NetRiseの代替ツール

CRACIは当社の製品であることを踏まえてお読みください。各選択肢はそれぞれのドキュメントに基づいて説明し、他のツールのほうが適している場合はそのように記載しています。

チームがNetRise以外を検討する理由

NetRise Turbineは、ファームウェア、コンテナイメージ、アプリケーションバイナリについて、静的リンクや組み込みの依存関係を含め、「ソフトウェア自体から、バイナリ由来の完全なSBOM」を生成します。アーティファクトとともに出荷されるシークレット、鍵、証明書、設定ミス、ライセンスの問題を報告し、実行パスが到達するかどうかで脆弱性を順位付けし、SPDXとCycloneDXのインポートとエクスポートに対応しています。NetRise Provenanceはオープンソースコンポーネントの出所と健全性をチェックし、ZeroLensはコンパイル済みソフトウェアの弱点を探します。2026年9月21日、DragosはNetRiseを買収し、Dragos Platformに統合すると発表しました。

それでもチームが代替ツールを比較するのは、主に次のような理由からです。

• 買収。Dragosは、重要インフラの事業者向けプラットフォームにNetRiseを取り込もうとしています。その市場以外のデバイスメーカーは、自社に向けたロードマップを持つベンダーを求めるかもしれません。
• ソフトウェアの大半が自社製。バイナリの解析は、出力からさかのぼる作業です。自社でイメージをビルドするチームなら、代わりにイメージに取り込まれたものを記録できます。
• PSIRTワークフロー。NetRiseのサイトには、VEX、アドバイザリ、PSIRT調査についての記載がありません。解析と同じツールでこれらを扱いたいチームもあります。
• 料金。NetRiseは料金を公開していません。

PSIRTが確認すべきポイント

PSIRTは、企業が出荷するすべての製品に責任を負います。その背後にあるツールには、次の点での支援が求められます。

• 自社でビルドしていないサードパーティのファームウェアを含む、出荷物のインベントリ。
• SBOMがどのように生成されるか、そして不完全な場合にツールがそれを知らせるかどうか。
• 脆弱性が公開されたときに、影響を受ける製品とリリースをすばやく特定できること。
• 出荷済みのコンポーネントに新たなアドバイザリが出たときの、リリース後のモニタリング。
• トリアージ、優先順位付け、VEX。影響を受けない製品を明示できるようにするため。
• CIへの対応範囲、ホスティングの選択肢、料金の増え方。

選択肢

1. CRACI（当社製品）

CRACIは、ビルドの実行中にSBOMを生成するGitHub Actionsランナーです。自社でファームウェアやソフトウェアをビルドするチームを対象としています。パッケージを認識するプロキシが、各ジョブがパッケージホストやソースホストから取得するもの（CIキャッシュから復元されたパッケージを含む）を記録し、各SBOMはジョブごと、キャッシュごとに完全性を示します。Yoctoビルドは最大32 vCPU、96 GBのRAMを備えたランナーで実行されます。core-image-satoのビルドを並べて比較したところ、CRACIのSBOMにはYocto自身のSBOMにあるすべてのコンポーネントに加え、ホストパッケージやGitHub ActionsなどYoctoが見落とした88個が含まれ、Yoctoがpackage URLなしで記載している653のRustクレートバージョンそれぞれにpackage URLが付いていました。

CRACIは監視対象のSBOMを継続的に再評価し、脆弱な依存関係を含んでいたビルドと、どのソフトウェアバージョンがどの製品にデプロイされているかを示します。VEXに対応し、セキュリティチームは検出結果をトリアージして、それぞれを修正を担当するチームに割り当てられます。ベンダーのSBOMを追加できるため、購入したコンポーネントも自社のビルドと並べて監視できます。CRACIがジョブを実行するため、フェイルクローズで動作するエグレスポリシーも適用します。

最適な用途：GitHub Actionsでビルドし、ビルド、SBOM、脆弱性トラッキングを1か所にまとめたいデバイスメーカーとソフトウェアチーム。検討すべきケース：バイナリ解析、到達可能性分析、出力内のシークレット検出がなくても問題ない場合。CRACIにはこれらの機能がなく、自社でビルドしていないファームウェアの中身は見えません。対応しているのはGitHub Actionsのみで、GitLab CIとJenkinsはロードマップに掲載されています。PSIRTチーム向けのCRACIとCRACIとNetRiseの比較をご覧ください。

2. ONEKEY

ONEKEYは、「ソースコードもネットワークアクセスも不要」でコンパイル済みファームウェアを解析します。バイナリからSBOMを生成し、サプライヤーのSBOMを取り込み、CycloneDXとSPDXでエクスポートし、ハードコードされた認証情報などのゼロデイの可能性を探し、ファームウェアを毎日再解析します。Compliance Wizardが、CRA、IEC 62443-4-2、ETSI EN 303 645、無線機器指令（Radio Equipment Directive）への対応をガイドします。

