Strumenti PSIRT a confronto

La risposta breve

• Firmware dei fornitori ricevuto come binario: ONEKEY, Finite State, NetRise o Cybellum. L'analisi binaria è il modo per vedere all'interno del codice la cui build Lei non esegue mai.
• Dispositivi automotive, medicali o industriali con modelli normativi: Cybellum, con modelli per FDA PMA, ISO 21434 e il CRA dell'UE.
• Dispositivi medici e pratiche FDA: Medcrypt, con Helm per SBOM e vulnerabilità.
• Molti scanner in un'unica coda, con un workflow per gli advisory PSIRT: DefectDojo, open source con un'edizione Pro.
• Un system of record per le SBOM di molti fornitori: Cybeats SBOM Studio.
• Immagini Yocto o Buildroot con dati CVE curati: Timesys Vigiles.
• Protezione anche sul dispositivo: Exein.
• Uno spazio gratuito e self-hosted per monitorare le SBOM: OWASP Dependency-Track.
• Software che sviluppa in GitHub Actions: CRACI, che registra la SBOM di ogni build, conserva ogni build passata e monitora ciò che è stato distribuito.

A chi è rivolta questa pagina

Lei gestisce o sta creando una funzione di product security e sta scegliendo gli strumenti che la supportano. Se sta ancora definendo il ruolo, parta da che cosa fa un PSIRT. Noi sviluppiamo CRACI, ne tenga conto. Ogni affermazione su un altro prodotto proviene dal suo sito o dalla sua documentazione, verificati a ottobre 2026, e la maggior parte dei vendor qui presenti ha una pagina CRACI vs X più lunga.

Che cosa deve fare uno strumento PSIRT

Il lavoro segue il ciclo di vita della gestione delle vulnerabilità, e un PSIRT ha bisogno di supporto a ogni passaggio:

1. Sapere che cosa viene distribuito. Una SBOM per versione del prodotto, comprese le dipendenze transitive e i componenti dei fornitori. Tutto il resto dipende dalla sua completezza.
2. Accorgersi delle nuove vulnerabilità. Un monitoraggio continuo che confronta i nuovi advisory con ogni versione rilasciata, non solo con la prossima.
3. Trovare i prodotti colpiti. Quali prodotti, versioni e build contengono il componente, e per quanto tempo lo hanno contenuto.
4. Eseguire il triage e instradare. Decidere che cosa conta e inviarlo al team responsabile della correzione.
5. Dire che cosa non è colpito. VEX registra quali prodotti sono colpiti da una vulnerabilità e perché gli altri non lo sono.
6. Ricevere segnalazioni e informare le persone. Un canale per i ricercatori esterni, il tracciamento dei casi e gli advisory, spesso nel formato leggibile da macchina CSAF.

Nessuno strumento qui sotto copre tutti e sei i passaggi allo stesso modo. La maggior parte dà il meglio nei primi due o tre, e la differenza maggiore sta nella provenienza del loro inventario.

Come scegliere

• Sviluppa il software o lo riceve? Se gran parte del prodotto arriva da vendor di chip e fornitori sotto forma di binari, l'analisi binaria è il modo per vedervi all'interno. Se lo sviluppa Lei, la build è la fonte più diretta dell'inventario.
• Il prodotto è regolamentato? Dispositivi medici, veicoli e apparecchiature industriali comportano formati per le pratiche e standard. Alcuni strumenti forniscono modelli per questi; altri lo lasciano al Suo processo.
• Quanti scanner esegue già? Se i risultati arrivano da molti strumenti, un aggregatore che li deduplica può contare più di un'altra fonte di risultati.
• Dove arrivano le segnalazioni esterne? Le segnalazioni dei ricercatori di solito richiedono un canale proprio (veda più avanti), qualunque strumento di inventario scelga.
• Deve essere self-hosted? DefectDojo, Dependency-Track e Medcrypt Enterprise possono girare sulla Sua infrastruttura, e Cybellum può girare nel Suo datacenter.

In sintesi

Due tabelle: prima gli strumenti costruiti attorno a firmware e dispositivi, poi le piattaforme di gestione delle vulnerabilità e SBOM. "Non dichiarato" significa che le pagine dei vendor che citiamo non lo dicono né in un senso né nell'altro. La ricezione delle segnalazioni, la gestione dei casi e la pubblicazione degli advisory sono trattate nel testo qui sotto e non nelle tabelle.

