PSIRT 도구 비교

요약

• 공급업체로부터 바이너리로 받는 펌웨어: ONEKEY, Finite State, NetRise 또는 Cybellum. 직접 빌드를 실행하지 않는 코드의 내부를 보려면 바이너리 분석이 답입니다.
• 규제 템플릿이 필요한 자동차, 의료, 산업용 기기: FDA PMA, ISO 21434, EU CRA용 템플릿을 갖춘 Cybellum.
• 의료기기와 FDA 제출: SBOM과 취약점을 위한 Helm을 갖춘 Medcrypt.
• 여러 스캐너를 하나의 대기열로, PSIRT 보안 권고 워크플로와 함께: Pro 버전이 있는 오픈 소스 DefectDojo.
• 여러 공급업체의 SBOM을 위한 기록 시스템: Cybeats SBOM Studio.
• 엄선된 CVE 데이터가 필요한 Yocto 또는 Buildroot 이미지: Timesys Vigiles.
• 기기 자체의 보호까지: Exein.
• SBOM을 모니터링할 무료 셀프 호스팅 플랫폼: OWASP Dependency-Track.
• GitHub Actions에서 빌드하는 소프트웨어: 각 빌드에서 SBOM을 기록하고, 과거의 모든 빌드를 보관하며, 출시된 것을 모니터링하는 CRACI.

이 페이지의 대상

제품 보안 조직을 운영하거나 구축하고 있으며, 이를 뒷받침할 도구를 고르고 있는 분을 위한 페이지입니다. 아직 역할을 정의하는 단계라면 PSIRT가 하는 일부터 읽어 보세요. 당사는 CRACI를 만드는 회사이므로 이 점을 감안해 주시기 바랍니다. 다른 제품에 대한 모든 내용은 해당 제품의 사이트나 문서에서 가져와 2026년 10월에 확인했으며, 여기 소개된 공급업체 대부분은 더 자세한 CRACI 비교 페이지가 따로 있습니다.

PSIRT 도구가 해야 할 일

업무는 취약점 관리 수명 주기를 따르며, PSIRT는 각 단계에서 지원이 필요합니다.

1. 출시되는 것을 파악합니다. 전이적 종속성과 공급업체 구성 요소를 포함한 제품 버전별 SBOM입니다. 이후의 모든 단계는 이것이 완전한지에 달려 있습니다.
2. 새로운 취약점을 알아차립니다. 다음 버전만이 아니라 출시된 모든 버전을 새 보안 권고와 대조하는 지속적인 모니터링입니다.
3. 영향을 받는 제품을 찾습니다. 어떤 제품, 버전, 빌드에 해당 구성 요소가 포함되어 있는지, 그리고 얼마나 오래 포함되어 있었는지입니다.
4. 분류하고 전달합니다. 무엇이 중요한지 판단하고, 수정 책임이 있는 팀에 보냅니다.
5. 영향을 받지 않는 것을 밝힙니다. VEX는 취약점이 어떤 제품에 영향을 미치는지, 다른 제품은 왜 영향을 받지 않는지 기록합니다.
6. 신고를 접수하고 알립니다. 외부 연구자를 위한 채널, 케이스 추적, 그리고 흔히 기계 판독 가능한 CSAF 형식의 보안 권고입니다.

아래 도구 중 여섯 단계를 모두 고르게 다루는 도구는 없습니다. 대부분 처음 두세 단계에서 가장 강하며, 인벤토리를 어디에서 얻는지에서 가장 크게 차이가 납니다.

선택 방법

• 소프트웨어를 직접 빌드합니까, 아니면 받습니까? 제품의 상당 부분이 칩 공급업체와 협력사로부터 바이너리로 들어온다면, 바이너리 분석으로 그 내부를 볼 수 있습니다. 직접 빌드한다면 빌드가 인벤토리의 가장 직접적인 원천입니다.
• 규제 대상 제품입니까? 의료기기, 차량, 산업 장비에는 제출 형식과 표준이 따릅니다. 일부 도구는 이를 위한 템플릿을 제공하고, 다른 도구는 자체 프로세스에 맡깁니다.
• 이미 몇 개의 스캐너를 운영하고 있습니까? 여러 도구에서 발견 사항이 들어온다면, 발견 사항의 원천을 하나 더 늘리는 것보다 중복을 제거하는 집계 도구가 더 중요할 수 있습니다.
• 외부 신고는 어디로 들어옵니까? 연구자의 제출은 어떤 인벤토리 도구를 고르든 대개 별도의 채널이 필요합니다(아래 참조).
• 셀프 호스팅이 필수입니까? DefectDojo, Dependency-Track, Medcrypt Enterprise는 자체 인프라에서 실행할 수 있으며, Cybellum은 자체 데이터센터에서 실행할 수 있습니다.

한눈에 보기

표는 두 개입니다. 먼저 펌웨어와 기기를 중심으로 만들어진 도구, 그다음 취약점 관리 및 SBOM 플랫폼입니다. "명시되지 않음"은 당사가 인용한 공급업체 페이지에 어느 쪽으로도 언급이 없다는 뜻입니다. 신고 접수, 케이스 관리, 보안 권고 게시는 표가 아니라 아래 본문에서 다룹니다.