最適な用途：自社でビルドしていないファームウェアイメージを、規格に沿ったガイド付きチェックで確認したいデバイスメーカー。検討すべきケース：コネクテッド製品に特化したベンダーから、既知のCVE以外の検出結果も得たい場合。CRACIとONEKEYの比較

3. Finite State

Finite Stateは、「50以上のバイナリ命令セットアーキテクチャに対応」し、ファームウェア、バイナリ、ソースコード、サプライヤーのSBOMを解析して、1つの製品記録にまとめます。到達可能性、エクスプロイトインテリジェンス、製品のコンテキストによって検出結果を順位付けし、VEXの判断を記録します。コンプライアンスワークフローは、CRAの管理策マッピングと、SBOMやVEXのアーティファクトを含む監査対応レポートをカバーしています。GitHub Actions、GitLab CI、Jenkinsにチェックを組み込めます。

最適な用途：多数のサプライヤーのファームウェアを解析し、VEXの判断も同じ場所で管理する必要があるコネクテッドデバイスのメーカー。検討すべきケース：ソース、バイナリ、サプライヤーのSBOMを1つのプラットフォームで扱いたい場合。CRACIとFinite Stateの比較

4. Cybellum

CybellumのProduct Security Platformは、「バイナリスキャナー、ソースコード、SPDX、CycloneDX、CPEs CSV形式の外部SBOMソースのデータを組み合わせて」SBOMを作成します。脆弱性管理機能で検出結果をトリアージして優先順位を付け、VEXレポートを作成できます。PSIRT業務では、新たな脆弱性がどの製品やコンポーネントに影響するかを特定し、「VEX/CSAFレポートで」脆弱性の状況を共有し、調査の作成と管理のためのワークベンチを提供します。FDAの要件、ISO 21434、CRAへのコンプライアンスもカバーしています。

最適な用途：SBOM、脆弱性管理、PSIRT調査を1つのプラットフォームで扱いたい自動車、医療、産業機器のメーカー。検討すべきケース：単体のバイナリスキャナーよりもPSIRTワークフローを重視する場合。Cybellumは料金を公開していません。

5. ReversingLabs Spectra Assure

Spectra Assureは、コンパイル済みのソフトウェアパッケージをソースコードなしで解析し、マルウェア、改ざん、露出したシークレット、脆弱性を検出して、その結果からCycloneDXとSPDXのSBOMを生成します。差分解析でバージョンを比較し、リリース間の不審な変更にフラグを立てます。rl-secure CLIはオンプレミスでもCIでも動作します。

最適な用途：出荷するパッケージや、導入前の商用ソフトウェアに対する、マルウェアと改ざんのリリースゲート。検討すべきケース：主な対象がソフトウェアパッケージではなくデバイスのファームウェアである場合。Communityは無料、Community+は月額$500です（2026年9月時点）。CRACIとReversingLabsの比較

6. Exein

Exeinは、デバイス上とファームウェアの両方で機能します。Exein RuntimeはeBPFを使って組み込みLinux上の悪意ある挙動を監視、ブロックし、オープンソースのmeta-exein YoctoレイヤーでPulsarエージェントをイメージに組み込みます。Exein Analyzerはリリース前のファームウェア（バイナリがない場合はSBOM）を検査し、到達可能性スコアリングとLLMによるフィルタリングで検出結果を順位付けし、CRAの要件にマッピングします。

最適な用途：ファームウェア解析に加えて、現場での保護も求める組み込みLinuxのメーカー。検討すべきケース：デバイスにエージェントを搭載して出荷することに抵抗がない場合。CRACIとExeinの比較

7. Cybeats

Cybeats SBOM Studioは、製品とサプライヤーをまたいでSBOMを取り込み、管理、監視、共有するシステム・オブ・レコードです。取り込み時にSBOMの品質をスコア化し、SBOMとVEXを顧客と共有します。SBOMの生成とバイナリ構成分析については、CybeatsはMarketplaceのベンダーを案内しており、RAVENアドオンが到達可能性を推論してVEXの草案を作成します。

最適な用途：多数の製品とサプライヤーにまたがるSBOMプログラムを運用する医療、産業、通信機器のメーカー。検討すべきケース：解析そのものが必要な場合。SBOM Studioが管理するのは、別のツールが生成したSBOMです。CRACIとCybeatsの比較

一覧で比較

「NetRise」はNetRise Turbine、「Cybellum」はCybellum Product Security Platform、「ReversingLabs」はSpectra Assure、「Cybeats」はSBOM Studioを指します。ReversingLabsの料金は2026年9月時点のものです。「記載なし」は、その機能がベンダーのドキュメントに記載されていないことを意味し、機能がないことを意味するものではありません。

