PSIRTツールの比較

結論

• サプライヤーからバイナリで受け取るファームウェア：ONEKEY、Finite State、NetRise、またはCybellum。自社で一度もビルドしないコードの中身を把握するには、バイナリ解析が有効です。
• 規制テンプレートを必要とする自動車、医療、産業機器：Cybellum。FDA PMA、ISO 21434、EU CRA向けのテンプレートがあります。
• 医療機器とFDA申請：Medcrypt。SBOMと脆弱性にはHelmを使います。
• 多数のスキャナーを1つのキューに集約し、PSIRTのアドバイザリワークフローも：DefectDojo。オープンソースで、Pro版もあります。
• 多数のサプライヤーのSBOMを管理する記録システム：Cybeats SBOM Studio。
• 精査されたCVEデータを伴うYoctoまたはBuildrootのイメージ：Timesys Vigiles。
• デバイス上での保護も：Exein。
• SBOMを監視する無料のセルフホスト環境：OWASP Dependency-Track。
• GitHub Actionsでビルドするソフトウェア：CRACI。各ビルドからSBOMを記録し、過去のすべてのビルドを保持し、出荷したものを監視します。

このページの対象読者

製品セキュリティ部門を運営している、または立ち上げようとしていて、その基盤となるツールを選んでいる方が対象です。役割の定義がまだの場合は、PSIRTの役割からお読みください。CRACIは当社の製品であることを踏まえてお読みください。他の製品に関する記述はすべて、2026年10月に確認した各社のサイトまたはドキュメントに基づいており、ここで紹介するベンダーの多くについては、より詳しいCRACIとの比較ページがあります。

PSIRTツールに求められること

業務は脆弱性管理のライフサイクルに沿って進み、PSIRTには各段階での支援が必要です。

1. 出荷するものを把握する。推移的依存関係とサプライヤーのコンポーネントを含む、製品バージョンごとのSBOM。以降のすべては、これが完全であることにかかっています。
2. 新たな脆弱性に気付く。次のリリースだけでなく、リリース済みのすべてのバージョンに対して新しいアドバイザリを照合する継続的な監視。
3. 影響を受ける製品を特定する。どの製品、バージョン、ビルドにそのコンポーネントが含まれていたか、そしてその期間。
4. トリアージして割り当てる。何が重要かを判断し、修正を担当するチームに送る。
5. 影響を受けないものを示す。VEXは、脆弱性がどの製品に影響し、他の製品がなぜ影響を受けないかを記録します。
6. 報告を受け付け、関係者に伝える。外部の研究者向けの窓口、ケース管理、そしてアドバイザリ（多くの場合、機械可読なCSAF）。

以下のツールで、6つすべてを同等にカバーするものはありません。多くは最初の2〜3段階が最も得意で、最も大きく異なるのはインベントリをどこから得るかです。

選び方

• ソフトウェアを自社でビルドしますか、それとも受け取りますか？製品の多くがチップベンダーやサプライヤーからバイナリで届くなら、中身を把握する手段はバイナリ解析です。自社でビルドするなら、ビルドこそがインベントリの最も直接的な情報源です。
• 製品は規制対象ですか？医療機器、車両、産業機器には申請形式や規格があります。それらのテンプレートを備えるツールもあれば、自社のプロセスに委ねるツールもあります。
• すでにいくつのスキャナーを使っていますか？多数のツールから検出結果が届くなら、検出結果の情報源を増やすより、それらを重複排除するアグリゲーターのほうが重要かもしれません。
• 外部からの報告はどこから届きますか？どのインベントリツールを選んでも、研究者からの報告には通常、専用の窓口が必要です（後述）。
• セルフホストは必須ですか？DefectDojo、Dependency-Track、Medcrypt Enterpriseは自社インフラで実行でき、Cybellumは自社のデータセンターで実行できます。

概要

2つの表があります。1つ目はファームウェアとデバイスを主眼とするツール、2つ目は脆弱性管理とSBOMのプラットフォームです。「記載なし」は、当社が参照したベンダーのページにいずれとも記載がないことを意味します。報告の受付、ケース管理、アドバイザリの公開は、表ではなく後述の本文で扱います。