Firmware e dispositivi

Piattaforme di gestione delle vulnerabilità e SBOM

CRACI

CRACI è un runner GitHub Actions. Lei cambia runs-on in craci e, durante l'esecuzione di ogni job, un proxy che riconosce i pacchetti registra ciò che il job scarica, compresi i pacchetti ripristinati dalle cache CI e le dipendenze che nessun lockfile elenca. La SBOM, in CycloneDX o SPDX, riporta uno stato di completezza per job e per cache. CRACI conserva ogni build passata con la sua SBOM, quindi quando arriva un advisory può vedere quali build contenevano la dipendenza vulnerabile, diretta o transitiva, e per quanto tempo, entro il Suo periodo di conservazione. La sua vista inventario mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale.

Dopo la build, CRACI rivaluta di continuo le SBOM monitorate, consente ai team di sicurezza di esaminare i risultati e assegnare ciascuno al team responsabile della correzione, e supporta VEX. I policy gate possono bloccare una build che contiene una specifica CVE, e una policy di egress limita ciò che la build può raggiungere. Può aggiungere SBOM dei vendor, così i componenti acquistati vengono monitorati accanto alle Sue build. Per le vulnerabilità attivamente sfruttate, CRACI invia le notifiche CRA per Suo conto. Per Yocto, una build affiancata di core-image-sato ha prodotto una SBOM con tutti i componenti della SBOM di Yocto più altri 88 che questa non aveva rilevato. Si pagano solo i minuti di build: $0.004 al minuto per 2 vCPU, misurati al secondo, senza canone mensile e senza costi per SBOM. Ideale per: i PSIRT i cui prodotti vengono compilati in GitHub Actions. Attenzione: non analizza i binari, quindi il firmware che Lei non ha compilato richiede una SBOM del vendor o uno strumento di analisi binaria; non offre analisi di raggiungibilità né esportazione di report; e oggi supporta GitHub Actions, con GitLab CI e Jenkins in roadmap. Veda CRACI per i team PSIRT.

Piattaforme per firmware e dispositivi

Cybellum

Cybellum è una piattaforma di product security per i produttori di dispositivi dei mercati automotive, medicale e industriale, controllata a maggioranza da LG Electronics dal 2021. I suoi Cyber Digital Twins sono costruiti a partire dai binari del firmware, e li unisce a codice sorgente e SBOM dei fornitori in SPDX, CycloneDX o CPE CSV. Monitora le versioni in post-produzione, esegue il triage con un assistente AI, il VM CoPilot, offre un ambiente di lavoro per creare e gestire indagini con ticket e condivide lo stato delle vulnerabilità tramite report VEX e CSAF. I modelli normativi coprono FDA PMA, ISO 21434, il CRA dell'UE e più di 50 standard. Gira su cloud pubblici o nel Suo datacenter. Ideale per: i produttori di dispositivi che hanno bisogno di analisi binaria ed evidenze normative in un'unica piattaforma. Attenzione: i prezzi non sono pubblicati, e lavora sugli artefatti invece di eseguire la Sua build. CRACI vs Cybellum e Alternative a Cybellum

ONEKEY

ONEKEY analizza il firmware compilato senza bisogno di codice sorgente né di accesso alla rete. Genera una SBOM dal binario, importa le SBOM dei fornitori, cerca probabili zero-day come le credenziali hardcoded e rianalizza il firmware ogni giorno. Il suo Compliance Wizard guida i team attraverso il CRA, IEC 62443-4-2, ETSI EN 303 645 e la Radio Equipment Directive. Ideale per: i team che integrano molto firmware di fornitori. Attenzione: lavora sull'immagine dopo la build, quindi non registra ciò che la build ha scaricato. CRACI vs ONEKEY e Alternative a ONEKEY

