Alternative a NetRise

Noi sviluppiamo CRACI, ne tenga conto; descriviamo ogni opzione in base alla sua documentazione e diciamo quando un altro strumento è più adatto.

Perché i team guardano oltre NetRise

NetRise Turbine produce una SBOM completa, ricavata dai binari del software stesso, per firmware, immagini container e binari applicativi, comprese le dipendenze collegate staticamente e incorporate. Segnala secret, chiavi, certificati, configurazioni errate e problemi di licenza presenti nell'artefatto, classifica le vulnerabilità in base al fatto che un percorso di esecuzione le raggiunga, e importa ed esporta SPDX e CycloneDX. NetRise Provenance controlla l'origine e lo stato di salute dei componenti open source, e ZeroLens cerca debolezze nel software compilato. Il 21 settembre 2026 Dragos ha annunciato di aver acquisito NetRise e di volerlo integrare nella Dragos Platform.

I team confrontano comunque le alternative, di solito per uno di questi motivi:

• L'acquisizione. Dragos sta portando NetRise nella propria piattaforma per gli operatori di infrastrutture critiche. I produttori di dispositivi al di fuori di quel mercato potrebbero preferire un vendor con una roadmap pensata per loro.
• La maggior parte del software è loro. Analizzare un binario significa risalire dall'output. Un team che compila le proprie immagini può invece registrare ciò che vi è entrato.
• Un workflow PSIRT. Il sito di NetRise non descrive VEX, advisory o indagini PSIRT. Alcuni team li vogliono nello stesso strumento dell'analisi.
• Prezzi. NetRise non pubblica prezzi.

Che cosa deve valutare un PSIRT

Un PSIRT risponde di ogni prodotto che l'azienda distribuisce. Lo strumento su cui si appoggia dovrebbe aiutare con:

• Un inventario di ciò che viene distribuito, compreso il firmware di terze parti che non ha mai compilato.
• Come viene prodotta la SBOM, e se lo strumento Le dice quando è incompleta.
• L'individuazione rapida dei prodotti e delle release colpiti quando emerge una vulnerabilità.
• Il monitoraggio dopo la release, man mano che compaiono nuovi advisory per componenti già distribuiti.
• Triage, prioritizzazione e VEX, così da poter dire quali prodotti non sono colpiti.
• Copertura CI, opzioni di hosting e come crescono i prezzi.

Le opzioni

1. CRACI (il nostro prodotto)

CRACI è un runner per GitHub Actions che produce la SBOM mentre la build è in esecuzione. È pensato per i team che compilano il proprio firmware e il proprio software. Un proxy che riconosce i pacchetti registra ciò che ogni job scarica dagli host di pacchetti e sorgenti, compresi i pacchetti ripristinati dalle cache CI, e ogni SBOM dichiara la propria completezza per job e per cache. Le build Yocto girano su runner fino a 32 vCPU e 96 GB di RAM: in una build fianco a fianco di core-image-sato, la SBOM di CRACI conteneva tutti i componenti della SBOM di Yocto più 88 che le mancavano, come pacchetti host e GitHub Actions, e un package URL per ciascuna delle 653 versioni di crate Rust che Yocto elenca senza package URL.

CRACI rivaluta di continuo le SBOM monitorate, mostra quali build contenevano una dipendenza vulnerabile e quali versioni del software sono distribuite in quali prodotti, supporta VEX e consente ai team di sicurezza di esaminare i risultati e assegnare ciascuno al team responsabile della correzione. Può aggiungere SBOM dei vendor, così i componenti acquistati vengono monitorati accanto alle Sue build. Poiché CRACI esegue il job, applica anche una policy di egress in modalità fail closed.

Ideale per: produttori di dispositivi e team software che compilano su GitHub Actions e vogliono build, SBOM e tracciamento delle vulnerabilità in un unico posto. Da valutare se: può fare a meno dell'analisi binaria, della raggiungibilità e dei risultati sui secret nell'output, che CRACI non offre; non può vedere all'interno del firmware che non ha compilato Lei. Supporta solo GitHub Actions, con GitLab CI e Jenkins in roadmap. Veda CRACI per i team PSIRT e CRACI vs NetRise.

2. ONEKEY

ONEKEY analizza il firmware compilato senza bisogno di codice sorgente né di accesso alla rete. Genera una SBOM dal binario, importa le SBOM dei fornitori, esporta CycloneDX e SPDX, cerca probabili zero-day come le credenziali hardcoded e analizza di nuovo il firmware ogni giorno. Il suo Compliance Wizard guida i team attraverso il CRA, IEC 62443-4-2, ETSI EN 303 645 e la Radio Equipment Directive.

