuotetaan ja kertooko työkalu, kun se on puutteellinen.
• Haavoittuvien tuotteiden ja julkaisujen nopea löytäminen, kun haavoittuvuus tulee tietoon.
• Julkaisun jälkeinen valvonta, kun jo toimitetuille komponenteille ilmestyy uusia tietoturvatiedotteita.
• Triage, priorisointi ja VEX, jotta voit kertoa, mihin tuotteisiin haavoittuvuus ei vaikuta.
• CI-kattavuus, hostausvaihtoehdot ja hinnoittelun skaalautuminen.

Vaihtoehdot

1. CRACI (oma tuotteemme)

CRACI on GitHub Actions -runneri, joka tuottaa SBOM:n buildin aikana. Se on tarkoitettu tiimeille, jotka rakentavat omat laiteohjelmistonsa ja ohjelmistonsa. Paketit tunnistava välityspalvelin tallentaa, mitä kukin jobi hakee paketti- ja lähdepalvelimilta, myös CI-välimuisteista palautetut paketit, ja jokainen SBOM ilmoittaa kattavuutensa jobi- ja välimuistikohtaisesti. Yocto-buildit ajetaan runnereilla, joissa on enintään 32 vCPU:ta ja 96 Gt RAM-muistia: rinnakkaisessa core-image-sato-buildissa CRACI:n SBOM sisälsi jokaisen Yocton oman SBOM:n komponentin sekä 88 siitä puuttunutta, kuten isäntäpaketit ja GitHub Actionsit, ja paketti-URL:n jokaiselle 653 Rust-crate-versiolle, jotka Yocto listaa ilman sitä.

CRACI arvioi valvottuja SBOM:eja jatkuvasti uudelleen, näyttää, mitkä buildit sisälsivät haavoittuvan riippuvuuden ja mitkä ohjelmistoversiot ovat käytössä missäkin tuotteessa, tukee VEX:iä ja antaa tietoturvatiimien triagea löydökset ja ohjata kunkin korjauksesta vastaavalle tiimille. Voit lisätä toimittajien SBOM:eja, jolloin ostettuja komponentteja valvotaan omien buildiesi rinnalla. Koska CRACI ajaa jobin, se valvoo myös egress-käytäntöä, joka toimii fail closed -periaatteella.

Sopii parhaiten: laitevalmistajille ja ohjelmistotiimeille, jotka rakentavat GitHub Actionsissa ja haluavat buildin, SBOM:n ja haavoittuvuuksien seurannan yhteen paikkaan. Harkitse, jos: pärjäät ilman binäärianalyysia, reachability-analyysiä ja tulosteen salaisuuslöydöksiä, joista mitään CRACI:ssa ei ole; se ei näe sellaisen laiteohjelmiston sisään, jota et ole itse rakentanut. Se tukee vain GitHub Actionsia, ja GitLab CI ja Jenkins ovat tiekartalla. Katso CRACI PSIRT-tiimeille ja CRACI vs. NetRise.

2. ONEKEY

ONEKEY analysoi käännettyjä laiteohjelmistoja, "no source code or network access needed." Se generoi SBOM:n binääristä, tuo toimittajien SBOM:eja, vie CycloneDX- ja SPDX-muotoja, etsii todennäköisiä zero-day-haavoittuvuuksia, kuten kovakoodattuja tunnuksia, ja analysoi laiteohjelmistot uudelleen päivittäin. Sen Compliance Wizard ohjaa tiimejä CRA:n, IEC 62443-4-2:n, ETSI EN 303 645:n ja radiolaitedirektiivin vaatimusten läpi.

Sopii parhaiten: laitevalmistajille, jotka tarkistavat laiteohjelmiston levykuvia, joita eivät ole itse rakentaneet, ohjatuin tarkistuksin standardeja vasten. Harkitse, jos: haluat tunnettujen CVE:iden ulkopuolelle ulottuvia löydöksiä toimittajalta, joka keskittyy verkkoon kytkettyihin tuotteisiin. CRACI vs. ONEKEY

3. Finite State

Finite State analysoi laiteohjelmistoja, binäärejä, lähdekoodia ja toimittajien SBOM:eja, "support for 50+ binary instruction set architectures," ja tuo ne yhteen tuotetietueeseen. Se järjestää löydökset reachability-analyysin, hyödyntämistiedon ja tuotekontekstin perusteella, kirjaa VEX-päätökset, ja sen compliance-työnkulku kattaa CRA-kontrollien kartoituksen ja auditointivalmiit raportit SBOM- ja VEX-artefakteineen. Se upottaa tarkistuksia GitHub Actionsiin, GitLab CI:hin ja Jenkinsiin.

