Alternative a Cybellum

Sviluppiamo CRACI, quindi ne tenga conto: descriviamo ogni opzione a partire dalla sua documentazione e diciamo quando un altro strumento è più adatto.

Perché i team guardano oltre Cybellum

Cybellum è una piattaforma di product security per i produttori di dispositivi nei mercati automotive, medicale e industriale. I suoi Cyber Digital Twins «possono essere estratti dai file binari di qualsiasi prodotto o componente», e la piattaforma li unisce a codice sorgente e SBOM «nei formati SPDX, CycloneDX o CSV di CPE». Monitora le versioni e i branch post-produzione, esegue il triage con un assistente AI, mostra «quali prodotti o componenti sono interessati da una nuova vulnerabilità o normativa», offre a un PSIRT «un ambiente di lavoro per creare e gestire indagini» e condivide lo stato «tramite report VEX/CSAF». I modelli normativi coprono FDA PMA, ISO 21434 e il CRA dell'UE. LG Electronics ne ha acquisito una partecipazione di maggioranza nel 2021.

I team confrontano comunque le alternative, di solito per uno di questi motivi:

• La maggior parte del software è di loro produzione. Analizzare un binario significa procedere a ritroso dal risultato. Un team che compila il proprio software e le proprie immagini può invece registrare ciò che vi è entrato.
• Un compito più circoscritto. Alcuni team hanno bisogno solo dell'analisi del firmware, solo di un sistema di riferimento per le SBOM o solo dell'acquisizione degli advisory e della gestione dei casi, invece di una piattaforma completa di product security.
• Adeguatezza al settore. I modelli di Cybellum sono orientati alla normativa automotive e medicale; alcuni team vogliono uno strumento costruito attorno a un solo settore, o uno che non lo sia.
• Prezzi e hosting. Cybellum non pubblica prezzi, e alcuni team vogliono una base open source da gestire in proprio.

Che cosa dovrebbe valutare un PSIRT

• Un inventario di ciò che viene distribuito: se proviene dal binario, dalle SBOM ricevute o dalla build.
• Prodotti e versioni interessati: con quale rapidità lo strumento risponde a «dove distribuiamo questo componente?»
• Monitoraggio dopo il rilascio, e quali feed di vulnerabilità tiene sotto controllo.
• Triage: segnali di sfruttabilità, VEX e inoltro di ogni rilevamento al team responsabile della correzione.
• Advisory e segnalazioni: che cosa può pubblicare per i clienti, e le evidenze richieste dal Cyber Resilience Act.
• Copertura della CI, opzioni di hosting e come crescono i prezzi.

Per il processo in sé, veda che cosa fa un PSIRT e gli strumenti PSIRT a confronto.

Le opzioni

1. CRACI (il nostro prodotto)

CRACI è un runner GitHub Actions che produce la SBOM durante l'esecuzione della build. È pensato per i team che compilano in proprio software e firmware. Un proxy che riconosce i pacchetti registra ciò che ogni job scarica dagli host di pacchetti e di codice sorgente, compresi i pacchetti ripristinati dalle cache CI, e ogni SBOM indica la propria completezza per job e per cache. Le build Yocto girano su runner fino a 32 vCPU e 96 GB di RAM: in un confronto diretto su una build di core-image-sato, la SBOM di CRACI conteneva ogni componente della SBOM di Yocto stesso più 88 che a quest'ultima mancavano, come i pacchetti dell'host e GitHub Actions, e un package URL per ciascuna delle 653 versioni di crate Rust che Yocto elenca senza indicarne uno.

Per un PSIRT, CRACI conserva ogni build passata con la sua SBOM, così Lei vede quali build contenevano una dipendenza vulnerabile e per quanto tempo, e la sua vista inventario mostra quali versioni del software sono distribuite su quali prodotti. Rivaluta continuamente le SBOM monitorate, supporta VEX e consente ai team di sicurezza di valutare i rilevamenti e di inoltrare ciascuno al team responsabile della correzione. Lei può aggiungere le SBOM dei fornitori, così i componenti acquistati vengono monitorati accanto alle Sue build. Poiché è CRACI a eseguire il job, applica anche una policy di egress che opera in modalità fail closed.