Ideale per: produttori di dispositivi che controllano immagini firmware che non hanno compilato, con verifiche guidate rispetto agli standard. Da valutare se: vuole risultati oltre le CVE note da un vendor focalizzato sui prodotti connessi. CRACI vs ONEKEY

3. Finite State

Finite State analizza firmware, binari, codice sorgente e SBOM dei fornitori, con il supporto di più di 50 architetture di set di istruzioni binari, e li riunisce in un unico record di prodotto. Classifica i risultati in base a raggiungibilità, intelligence sugli exploit e contesto di prodotto, registra le decisioni VEX, e il suo workflow di conformità comprende la mappatura dei controlli CRA e report pronti per l'audit con artefatti SBOM e VEX. Integra i controlli in GitHub Actions, GitLab CI e Jenkins.

Ideale per: produttori di dispositivi connessi che hanno bisogno di analizzare il firmware di molti fornitori, con le decisioni VEX nello stesso posto. Da valutare se: vuole un'unica piattaforma per sorgenti, binari e SBOM dei fornitori. CRACI vs Finite State

4. Cybellum

La Product Security Platform di Cybellum crea SBOM combinando i dati di scanner binari, codice sorgente e sorgenti SBOM esterne nei formati SPDX, CycloneDX o CSV di CPE. La sua gestione delle vulnerabilità esegue il triage e la prioritizzazione dei risultati, e può creare report VEX. Per il lavoro PSIRT individua quali prodotti o componenti sono colpiti da una nuova vulnerabilità, condivide lo stato delle vulnerabilità tramite report VEX/CSAF e fornisce un workbench per creare e gestire le indagini. Copre anche la conformità ai requisiti FDA, a ISO 21434 e al CRA.

Ideale per: produttori automotive, medicali e industriali che vogliono SBOM, gestione delle vulnerabilità e indagini PSIRT in un'unica piattaforma. Da valutare se: per Lei il workflow PSIRT conta più di uno scanner binario a sé stante. Cybellum non pubblica prezzi.

5. ReversingLabs Spectra Assure

Spectra Assure analizza pacchetti software compilati senza codice sorgente alla ricerca di malware, manomissioni, secret esposti e vulnerabilità, e produce SBOM CycloneDX e SPDX da ciò che trova. L'analisi differenziale confronta le versioni e segnala i cambiamenti sospetti tra una release e l'altra. La CLI rl-secure gira on premises e in CI.

Ideale per: un gate di release contro malware e manomissioni sul pacchetto che distribuisce, o sul software commerciale prima di metterlo in produzione. Da valutare se: il Suo obiettivo principale è il firmware dei dispositivi più che i pacchetti software. Community è gratuito e Community+ costa $500 al mese (a settembre 2026). CRACI vs ReversingLabs

6. Exein

Exein lavora sul dispositivo e sul firmware. Exein Runtime usa eBPF per monitorare e bloccare i comportamenti malevoli su Linux embedded, e il layer Yocto open source meta-exein inserisce il suo agent Pulsar nella Sua immagine. Exein Analyzer ispeziona il firmware prima della release, o la Sua SBOM quando il binario non è disponibile, classifica i risultati con un punteggio di raggiungibilità e un filtraggio basato su LLM e li mappa sui requisiti del CRA.

Ideale per: produttori di Linux embedded che vogliono una protezione sul campo oltre all'analisi del firmware. Da valutare se: per Lei va bene distribuire un agent sul dispositivo. CRACI vs Exein

7. Cybeats

Cybeats SBOM Studio è un sistema di riferimento che acquisisce, gestisce, monitora e condivide le SBOM tra prodotti e fornitori. Assegna un punteggio di qualità alle SBOM al momento dell'importazione e condivide SBOM e VEX con i clienti. Per la generazione di SBOM e l'analisi della composizione binaria, Cybeats rimanda ai vendor del suo Marketplace, e il suo componente aggiuntivo RAVEN ragiona sulla raggiungibilità e prepara bozze di VEX.

Ideale per: produttori medicali, industriali e di telecomunicazioni che gestiscono un programma SBOM su molti prodotti e fornitori. Da valutare se: Le serve l'analisi stessa; SBOM Studio gestisce SBOM generate da un altro strumento. CRACI vs Cybeats

Fianco a fianco

"NetRise" indica NetRise Turbine, "Cybellum" indica la Cybellum Product Security Platform, "ReversingLabs" indica Spectra Assure e "Cybeats" indica SBOM Studio. I prezzi di ReversingLabs sono aggiornati a settembre 2026. "Non dichiarato" significa che la funzionalità non è descritta nella documentazione del vendor, non che manchi.