Finite State

Finite State analizza firmware, binari, codice sorgente e SBOM dei fornitori, con supporto per più di 50 architetture di set di istruzioni binarie, e li riunisce in un unico registro del software distribuito con monitoraggio post-market. Classifica i risultati per raggiungibilità e intelligence sugli exploit, registra le decisioni VEX e mappa i controlli sui requisiti del CRA e della FDA. Ideale per: i PSIRT che devono dare priorità a un lungo elenco di risultati su molti fornitori. Attenzione: parte dagli artefatti, quindi il controllo di ciò che la Sua build poteva raggiungere è fuori dal suo ambito. CRACI vs Finite State e Alternative a Finite State

NetRise

NetRise Turbine produce una SBOM completa derivata dal binario a partire dal software stesso, compreso il codice collegato staticamente e incorporato, per il software che Lei sviluppa, acquista ed esegue. Importa SBOM SPDX e CycloneDX, controlla di continuo NVD, CISA KEV e dati sugli attori delle minacce, classifica i risultati in base alla raggiungibilità dei percorsi di esecuzione, segnala secret, chiavi e configurazioni errate all'interno dell'artefatto e si collega a Jira e ServiceNow. Dragos ha annunciato il 21 settembre 2026 di aver acquisito NetRise. Ideale per: tecnologia operativa e flotte di dispositivi il cui software proviene da molti vendor. Attenzione: le sue pagine non descrivono VEX, gestione dei casi o pubblicazione di advisory, e i prezzi non sono pubblicati. CRACI vs NetRise e Alternative a NetRise

Exein

Exein lavora sul dispositivo oltre che prima della release. Exein Runtime usa eBPF per monitorare e bloccare i comportamenti malevoli su Linux embedded, e il layer Yocto open source meta-exein inserisce il suo agente Pulsar nella Sua immagine. Exein Analyzer scansiona il firmware, o la Sua SBOM quando il binario non è disponibile, stabilisce le priorità con un punteggio di raggiungibilità e mappa i risultati sui requisiti del CRA. Ideale per: i prodotti Linux embedded che hanno bisogno di protezione sul campo. Attenzione: il layer Yocto cambia ciò che gira sul dispositivo; non esegue né registra la Sua build. CRACI vs Exein

Timesys Vigiles

Vigiles, ora venduto da Lynx Software Technologies, trasforma i metadati di una build Yocto, Buildroot o OpenWrt in una SBOM e la confronta con un database CVE curato. I filtri di configurazione del kernel e di U-Boot rimuovono le CVE delle funzionalità che Lei non compila, le decisioni di triage (colpito, corretto, rinviato, non sfruttabile) vengono conservate per release, le voci CISA KEV sono evidenziate ed esporta SBOM, VEX e report sulle vulnerabilità. Ideale per: i team Linux embedded che vogliono meno rumore sulle CVE. Attenzione: la sua SBOM riflette ciò che i metadati di BitBake dicono che entra nell'immagine, non tutto ciò che la build ha scaricato. CRACI vs Timesys Vigiles

Piattaforme di gestione delle vulnerabilità e SBOM

DefectDojo

DefectDojo è un progetto OWASP Flagship con un'edizione commerciale Pro. La Community Edition gratuita deduplica i risultati degli scanner che Lei già esegue, più di 500 strumenti supportati secondo il suo stesso conteggio, in un'unica coda con responsabili, SLA e ticket Jira. Pro aggiunge l'importazione di SBOM in CycloneDX e SPDX, l'esportazione CycloneDX VEX e un PSIRT Advisory Engine che acquisisce advisory da più di 20 feed, li confronta con i dati delle SBOM, li raggruppa in casi con responsabili e pubblica advisory PDF personalizzati. La sua release di settembre 2026 ha aggiunto l'esportazione di advisory CSAF 2.0 e VEX e un'interfaccia di segnalazione per l'articolo 14 del CRA. Pro parte da $100 al mese più $0.15 per risultato elaborato. Ideale per: i PSIRT che vogliono una base open source e un workflow per gli advisory. Attenzione: non genera SBOM da solo, quindi l'inventario è completo solo se lo è ciò che Lei carica. CRACI vs DefectDojo e Alternative a DefectDojo