Ideale per: i produttori che compilano software e immagini in proprio su GitHub Actions e vogliono la build, la SBOM e il monitoraggio delle vulnerabilità in un unico posto. Da considerare se: può fare a meno dell'analisi dei binari, dei rilevamenti zero-day, della raggiungibilità e delle verifiche guidate rispetto agli standard, nessuno dei quali è presente in CRACI, che non può vedere all'interno del firmware che non ha compilato Lei. Supporta solo GitHub Actions, con GitLab CI e Jenkins in roadmap. CRACI e Cybellum a confronto

2. ONEKEY

ONEKEY analizza il firmware compilato «senza bisogno di codice sorgente né di accesso alla rete». Genera una SBOM dal binario, importa le SBOM dei fornitori, esporta in CycloneDX e SPDX, cerca probabili zero-day come le credenziali hardcoded e rianalizza il firmware ogni giorno. Il suo Compliance Wizard guida i team attraverso il CRA, la IEC 62443-4-2, la ETSI EN 303 645 e la direttiva sulle apparecchiature radio.

Ideale per: i produttori di dispositivi che verificano immagini firmware che non hanno compilato, con verifiche guidate rispetto agli standard. Da considerare se: vuole l'analisi delle immagini senza i modelli normativi per automotive e medicale. CRACI e ONEKEY a confronto

3. Finite State

Finite State analizza firmware, binari, codice sorgente e SBOM dei fornitori, con il «supporto di oltre 50 architetture di set di istruzioni binarie», e li riunisce in un unico registro di prodotto. Classifica i rilevamenti in base a raggiungibilità, exploit intelligence e contesto del prodotto, registra le decisioni VEX, e il suo workflow di conformità copre la mappatura dei controlli del CRA e report pronti per l'audit con artefatti SBOM e VEX. Integra i controlli in GitHub Actions, GitLab CI e Jenkins.

Ideale per: i produttori di dispositivi connessi che hanno bisogno di analizzare il firmware di molti fornitori, con meno rumore dovuto ai rilevamenti non raggiungibili. Da considerare se: la raggiungibilità è il segnale su cui il Suo PSIRT basa il triage. CRACI e Finite State a confronto

4. NetRise

NetRise Turbine analizza il codice compilato «per creare SBOM accurate e scoprire il rischio all'interno del software che viene effettivamente eseguito» sui dispositivi, e prioritizza le vulnerabilità per raggiungibilità e sfruttabilità. NetRise Provenance esamina l'origine, i maintainer e la salute dei repository dei componenti open source. Dragos ha acquisito NetRise il 21 settembre 2026 e la posiziona per le flotte di tecnologia operativa.

Ideale per: i team di product security, di rischio di terze parti e di risposta agli incidenti, soprattutto nell'industria e nelle infrastrutture critiche, che devono sapere che cosa gira sui dispositivi. Da considerare se: un acquisto su preventivo va bene per Lei; NetRise non pubblica prezzi, e fa parte di Dragos da settembre 2026.

5. Cybeats

Cybeats SBOM Studio è un sistema di riferimento che acquisisce, gestisce, monitora e condivide le SBOM di prodotti e fornitori. Valuta la qualità delle SBOM al momento dell'importazione e condivide SBOM e VEX con i clienti. Per la generazione di SBOM e la binary composition analysis, Cybeats rimanda ai fornitori del suo Marketplace, e il suo add-on RAVEN ragiona sulla raggiungibilità e redige dichiarazioni VEX.