Sopii parhaiten: verkkoon kytkettyjen laitteiden valmistajille, jotka tarvitsevat monen toimittajan laiteohjelmistojen analyysia ja VEX-päätökset samaan paikkaan. Harkitse, jos: haluat yhden alustan lähdekoodille, binääreille ja toimittajien SBOM:eille. CRACI vs. Finite State

4. Cybellum

Cybellumin Product Security Platform luo SBOM:t "by combining data from binary scanners, source code and external SBOM sources in SPDX, CycloneDX or CPEs CSV formats." Sen haavoittuvuuksien hallinta luokittelee ja priorisoi löydökset, ja se voi luoda VEX-raportteja. PSIRT-työssä se selvittää, mihin tuotteisiin tai komponentteihin uusi haavoittuvuus vaikuttaa, jakaa haavoittuvuuksien tilan "via VEX/CSAF reports," ja tarjoaa työtilan tutkintojen luomiseen ja hallintaan. Se kattaa myös FDA:n vaatimusten, ISO 21434:n ja CRA:n noudattamisen.

Sopii parhaiten: auto-, lääkintä- ja teollisuusvalmistajille, jotka haluavat SBOM:t, haavoittuvuuksien hallinnan ja PSIRT-tutkinnat yhdelle alustalle. Harkitse, jos: PSIRT-työnkulku on sinulle tärkeämpi kuin erillinen binääriskanneri. Cybellum ei julkaise hintoja.

5. ReversingLabs Spectra Assure

Spectra Assure analysoi käännettyjä ohjelmistopaketteja ilman lähdekoodia haittaohjelmien, peukaloinnin, paljastuneiden salaisuuksien ja haavoittuvuuksien varalta ja tuottaa löydöksistään CycloneDX- ja SPDX-SBOM:t. Differentiaalianalyysi vertaa versioita ja merkitsee epäilyttävät muutokset julkaisujen välillä. rl-secure-CLI toimii omissa tiloissa ja CI:ssä.

Sopii parhaiten: julkaisuportiksi, joka tarkistaa toimittamasi paketin tai kaupallisen ohjelmiston ennen käyttöönottoa haittaohjelmien ja peukaloinnin varalta. Harkitse, jos: pääkohteesi on laitteen laiteohjelmisto eikä ohjelmistopaketit. Community on ilmainen ja Community+ maksaa $500 kuukaudessa (syyskuussa 2026). CRACI vs. ReversingLabs

6. Exein

Exein toimii sekä laitteella että laiteohjelmistossa. Exein Runtime käyttää eBPF:ää haitallisen toiminnan valvontaan ja estämiseen sulautetussa Linuxissa, ja avoimen lähdekoodin meta-exein-Yocto-kerros lisää sen Pulsar-agentin levykuvaasi. Exein Analyzer tarkastaa laiteohjelmiston ennen julkaisua, tai SBOM:si, kun binääriä ei ole saatavilla, järjestää löydökset reachability-analyysipisteytyksen ja LLM-pohjaisen suodatuksen avulla ja kartoittaa ne CRA:n vaatimuksiin.

Sopii parhaiten: sulautetun Linuxin valmistajille, jotka haluavat suojauksen kentällä laiteohjelmistoanalyysin lisäksi. Harkitse, jos: sinulle sopii agentin toimittaminen laitteella. CRACI vs. Exein

7. Cybeats

Cybeats SBOM Studio on kirjausjärjestelmä, joka ottaa vastaan, hallitsee, valvoo ja jakaa SBOM:eja tuotteiden ja toimittajien yli. Se pisteyttää SBOM:ien laadun tuonnin yhteydessä ja jakaa SBOM:t ja VEX:n asiakkaille. SBOM:ien generointiin ja binäärikoostumuksen analyysiin Cybeats ohjaa Marketplacensa toimittajiin, ja sen RAVEN-lisäosa tekee reachability-analyysiä ja laatii VEX-luonnoksia.

Sopii parhaiten: lääkintä-, teollisuus- ja tietoliikennevalmistajille, joilla on SBOM-ohjelma monen tuotteen ja toimittajan yli. Harkitse, jos: tarvitset itse analyysin; SBOM Studio hallitsee SBOM:eja, jotka jokin toinen työkalu on generoinut. CRACI vs. Cybeats

Rinnakkain

"NetRise" tarkoittaa NetRise Turbinea, "Cybellum" Cybellum Product Security Platformia, "ReversingLabs" Spectra Assurea ja "Cybeats" SBOM Studiota. ReversingLabsin hinnoittelu on syyskuulta 2026. "Ei ilmoitettu" tarkoittaa, ettei ominaisuutta kuvata toimittajan dokumentaatiossa, ei sitä, että se puuttuisi.

Kyberkestävyyssäädöstä varten

NetRise, ONEKEY, Finite State, Cybellum ja Exein käsittelevät kaikki EU:n kyberkestävyyssäädöstä (Cyber Resilience Act, CRA). Sen raportointivelvoitteita on sovellettu 11.9.2026 alkaen, ja sen keskeisiä säännöksiä sovelletaan 11.12.2027 alkaen. 24 tunnin ennakkovaroitus edellyttää, että tiedät nopeasti, mitkä julkaisut sisältävät haavoittuvan komponentin. Rakentamasi ohjelmiston osalta CRACI säilyttää buildihistorian kunkin buildin SBOM:n kanssa, joten näet, mitkä buildit sisälsivät haavoittuvan riippuvuuden. Sen API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot, SBOM:t viedään CycloneDX- tai SPDX-muodossa, ja CRACI valmistelee CRA-ilmoitusten sisällön, jonka lähetät itse.