Medcrypt

Medcrypt aiuta i produttori di dispositivi medici a far superare alla loro pratica di cybersecurity la revisione della FDA, con un team che include ex revisori della FDA. Il suo prodotto Helm importa SBOM CycloneDX o SPDX tramite API, GitHub Action o Azure DevOps, le monitora di continuo, classifica i risultati con EPSS, CISA KEV e dati sugli exploit, ed esporta report CycloneDX VEX e VDR. MSI, che include Helm, costa $35,000 per linea di prodotto all'anno, e la sua iscrizione a MedISAO comprende un programma di divulgazione coordinata delle vulnerabilità. Ideale per: i produttori di dispositivi medici che preparano o mantengono pratiche FDA. Attenzione: acquisisce le SBOM invece di produrle (uno strumento di generazione è disponibile su richiesta), e la sua pagina dei prezzi indica che oggi la piattaforma copre la FDA. CRACI vs Medcrypt

Cybeats

Cybeats SBOM Studio si definisce il system of record delle SBOM. Archivia le SBOM dei Suoi prodotti e fornitori in SPDX da 2.2 a 3.0.1 e CycloneDX da 1.2 a 1.7, ne valuta la qualità prima dell'importazione, confronta di continuo ogni componente con la vulnerability intelligence, emette VEX e condivide le SBOM con i clienti, anche tramite la Transparency Exchange API. Ideale per: i team di product security in ICS, dispositivi medici, telecomunicazioni e automotive che gestiscono un programma SBOM su molti fornitori. Attenzione: per la generazione rimanda ai vendor del suo Marketplace, quindi la SBOM stessa proviene da un altro strumento. CRACI vs Cybeats e Alternative a Cybeats

L'opzione open source: Dependency-Track

OWASP Dependency-Track è una piattaforma Apache 2.0 che traccia i componenti su ogni versione di ogni applicazione, acquisisce dati sulle vulnerabilità da fonti come NVD e GitHub Advisories, applica policy di sicurezza, di licenza e operative, e consuma e produce CycloneDX VEX. Le pipeline caricano le SBOM tramite la sua API. È gratuito, e va ospitato e gestito in proprio. Ideale per: i team che vogliono una piattaforma di analisi trasparente e self-hosted. Attenzione: non genera SBOM, quindi i suoi risultati dipendono dal generatore che Lei esegue a monte. CRACI vs Dependency-Track e Alternative a Dependency-Track

Ricezione delle segnalazioni, casi e advisory

Le tabelle qui sopra si fermano al triage e a VEX. Il resto del lavoro di un PSIRT, ricevere le segnalazioni e informare le persone, è coperto in modo disomogeneo:

• Segnalazioni dei ricercatori esterni. Di solito arrivano tramite un programma di vulnerability disclosure. Molte aziende ne gestiscono uno su una piattaforma come HackerOne Response o il VDP di Bugcrowd, che offrono ai ricercatori un canale per inviare le segnalazioni e aiutano nel triage. Altre pubblicano direttamente una politica e un contatto di sicurezza. La nostra guida alla divulgazione coordinata delle vulnerabilità tratta la politica, security.txt e le tempistiche.
• Gestione dei casi. Cybellum ha un ambiente di lavoro per le indagini con ticket. DefectDojo Pro raggruppa gli advisory confrontati in casi con responsabili e tracciamento degli SLA. Nessuno dei due dichiara di ospitare le segnalazioni dei ricercatori.
• Advisory. DefectDojo Pro pubblica advisory PDF personalizzati ed esporta CSAF 2.0. Cybellum condivide lo stato delle vulnerabilità tramite report VEX e CSAF. L'iscrizione a MedISAO di Medcrypt comprende un programma di divulgazione coordinata delle vulnerabilità.

Dove si colloca CRACI

La prima domanda in ogni caso PSIRT è quali prodotti e versioni contengono il componente vulnerabile. L'analisi binaria risponde a partire da ciò che è stato distribuito, le piattaforme SBOM dalle SBOM che Lei fornisce e gli aggregatori da ciò che segnalano gli altri scanner. CRACI risponde a partire da una registrazione di ciò che le Sue build hanno effettivamente scaricato, conservata per ogni build passata. Per il software che sviluppa in GitHub Actions, questo copre inventario, monitoraggio, triage e VEX in un unico prodotto, quindi per quelle build non serve un gestore di SBOM separato come Dependency-Track o Cybeats.