Ideale per: i produttori dei settori medicale, industriale e delle telecomunicazioni che gestiscono un programma SBOM su molti prodotti e fornitori. Da considerare se: dispone già di un modo per generare SBOM; SBOM Studio gestisce SBOM generate da un altro strumento. CRACI e Cybeats a confronto

6. Medcrypt

Medcrypt si concentra sui produttori di dispositivi medici. Il suo prodotto Helm gestisce SBOM e vulnerabilità: Lei può «caricare o creare manualmente SBOM (CycloneDX o SPDX)» oppure collegare Helm alla Sua pipeline tramite la sua API, la sua GitHub Action o l'integrazione con Azure DevOps. Helm usa EPSS, CISA KEV, ExploitDB e Metasploit per classificare le vulnerabilità, ne ricalcola il punteggio all'arrivo dei dati sulle correzioni ed esporta SBOM, VDR e VEX. Medcrypt offre anche servizi come la revisione del threat modeling e il supporto per le submission alla FDA.

Ideale per: i produttori di dispositivi medici che preparano le submission premarket alla FDA e gestiscono le vulnerabilità nella fase postmarket. Da considerare se: i Suoi prodotti non sono dispositivi medici, o se Le serve l'analisi dei binari, che Medcrypt non descrive.

7. DefectDojo

DefectDojo è una piattaforma open source di vulnerability management che acquisisce i rilevamenti da «oltre 500 integrazioni», li deduplica e traccia la loro correzione. Il suo PSIRT Advisory Engine, parte di DefectDojo Pro, acquisisce advisory da CISA, NVD, EUVD e più di una dozzina di altri feed, li confronta con i dati delle Sue SBOM, li valuta con CVSS, EPSS e KEV, raggruppa le corrispondenze in casi con un responsabile e genera advisory in PDF con il Suo marchio. Pro funziona nel cloud o self-hosted.

Ideale per: i PSIRT che vogliono acquisizione degli advisory, gestione dei casi e monitoraggio degli SLA su una base open source di vulnerability management. Da considerare se: dispone già di SBOM con cui confrontare gli advisory; DefectDojo non le genera e non analizza binari. La Community Edition è gratuita; Pro costa $100 al mese più 15 centesimi per rilevamento (a ottobre 2026).

8. Exein

Exein lavora sul dispositivo e sul firmware. Exein Runtime usa eBPF per monitorare e bloccare i comportamenti dannosi su Linux embedded, e il layer Yocto open source meta-exein inserisce il suo agent Pulsar nella Sua immagine. Exein Analyzer esamina il firmware prima del rilascio, o la Sua SBOM quando il binario non è disponibile, classifica i rilevamenti con un punteggio di raggiungibilità e un filtraggio basato su LLM, e li mappa sui requisiti del CRA.

Ideale per: i produttori di dispositivi Linux embedded che vogliono protezione sul campo oltre all'analisi del firmware. Da considerare se: accetta di distribuire un agent sul dispositivo. CRACI e Exein a confronto

9. Timesys Vigiles

Vigiles, oggi venduto da Lynx Software Technologies, trasforma i metadati di una build Yocto o Buildroot in una SBOM e la confronta con un database di CVE curato. I team registrano se ogni CVE è interessato, corretto, rinviato o non sfruttabile, Vigiles conserva queste decisioni per ogni release ed esporta le SBOM insieme a VEX e ai report sulle vulnerabilità.

Ideale per: i team Linux embedded che vogliono meno rumore sui CVE nelle immagini Yocto e Buildroot. Da considerare se: i Suoi prodotti non sono basati su Linux embedded. CRACI e Timesys Vigiles a confronto

Fianco a fianco

«Medcrypt Helm» indica il prodotto di Medcrypt per la gestione di SBOM e vulnerabilità, «NetRise» indica NetRise Turbine e «Cybeats» indica SBOM Studio. Timesys Vigiles è descritto sopra ed è escluso dalla tabella. «Non dichiarato» significa che la funzionalità non è descritta nella documentazione del fornitore, non che manchi.

Per il Cyber Resilience Act

Cybellum, ONEKEY, Finite State, DefectDojo ed Exein descrivono tutti un supporto per il CRA. I suoi obblighi di segnalazione si applicano dall'11 settembre 2026, e le sue disposizioni principali si applicano dall'11 dicembre 2027. Un preallarme entro 24 ore dipende dal sapere rapidamente quali release contengono un componente interessato. Per il software che compila Lei, CRACI conserva lo storico delle build con la SBOM di ciascuna, così Lei vede quali build contenevano una dipendenza vulnerabile. La sua API restituisce SBOM, tracce di rete e provenance, le SBOM si esportano in CycloneDX o SPDX, e CRACI invia le notifiche CRA per Suo conto.