ファームウェアとデバイス

脆弱性管理とSBOMのプラットフォーム

CRACI

CRACIはGitHub Actionsのランナーです。runs-onをcraciに変更すると、各ジョブの実行中にパッケージを認識するプロキシが取得したものを記録します。CIキャッシュから復元されたパッケージや、どのロックファイルにも記載されていない依存関係も含まれます。CycloneDXまたはSPDXのSBOMには、ジョブごと・キャッシュごとに完全性の状態が付与されます。CRACIは過去のすべてのビルドをSBOMとともに保持するため、アドバイザリが公開されたとき、保持期間内であれば、どのビルドに脆弱な依存関係（直接・推移的を問わず）が含まれていたか、そしてその期間を確認できます。インベントリビューでは、どのソフトウェアバージョンがどの製品にデプロイされているかを、グローバルに正確に把握できます。

ビルド後、CRACIは監視対象のSBOMを継続的に再評価し、セキュリティチームが検出結果をトリアージして修正を担当するチームに割り当てられるようにし、VEXにも対応します。ポリシーゲートは特定のCVEを含むビルドをブロックでき、エグレスポリシーはビルドがアクセスできる範囲を制限します。ベンダーのSBOMを追加できるため、購入したコンポーネントも自社のビルドと並べて監視されます。悪用が確認された脆弱性については、CRACIがCRA通知（早期警告、通知、最終報告）の内容を準備し、提出はお客様が行います。Yoctoでは、core-image-satoの並行ビルドで、Yocto自身のSBOMのすべてのコンポーネントに加え、それが見落とした88個を含むSBOMが得られました。料金はビルド時間のみで、2 vCPUの1分あたり$0.004、秒単位で計測され、月額料金もSBOMごとの課金もありません。最適な用途：製品をGitHub ActionsでビルドしているPSIRT。注意点：バイナリを解析しないため、自社でビルドしていないファームウェアにはベンダーのSBOMかバイナリ解析ツールが必要です。到達可能性分析とレポートのエクスポートはありません。現在対応しているのはGitHub Actionsで、GitLab CIとJenkinsはロードマップに掲載されています。PSIRTチーム向けのCRACIをご覧ください。

ファームウェアとデバイスのプラットフォーム

Cybellum

Cybellumは、自動車、医療、産業市場のデバイスメーカー向けの製品セキュリティプラットフォームで、2021年からLG Electronicsが過半数を所有しています。Cyber Digital Twinsはファームウェアのバイナリから構築され、ソースコードや、SPDX、CycloneDX、CPE CSVのサプライヤーSBOMと統合されます。出荷後のバージョンを監視し、AIアシスタントのVM CoPilotでトリアージし、チケット付きの「調査を作成・管理するためのワークベンチ」を提供し、VEXとCSAFのレポートで脆弱性のステータスを共有します。規制テンプレートはFDA PMA、ISO 21434、EU CRAなど50以上の規格をカバーします。パブリッククラウドまたは自社のデータセンターで実行できます。最適な用途：バイナリ解析と規制向けエビデンスを1つのプラットフォームで必要とするデバイスメーカー。注意点：料金は公開されておらず、ビルドを実行するのではなく成果物を対象に動作します。CRACIとCybellumの比較、Cybellumの代替ツール

ONEKEY

ONEKEYは、「ソースコードもネットワークアクセスも不要」でコンパイル済みファームウェアを解析します。バイナリからSBOMを生成し、サプライヤーのSBOMをインポートし、ハードコードされた認証情報などのゼロデイの可能性を探し、ファームウェアを毎日再分析します。Compliance Wizardは、CRA、IEC 62443-4-2、ETSI EN 303 645、無線機器指令（Radio Equipment Directive）への対応をチームに案内します。最適な用途：多くのサプライヤーファームウェアを統合するチーム。注意点：ビルド後のイメージを対象とするため、ビルドが取得したものは記録しません。CRACIとONEKEYの比較、ONEKEYの代替ツール