Altrove vincono altri strumenti. L'analisi binaria di Cybellum, ONEKEY, Finite State o NetRise vede all'interno del firmware che Lei non ha compilato. Cybellum e Medcrypt portano modelli normativi e competenza sulle pratiche. DefectDojo aggrega i risultati di centinaia di scanner e pubblica advisory. Finite State, NetRise ed Exein classificano i risultati per raggiungibilità, funzione che CRACI non offre. Legga che cosa fa un PSIRT e CRACI per i team PSIRT, oppure confronti gli strumenti per la conformità al CRA e gli strumenti SBOM.

Strumenti PSIRT: domande frequenti

Che cos'è uno strumento PSIRT?

Un software che aiuta un product security incident response team a svolgere il proprio lavoro: sapere quali componenti sono presenti in ogni versione del prodotto, accorgersi quando una nuova vulnerabilità li colpisce, eseguire il triage, instradare la correzione, registrare quali prodotti non sono colpiti e informare clienti e autorità. Pochi prodotti coprono tutto questo. La maggior parte dei PSIRT combina uno strumento di inventario e monitoraggio con un canale per le segnalazioni esterne e un modo per pubblicare gli advisory.

Qual è lo strumento PSIRT migliore per il firmware ricevuto come binario?

Uno strumento di analisi binaria. Cybellum, ONEKEY, Finite State e NetRise costruiscono una SBOM dal firmware compilato stesso, quindi possono vedere all'interno del codice dei fornitori la cui build Lei non esegue mai. Anche Exein Analyzer scansiona il firmware prima della release. CRACI non analizza i binari; per il firmware dei fornitori può monitorare la SBOM del vendor, se il vendor ne fornisce una.

Quale strumento PSIRT è adatto al software che sviluppiamo internamente?

Se le Sue build girano in GitHub Actions, CRACI registra la SBOM di ogni build durante l'esecuzione, conserva ogni build passata con la sua SBOM, rivaluta le SBOM monitorate quando compaiono nuovi advisory e mostra quali build contenevano una dipendenza vulnerabile e quali versioni del software sono distribuite in quali prodotti. GitLab CI e Jenkins sono nella sua roadmap. Per le immagini Yocto, Timesys Vigiles costruisce una SBOM dai metadati BitBake invece di registrare la build.

Esiste uno strumento PSIRT gratuito o open source?

Due degli strumenti qui presenti hanno edizioni gratuite. DefectDojo Community Edition è gratuito con licenza BSD 3-Clause e deduplica i risultati di centinaia di scanner in un'unica coda; il suo PSIRT Advisory Engine, l'importazione di SBOM e l'esportazione CSAF sono in DefectDojo Pro. OWASP Dependency-Track è gratuito con licenza Apache 2.0 e monitora le SBOM che Lei carica. Entrambi vanno ospitati e gestiti in proprio.

Gli strumenti PSIRT ricevono segnalazioni da ricercatori esterni?

Le segnalazioni dei ricercatori di solito arrivano tramite un programma di vulnerability disclosure, spesso gestito su una piattaforma come HackerOne o Bugcrowd, oppure tramite un contatto di sicurezza pubblicato. DefectDojo Pro acquisisce gli advisory da feed pubblici e Cybellum offre un ambiente di lavoro per le indagini, ma nessuno dei due dichiara di ospitare le segnalazioni dei ricercatori.

Quali strumenti pubblicano advisory CSAF?

DefectDojo Pro ha aggiunto l'esportazione di advisory CSAF 2.0 e VEX a settembre 2026 e pubblica advisory PDF personalizzati. Cybellum condivide lo stato delle vulnerabilità tramite report VEX e CSAF. Gli altri vendor in questa pagina non descrivono la pubblicazione di advisory CSAF nelle pagine che citiamo.

Il CRA richiede uno strumento PSIRT?

Nessuno strumento è obbligatorio. Il Cyber Resilience Act chiede ai fabbricanti di gestire le vulnerabilità per tutto il periodo di assistenza, di mantenere una politica di divulgazione coordinata delle vulnerabilità e un contatto per le segnalazioni e, dall'11 settembre 2026, di segnalare le vulnerabilità attivamente sfruttate entro 24 ore, 72 ore e 14 giorni. CRACI invia queste notifiche per conto del fabbricante, e DefectDojo Pro ha un'interfaccia di segnalazione per l'articolo 14 del CRA. L'obbligo resta in capo al fabbricante.