Cyber Resilience Actへの対応

NetRise、ONEKEY、Finite State、Cybellum、ExeinはいずれもCRAに対応しています。CRAの報告義務は2026年9月11日から適用されており、主要な規定は2027年12月11日から適用されます。24時間以内の早期警告には、影響を受けるコンポーネントを含むリリースをすばやく把握することが欠かせません。自社でビルドするソフトウェアについて、CRACIはビルド履歴を各ビルドのSBOMとともに保持するため、脆弱な依存関係を含んでいたビルドを確認できます。APIからSBOM、ネットワークトレース、来歴を取得でき、SBOMはCycloneDXまたはSPDXでエクスポートでき、CRACIはCRAの通知の内容を準備し、提出はお客様が行います。

このページのどのツールも、それだけでメーカーをコンプライアンス準拠にするものではありません。CRAの要件とPSIRTツールの比較をご覧ください。

NetRiseを使い続けるべきケース

• 自社でビルドするものだけでなく、購入するファームウェアやバイナリ（静的リンクされたコードを含む）のSBOMも必要な場合。
• アーティファクト内のシークレット、鍵、証明書、設定ミスをCVEと並べて報告してほしい場合。
• 実行パスの到達可能性に基づいて検出結果のリストを絞り込んでいる場合。
• OT（制御技術）を運用しており、Dragos Platform内でファームウェアを可視化したい場合。

詳しくは、CRACIでのYoctoビルド、ONEKEYの代替ツール、Finite Stateの代替ツールをご覧ください。

NetRiseの代替ツールに関するよくあるご質問

比較検討の際によくいただくご質問への簡潔な回答

NetRiseの最適な代替ツールは何ですか？

NetRiseを何に使っているかによります。既知のCVE以外の検出やガイド付きのコンプライアンスチェックを含むファームウェア解析なら、ONEKEYを検討してください。ファームウェア、バイナリ、ソースコード、サプライヤーのSBOMを到達可能性分析とともに1つの製品記録にまとめたいなら、Finite Stateです。バイナリ解析に加えてPSIRT調査とVEXまたはCSAFのレポートが必要なら、Cybellumです。リリースパッケージのマルウェアや改ざんのチェックなら、ReversingLabs Spectra Assureです。デバイス上での保護なら、Exeinです。多数のサプライヤーにまたがるSBOMを管理するなら、Cybeatsです。自社のソフトウェアをGitHub Actionsでビルドしているなら、CRACIが各ビルドからSBOMを記録し、脆弱性を監視します。

Dragosによる買収後もNetRiseは販売されていますか？

Dragosは2026年9月21日、NetRiseとrunZeroの買収を発表しました。財務条件は公表されていません。Dragosによると、NetRiseの経営陣が既存顧客へのサービスを続けながらDragos Platformへの統合を進めるとしており、2026年10月時点でもnetrise.ioはTurbine、Provenance、ZeroLensを紹介していました。今後の販売形態については、NetRiseまたはDragosにお問い合わせください。

CRACIはNetRiseのようにファームウェアを解析できますか？

いいえ。CRACIはバイナリやファームウェアイメージを解析せず、到達可能性分析も行わず、出力に含まれるシークレットや設定ミスも探しません。CRACIが記録するのは、自社のビルドがCRACIのGitHub Actionsランナー上で実行中に取得するもの（Yoctoビルドを含む）であり、その記録からSBOMを生成します。バイナリとして受け取るファームウェアについては、ベンダーのSBOMをCRACIに追加すればそのコンポーネントを監視できますが、SBOMがない場合はバイナリ解析ツールが必要です。

PSIRTが影響を受ける製品を特定するのに役立つツールはどれですか？

Cybellumは、新たな脆弱性がどの製品やコンポーネントに影響するかを特定するPSIRTワークベンチを紹介しています。Finite StateとCybeatsは、製品とサプライヤーをまたいだ記録を保持します。CRACIは、脆弱な依存関係（直接または推移的）を含んでいたビルドを示し、インベントリビューでどのソフトウェアバージョンがどの製品にデプロイされているかを示します。NetRiseやONEKEYなどのバイナリ解析ツールは、自社でビルドしていないファームウェアの中身を教えてくれます。

ビルド時SBOMは、バイナリ解析によるSBOMより優れていますか？

自社でビルドするソフトウェアについては、ビルド時SBOMは出力から推測するのではなく、実際に取り込まれたものを記録します。RustやCのようなコンパイル済みコードでは、出力からの推測は困難です。自社でビルドしていないファームウェアには、依然としてバイナリ解析しか選択肢がありません。core-image-satoのビルドを並べて比較したところ、CRACIのSBOMにはYocto自身のSBOMにあるすべてのコンポーネントに加え、Yoctoが見落とした88個が含まれ、Yoctoがpackage URLなしで記載している653のRustクレートバージョンそれぞれにpackage URLが付いていました。