Nessuno strumento in questa pagina basta da solo a rendere conforme un fabbricante. Veda che cosa richiede il CRA e gli strumenti per la conformità al CRA a confronto.

Quando restare con Cybellum

• Gran parte del Suo firmware arriva dai fornitori sotto forma di binari, e Lei ha bisogno di vederne l'interno.
• Vuole binari, codice sorgente e SBOM dei fornitori uniti in un'unica SBOM convalidata per prodotto e versione.
• Il Suo PSIRT conduce le indagini in un unico ambiente di lavoro e condivide lo stato con report VEX o CSAF.
• Si affida ai modelli per FDA PMA, ISO 21434 o il CRA dell'UE, o ha bisogno di eseguirlo nel proprio datacenter.

Per saperne di più, veda CRACI per i team PSIRT, gli strumenti di sicurezza embedded a confronto e le alternative a Finite State.

Domande frequenti sulle alternative a Cybellum

Risposte brevi alle domande che i team si pongono quando confrontano le opzioni

Qual è la migliore alternativa a Cybellum?

Dipende da ciò di cui il Suo PSIRT ha più bisogno. Per l'analisi dei binari del firmware, valuti ONEKEY, Finite State o NetRise. Per un sistema di riferimento per le SBOM di prodotti e fornitori, valuti Cybeats. Per i dispositivi medici e le submission alla FDA, valuti Medcrypt. Per l'acquisizione degli advisory e la gestione dei casi su una base open source di vulnerability management, valuti DefectDojo con il suo PSIRT Advisory Engine. Per una protezione anche sul dispositivo, valuti Exein. Se compila il Suo software in GitHub Actions, CRACI registra la SBOM da ogni build e la monitora per individuare vulnerabilità.

CRACI può analizzare i binari del firmware come Cybellum?

No. CRACI non analizza binari né immagini firmware, e non cerca zero-day. Registra ciò che le Sue build scaricano mentre girano sui runner GitHub Actions di CRACI, comprese le build Yocto, e produce la SBOM da quel registro. Per il firmware che riceve come binario, può aggiungere a CRACI la SBOM del fornitore così che i suoi componenti vengano monitorati, ma senza una SBOM Le serve uno strumento di analisi dei binari.

Quale di questi strumenti indica a un PSIRT quali prodotti sono interessati da un nuovo CVE?

La maggior parte, a partire da input diversi. Cybellum, ONEKEY, Finite State e NetRise lavorano sull'analisi dei binari che Lei distribuisce. Cybeats, Medcrypt Helm e DefectDojo confrontano le SBOM che Lei fornisce. CRACI lavora su un registro di ciò che ogni build ha scaricato: lo storico delle build mostra quali build contenevano una dipendenza vulnerabile, diretta o transitiva, e la sua vista inventario mostra quali versioni del software sono distribuite su quali prodotti.

Esiste un'alternativa gratuita a Cybellum?

La Community Edition di DefectDojo è gratuita e open source, e aggrega e deduplica i rilevamenti di altri scanner. Il suo PSIRT Advisory Engine, che confronta gli advisory con i dati delle Sue SBOM e li raggruppa in casi, fa parte di DefectDojo Pro. Nessuna delle due edizioni analizza i binari del firmware.

Una SBOM in fase di build è migliore di una ottenuta dall'analisi dei binari?

Per il software che compila Lei, una SBOM in fase di build registra ciò che vi è entrato invece di dedurlo dal risultato, cosa difficile per il codice compilato come Rust e C. L'analisi dei binari resta l'unica opzione per il firmware che non ha compilato. In un confronto diretto su una build di core-image-sato, la SBOM di CRACI conteneva ogni componente della SBOM di Yocto stesso più 88 che a quest'ultima mancavano, e un package URL per ciascuna delle 653 versioni di crate Rust che Yocto elenca senza indicarne uno.