Mikään tämän sivun työkalu ei yksin tee valmistajasta vaatimustenmukaista. Lue, mitä CRA vaatii, ja katso PSIRT-työkalujen vertailu.

Milloin pysyä NetRisessä

• Tarvitset SBOM:t sekä ostamistasi että itse rakentamistasi laiteohjelmistoista ja binääreistä, staattisesti linkitetty koodi mukaan lukien.
• Haluat artefaktin salaisuudet, avaimet, varmenteet ja virheelliset konfiguraatiot raportoituina CVE:iden rinnalla.
• Luotat suorituspolkujen reachability-analyysiin löydöslistan karsimisessa.
• Operoit OT-järjestelmiä ja haluat laiteohjelmistojen näkyvyyden Dragos Platformiin.

Lisää tietoa: Yocto-buildit CRACI:ssa, vaihtoehdot ONEKEYlle ja vaihtoehdot Finite Statelle.

Usein kysyttyä NetRisen vaihtoehdoista

Lyhyet vastaukset kysymyksiin, joita tiimit kysyvät vertaillessaan

Mikä on paras vaihtoehto NetRiselle?

Se riippuu siitä, mihin käytät NetRiseä. Laiteohjelmistoanalyysiin, jossa löydökset ulottuvat tunnettujen CVE:iden ulkopuolelle ja vaatimustenmukaisuutta tarkistetaan ohjatusti, katso ONEKEY. Laiteohjelmistoihin, binääreihin, lähdekoodiin ja toimittajien SBOM:eihin yhdessä tuotetietueessa reachability-analyysin kanssa katso Finite State. PSIRT-tutkintoihin sekä VEX- tai CSAF-raportteihin binäärianalyysin lisäksi katso Cybellum. Julkaisupaketin haittaohjelma- ja peukalointitarkistuksiin katso ReversingLabs Spectra Assure. Laitteella tapahtuvaan suojaukseen katso Exein. SBOM:ien hallintaan monen toimittajan kesken katso Cybeats. Jos rakennat omaa ohjelmistoasi GitHub Actionsissa, CRACI tallentaa SBOM:n jokaisesta buildista ja valvoo sitä haavoittuvuuksien varalta.

Myydäänkö NetRiseä yhä Dragosin yritysoston jälkeen?

Dragos ilmoitti ostavansa NetRisen ja runZeron 21.9.2026 kertomatta kauppahintaa. Dragosin mukaan NetRisen johto integroi sen Dragos Platformiin ja palvelee samalla edelleen nykyisiä asiakkaita, ja netrise.io esitteli lokakuussa 2026 yhä Turbinen, Provenancen ja ZeroLensin. Kysy NetRiseltä tai Dragosilta, miten sitä myydään jatkossa.

Voiko CRACI analysoida laiteohjelmistoja kuten NetRise?

Ei. CRACI ei analysoi binäärejä tai laiteohjelmiston levykuvia, ei tee reachability-analyysia eikä etsi tulosteesta salaisuuksia tai virheellisiä konfiguraatioita. Se tallentaa, mitä omat buildisi hakevat, kun ne ajetaan CRACI:n GitHub Actions -runnereilla, Yocto-buildit mukaan lukien, ja tuottaa SBOM:n tästä tallenteesta. Binäärinä saamasi laiteohjelmiston osalta voit lisätä toimittajan SBOM:n CRACI:iin, jolloin sen komponentteja valvotaan, mutta ilman SBOM:ia tarvitset binäärianalyysityökalun.

Mitkä näistä työkaluista auttavat PSIRT-tiimiä löytämään haavoittuvat tuotteet?

Cybellum kuvaa PSIRT-työtilan, joka selvittää, mihin tuotteisiin tai komponentteihin uusi haavoittuvuus vaikuttaa. Finite State ja Cybeats ylläpitävät tietuetta tuotteiden ja toimittajien yli. CRACI näyttää, mitkä buildit sisälsivät haavoittuvan suoran tai transitiivisen riippuvuuden, ja sen inventaarionäkymä näyttää, mitkä ohjelmistoversiot ovat käytössä missäkin tuotteessa. Binäärianalyysityökalut, kuten NetRise ja ONEKEY, kertovat, mitä on laiteohjelmistossa, jota et ole itse rakentanut.

Onko buildin aikana tallennettu SBOM parempi kuin binäärianalyysista saatu?

Rakentamasi ohjelmiston osalta buildin aikana tallennettu SBOM kirjaa sen, mitä buildiin meni, sen sijaan että se pääteltäisiin tulosteesta, mikä on vaikeaa käännetylle koodille, kuten Rustille ja C:lle. Binäärianalyysi on yhä ainoa vaihtoehto laiteohjelmistolle, jota et ole itse rakentanut. Rinnakkaisessa core-image-sato-buildissa CRACI:n SBOM sisälsi jokaisen Yocton oman SBOM:n komponentin sekä 88 siitä puuttunutta, ja paketti-URL:n jokaiselle 653 Rust-crate-versiolle, jotka Yocto listaa ilman sitä.