Finite State

Finite Stateは、50以上のバイナリ命令セットアーキテクチャに対応し、ファームウェア、バイナリ、ソースコード、サプライヤーのSBOMを解析して、出荷済みソフトウェアの1つの記録にまとめ、市販後の監視を行います。到達可能性とエクスプロイトのインテリジェンスで検出結果を順位付けし、VEXの判断を記録し、コントロールをCRAとFDAの要件にマッピングします。最適な用途：多数のサプライヤーにまたがる長い検出結果のリストに優先順位を付ける必要があるPSIRT。注意点：成果物から始めるため、自社のビルドがアクセスできる範囲の制御は対象外です。CRACIとFinite Stateの比較、Finite Stateの代替ツール

NetRise

NetRise Turbineは、自社でビルドする、購入する、運用するソフトウェアについて、静的リンクや組み込みのコードも含め、「ソフトウェアそのものから得られる、完全なバイナリ由来のSBOM」を生成します。SPDXとCycloneDXのSBOMをインポートし、NVD、CISA KEV、脅威アクターのデータを継続的に確認し、実行パスの到達可能性で検出結果を順位付けし、成果物内のシークレット、鍵、設定ミスを報告し、JiraやServiceNowと連携します。Dragosは2026年9月21日にNetRiseを買収したと発表しました。最適な用途：多数のベンダーのソフトウェアで構成されるOT（運用技術）やデバイス群。注意点：同社のページにはVEX、ケース管理、アドバイザリの公開についての記載がなく、料金も公開されていません。CRACIとNetRiseの比較、NetRiseの代替ツール

Exein

Exeinはリリース前だけでなく、デバイス上でも機能します。Exein RuntimeはeBPFを使って組み込みLinux上の悪意ある挙動を監視・ブロックし、オープンソースのmeta-exein YoctoレイヤーがPulsarエージェントをイメージに組み込みます。Exein Analyzerはファームウェア（バイナリがない場合はSBOM）をスキャンし、到達可能性スコアで優先順位を付け、検出結果をCRAの要件にマッピングします。最適な用途：現場での保護が必要な組み込みLinux製品。注意点：Yoctoレイヤーはデバイス上で動作するものを変更しますが、ビルドを実行したり記録したりはしません。CRACIとExeinの比較

Timesys Vigiles

現在Lynx Software Technologiesが販売するVigilesは、Yocto、Buildroot、OpenWrtのビルドのメタデータをSBOMに変換し、精査されたCVEデータベースと照合します。カーネルとU-Bootの設定フィルターで、ビルドしない機能のCVEを除外し、トリアージの判断（affected、fixed、deferred、not exploitable）をリリースごとに保持し、CISA KEVのエントリを強調表示し、SBOM、VEX、脆弱性レポートをエクスポートします。最適な用途：CVEのノイズを減らしたい組み込みLinuxチーム。注意点：そのSBOMが反映するのは、BitBakeのメタデータがイメージに入るとしているものであり、ビルドが取得したすべてではありません。CRACIとTimesys Vigilesの比較

脆弱性管理とSBOMのプラットフォーム

DefectDojo

DefectDojoはOWASPのフラッグシッププロジェクトで、商用のPro版があります。無料のCommunity Editionは、すでに使っているスキャナー（同社の集計では500以上の対応ツール）の検出結果を重複排除し、担当者、SLA、Jiraチケット付きの1つのキューにまとめます。Proでは、CycloneDXとSPDXのSBOMインポート、CycloneDX VEXのエクスポート、そしてPSIRT Advisory Engineが加わります。このエンジンは20以上のフィードからアドバイザリを取り込み、SBOMデータと照合し、担当者付きのケースにまとめ、ブランド入りのPDFアドバイザリを公開します。2026年9月のリリースで、CSAF 2.0とVEXのアドバイザリエクスポート、CRA第14条の報告インターフェースが追加されました。Proは月$100から、処理した検出結果1件あたり$0.15が加算されます。最適な用途：オープンソースの基盤とアドバイザリのワークフローを求めるPSIRT。注意点：SBOM自体は生成しないため、インベントリの完全性はアップロードした内容次第です。CRACIとDefectDojoの比較、DefectDojoの代替ツール