Per il Cyber Resilience Act

NetRise, ONEKEY, Finite State, Cybellum ed Exein si occupano tutti del CRA. I suoi obblighi di segnalazione si applicano dall'11 settembre 2026 e le sue disposizioni principali si applicano dall'11 dicembre 2027. Un preallarme entro 24 ore dipende dal sapere rapidamente quali release contengono un componente colpito. Per il software che compila, CRACI conserva la cronologia delle build con la SBOM di ciascuna, così Lei può vedere quali build contenevano una dipendenza vulnerabile. La sua API restituisce SBOM, tracce di rete e provenance, le SBOM si esportano in CycloneDX o SPDX, e CRACI invia le notifiche CRA per Suo conto.

Nessuno strumento in questa pagina rende conforme un produttore da solo. Veda che cosa richiede il CRA e gli strumenti PSIRT a confronto.

Quando restare con NetRise

• Le servono SBOM per firmware e binari che acquista oltre che per quelli che compila, compreso il codice collegato staticamente.
• Vuole che secret, chiavi, certificati e configurazioni errate nell'artefatto siano segnalati accanto alle CVE.
• Si affida alla raggiungibilità dei percorsi di esecuzione per ridurre l'elenco dei risultati.
• Gestisce tecnologia operativa e vuole visibilità sul firmware all'interno della Dragos Platform.

Per saperne di più, veda le build Yocto su CRACI, le alternative a ONEKEY e le alternative a Finite State.

Alternative a NetRise: domande frequenti

Risposte brevi alle domande che i team si pongono quando confrontano le opzioni

Qual è la migliore alternativa a NetRise?

Dipende dall'uso che fa di NetRise. Per l'analisi del firmware con risultati oltre le CVE note e controlli di conformità guidati, guardi a ONEKEY. Per firmware, binari, codice sorgente e SBOM dei fornitori in un unico record di prodotto con raggiungibilità, guardi a Finite State. Per le indagini PSIRT e i report VEX o CSAF in aggiunta all'analisi binaria, guardi a Cybellum. Per i controlli su malware e manomissioni in un pacchetto di release, guardi a ReversingLabs Spectra Assure. Per la protezione sul dispositivo, guardi a Exein. Per gestire le SBOM di molti fornitori, guardi a Cybeats. Se compila il Suo software in GitHub Actions, CRACI registra la SBOM di ogni build e la monitora per individuare vulnerabilità.

NetRise è ancora in vendita dopo l'acquisizione da parte di Dragos?

Dragos ha annunciato l'acquisizione di NetRise e runZero il 21 settembre 2026, senza rendere noti i termini finanziari. Dragos afferma che la dirigenza di NetRise lo integrerà nella Dragos Platform continuando a servire i clienti esistenti, e a ottobre 2026 netrise.io presentava ancora Turbine, Provenance e ZeroLens. Chieda a NetRise o a Dragos come verrà venduto d'ora in poi.

CRACI può analizzare il firmware come NetRise?

No. CRACI non analizza binari né immagini firmware, non esegue l'analisi di raggiungibilità e non cerca secret o configurazioni errate nell'output. Registra ciò che le Sue build scaricano mentre girano sui runner GitHub Actions di CRACI, comprese le build Yocto, e produce la SBOM da quella registrazione. Per il firmware che riceve come binario, può aggiungere a CRACI la SBOM del vendor così che i suoi componenti siano monitorati, ma senza una SBOM Le serve uno strumento di analisi binaria.

Quali di questi strumenti aiutano un PSIRT a trovare i prodotti colpiti?

Cybellum descrive un workbench PSIRT che individua quali prodotti o componenti sono colpiti da una nuova vulnerabilità. Finite State e Cybeats mantengono un registro di prodotti e fornitori. CRACI mostra quali build contenevano una dipendenza vulnerabile, diretta o transitiva, e la sua vista inventario mostra quali versioni del software sono distribuite in quali prodotti. Gli strumenti di analisi binaria come NetRise e ONEKEY Le dicono che cosa c'è nel firmware che non ha compilato Lei.

Una SBOM in fase di build è migliore di una ricavata dall'analisi binaria?

Per il software che compila, una SBOM in fase di build registra ciò che è entrato invece di dedurlo dall'output, cosa difficile per il codice compilato come Rust e C. L'analisi binaria resta l'unica opzione per il firmware che non ha compilato Lei. In una build core-image-sato fianco a fianco, la SBOM di CRACI conteneva tutti i componenti della SBOM di Yocto più 88 che le mancavano, e un package URL per ciascuna delle 653 versioni di crate Rust che Yocto elenca senza package URL.