Medcrypt

Medcryptは、元FDA審査官を含むチームにより、医療機器メーカーのサイバーセキュリティ申請がFDAの審査を通過するよう支援しています。Helm製品は、API、GitHub Action、Azure DevOps経由でCycloneDXまたはSPDXのSBOMをインポートし、継続的に監視し、EPSS、CISA KEV、エクスプロイトデータで検出結果を順位付けし、CycloneDX VEXとVDRのレポートをエクスポートします。Helmを含むMSIは製品ラインごとに年間$35,000で、MedISAOのメンバーシップには協調的な脆弱性開示プログラムが含まれます。最適な用途：FDA申請を準備・維持している医療機器メーカー。注意点：SBOMを生成するのではなく取り込むツールであり（生成ツールは要望に応じて提供）、料金ページには、プラットフォームが現在対象とするのはFDAであると記載されています。CRACIとMedcryptの比較

Cybeats

Cybeats SBOM Studioは自らを「SBOMの記録システム」と称しています。自社製品とサプライヤーのSBOMをSPDX 2.2〜3.0.1とCycloneDX 1.2〜1.7で保存し、インポート前に品質をスコアリングし、すべてのコンポーネントを脆弱性インテリジェンスと継続的に照合し、VEXを発行し、Transparency Exchange API経由を含めてSBOMを顧客と共有します。最適な用途：ICS、医療機器、通信、自動車の分野で、多数のサプライヤーにまたがるSBOMプログラムを運営する製品セキュリティチーム。注意点：生成についてはMarketplaceのベンダーを案内しているため、SBOM自体は別のツールで作られます。CRACIとCybeatsの比較、Cybeatsの代替ツール

オープンソースの選択肢：Dependency-Track

OWASP Dependency-Trackは、すべてのアプリケーションのすべてのバージョンにわたってコンポーネントを追跡するApache 2.0のプラットフォームです。NVDやGitHub Advisoriesなどのソースから脆弱性データを取得し、セキュリティ、ライセンス、運用のポリシーを適用し、CycloneDX VEXの取り込みと生成に対応しています。パイプラインはAPI経由でSBOMをアップロードします。無料で、自社でホストし運用します。最適な用途：透明性の高いセルフホスト型の分析プラットフォームを求めるチーム。注意点：SBOMを生成しないため、結果は上流で実行するジェネレーター次第です。CRACIとDependency-Trackの比較、Dependency-Trackの代替ツール

報告の受付、ケース、アドバイザリ

上の表はトリアージとVEXまでです。PSIRT業務の残り、つまり報告を受け付けて関係者に伝える部分のカバー範囲は、ツールによってまちまちです。

• 外部の研究者からの報告。通常は脆弱性開示プログラムを通じて届きます。多くの企業はHackerOne ResponseやBugcrowdのVDPなどのプラットフォームでプログラムを運営しており、研究者に報告の窓口を提供し、トリアージを支援しています。ポリシーとセキュリティ窓口を自社で公開している企業もあります。ポリシー、security.txt、タイムラインについては、当社の協調的な脆弱性開示ガイドをご覧ください。
• ケース管理。Cybellumにはチケット付きの調査用ワークベンチがあります。DefectDojo Proは照合されたアドバイザリを、担当者とSLA追跡付きのケースにまとめます。どちらも研究者からの報告を受け付けるとはしていません。
• アドバイザリ。DefectDojo Proはブランド入りのPDFアドバイザリを公開し、CSAF 2.0をエクスポートします。CybellumはVEXとCSAFのレポートで脆弱性のステータスを共有します。MedcryptのMedISAOメンバーシップには協調的な脆弱性開示プログラムが含まれます。

CRACIの位置付け

すべてのPSIRTケースで最初に問われるのは、どの製品のどのバージョンに脆弱なコンポーネントが含まれているかです。バイナリ解析は出荷されたものから、SBOMプラットフォームは渡されたSBOMから、アグリゲーターは他のスキャナーの報告から、その答えを導きます。CRACIは、自社のビルドが実際に取得したものの記録（過去のすべてのビルドについて保持）から答えを導きます。GitHub Actionsでビルドするソフトウェアについては、インベントリ、監視、トリアージ、VEXを1つの製品でカバーするため、それらのビルドにDependency-TrackやCybeatsのような別のSBOMマネージャーは必要ありません。

他の領域では他のツールが優れています。Cybellum、ONEKEY、Finite State、NetRiseのバイナリ解析は、自社でビルドしていないファームウェアの中身を把握できます。CybellumとMedcryptは規制テンプレートと申請の専門知識を提供します。DefectDojoは数百のスキャナーの検出結果を集約し、アドバイザリを公開します。Finite State、NetRise、Exeinは到達可能性で検出結果を順位付けしますが、これはCRACIにはない機能です。PSIRTの役割とPSIRTチーム向けのCRACIをお読みいただくか、CRAコンプライアンスツールとSBOMツールを比較してください。

PSIRTツール：よくあるご質問

PSIRTツールとは何ですか？

製品セキュリティインシデント対応チーム（PSIRT）の業務を支援するソフトウェアです。すべての製品バージョンにどのコンポーネントが含まれて出荷されているかを把握し、新たな脆弱性がそれらに影響したときに気付き、トリアージし、修正を割り当て、影響を受けない製品を記録し、顧客や当局に伝える、という業務です。これらすべてをカバーする製品はほとんどありません。多くのPSIRTは、インベントリと監視のツールに、外部からの報告を受け付ける窓口とアドバイザリを公開する手段を組み合わせています。

バイナリで受け取るファームウェアに最適なPSIRTツールはどれですか？

バイナリ解析ツールです。Cybellum、ONEKEY、Finite State、NetRiseは、コンパイル済みのファームウェアそのものからSBOMを構築するため、自社で一度もビルドしないサプライヤーのコードの中身を把握できます。Exein Analyzerもリリース前にファームウェアをスキャンします。CRACIはバイナリを解析しません。サプライヤーのファームウェアについては、ベンダーがSBOMを提供していれば、そのSBOMを監視できます。

自社でビルドするソフトウェアに適したPSIRTツールはどれですか？

ビルドがGitHub Actionsで実行されるなら、CRACIは各ビルドの実行中にSBOMを記録し、過去のすべてのビルドをSBOMとともに保持し、アドバイザリが公開されるたびに監視対象のSBOMを再評価し、どのビルドに脆弱な依存関係が含まれていたか、どのソフトウェアバージョンがどの製品にデプロイされているかを示します。GitLab CIとJenkinsはロードマップに掲載されています。Yoctoイメージについては、Timesys Vigilesがビルドを記録するのではなく、BitBakeのメタデータからSBOMを構築します。

無料またはオープンソースのPSIRTツールはありますか？

ここで紹介するツールのうち2つに無料版があります。DefectDojo Community EditionはBSD 3-Clauseライセンスで無料で利用でき、数百のスキャナーの検出結果を重複排除して1つのキューにまとめます。PSIRT Advisory Engine、SBOMのインポート、CSAFのエクスポートはDefectDojo Proに含まれます。OWASP Dependency-TrackはApache 2.0で無料で利用でき、アップロードしたSBOMを監視します。どちらも自社でホストし運用します。

PSIRTツールは外部の研究者からの報告を受け付けますか？

研究者からの報告は通常、脆弱性開示プログラム（多くの場合HackerOneやBugcrowdなどのプラットフォームで運営）か、公開されたセキュリティ窓口を通じて届きます。DefectDojo Proは公開フィードからアドバイザリを取り込み、Cybellumは調査用のワークベンチを提供していますが、どちらも研究者からの報告を受け付けるとはしていません。

CSAFアドバイザリを公開できるツールはどれですか？

DefectDojo Proは2026年9月にCSAF 2.0とVEXのアドバイザリエクスポートを追加し、ブランド入りのPDFアドバイザリを公開します。CybellumはVEXとCSAFのレポートで脆弱性のステータスを共有します。このページの他のベンダーは、当社が参照したページでCSAFアドバイザリの公開について記載していません。

CRAはPSIRTツールを必須としていますか？

必須のツールはありません。Cyber Resilience Actはメーカーに対し、サポート期間を通じて脆弱性に対処すること、協調的な脆弱性開示ポリシーと報告窓口を維持すること、そして2026年9月11日以降は、悪用が確認された脆弱性を24時間、72時間、14日以内に報告することを求めています。CRACIはこれらの通知の内容を準備し（提出はメーカーの担当者がSingle Reporting Platformを通じて行います）、DefectDojo ProにはCRA第14条の報告インターフェースがあります。義務を負うのは引き続きメーカーです。