펌웨어와 기기

취약점 관리 및 SBOM 플랫폼

CRACI

CRACI는 GitHub Actions 러너입니다. runs-on을 craci로 바꾸면, 각 작업이 실행되는 동안 패키지를 인식하는 프록시가 CI 캐시에서 복원된 패키지와 어떤 잠금 파일에도 없는 종속성을 포함해 작업이 가져오는 것을 기록합니다. CycloneDX 또는 SPDX 형식의 SBOM에는 작업별·캐시별 완전성 상태가 담깁니다. CRACI는 과거의 모든 빌드를 SBOM과 함께 보관하므로, 보안 권고가 나오면 보존 기간 내에서 어떤 빌드에 취약한 종속성이 직접 또는 전이적으로 포함되었는지, 그리고 얼마나 오래 포함되었는지 확인할 수 있습니다. 인벤토리 보기는 어떤 소프트웨어 버전이 어떤 제품에 배포되어 있는지 전 세계 범위에서 정확히 보여 줍니다.

빌드 후에는 모니터링 중인 SBOM을 지속적으로 재평가하고, 보안 팀이 발견 사항을 분류해 각각을 수정 책임이 있는 팀에 전달할 수 있게 하며, VEX를 지원합니다. 정책 게이트는 특정 CVE가 포함된 빌드를 차단할 수 있고, 이그레스 정책은 빌드가 접근할 수 있는 대상을 제한합니다. 공급업체 SBOM을 추가할 수 있으므로, 구매한 구성 요소도 자체 빌드와 함께 모니터링됩니다. 실제로 악용되는 취약점의 경우 CRACI가 CRA 통보(조기 경보, 통보, 최종 보고서)의 내용을 준비하고, 제출은 고객이 직접 합니다. Yocto에서는 core-image-sato를 나란히 빌드한 결과, Yocto 자체 SBOM의 모든 구성 요소에 더해 Yocto가 놓친 88개 구성 요소까지 담긴 SBOM이 만들어졌습니다. 요금은 빌드 시간만 청구됩니다. 2 vCPU 분당 $0.004이며 초 단위로 측정되고, 월 요금이나 SBOM당 요금은 없습니다. 적합한 경우: 제품을 GitHub Actions에서 빌드하는 PSIRT. 유의할 점: 바이너리를 분석하지 않으므로 직접 빌드하지 않은 펌웨어에는 공급업체 SBOM이나 바이너리 분석 도구가 필요합니다. 도달 가능성 분석과 보고서 내보내기가 없으며, 현재 GitHub Actions를 지원하고 GitLab CI와 Jenkins는 로드맵에 있습니다. PSIRT 팀을 위한 CRACI를 참조하세요.

펌웨어 및 기기 플랫폼

Cybellum

Cybellum은 자동차, 의료, 산업 시장의 기기 제조사를 위한 제품 보안 플랫폼으로, 2021년부터 LG전자가 지분 과반을 보유하고 있습니다. Cyber Digital Twins는 펌웨어 바이너리로 만들어지며, 소스 코드 및 SPDX, CycloneDX, CPE CSV 형식의 공급업체 SBOM과 결합됩니다. 출시 후 버전을 모니터링하고, AI 도우미인 VM CoPilot으로 분류하며, 티켓을 갖춘 "조사를 생성하고 관리하는 워크벤치"를 제공하고, VEX 및 CSAF 보고서로 취약점 상태를 공유합니다. 규제 템플릿은 FDA PMA, ISO 21434, EU CRA와 50개 이상의 표준을 다룹니다. 퍼블릭 클라우드나 자체 데이터센터에서 실행됩니다. 적합한 경우: 바이너리 분석과 규제 증거를 하나의 플랫폼에서 필요로 하는 기기 제조사. 유의할 점: 가격이 공개되어 있지 않으며, 빌드를 실행하는 대신 아티팩트를 기반으로 작동합니다. CRACI와 Cybellum 비교 및 Cybellum 대안

ONEKEY

ONEKEY는 컴파일된 펌웨어를 분석하며, "소스 코드나 네트워크 접근이 필요 없습니다." 바이너리에서 SBOM을 생성하고, 공급업체 SBOM을 가져오며, 하드코딩된 자격 증명 같은 잠재적 제로데이를 찾고, 펌웨어를 매일 재분석합니다. Compliance Wizard는 CRA, IEC 62443-4-2, ETSI EN 303 645, 무선 기기 지침(Radio Equipment Directive) 대응 과정을 안내합니다. 적합한 경우: 공급업체 펌웨어를 많이 통합하는 팀. 유의할 점: 빌드 후의 이미지를 대상으로 작동하므로 빌드가 가져온 것을 기록하지 않습니다. CRACI와 ONEKEY 비교 및 ONEKEY 대안

Finite State

Finite State는 50개 이상의 바이너리 명령어 집합 아키텍처를 지원하며 펌웨어, 바이너리, 소스 코드, 공급업체 SBOM을 분석하고, 이를 출시 후 모니터링이 가능한 하나의 출시 소프트웨어 기록으로 통합합니다. 도달 가능성과 익스플로잇 인텔리전스로 발견 사항의 순위를 매기고, VEX 결정을 기록하며, 통제 항목을 CRA 및 FDA 요구사항에 매핑합니다. 적합한 경우: 여러 공급업체에 걸친 긴 발견 사항 목록의 우선순위를 정해야 하는 PSIRT. 유의할 점: 아티팩트에서 시작하므로, 자체 빌드가 접근할 수 있는 대상을 통제하는 것은 범위 밖입니다. CRACI와 Finite State 비교 및 Finite State 대안

NetRise

NetRise Turbine은 직접 빌드하거나 구매하거나 운영하는 소프트웨어에 대해, 정적으로 링크된 코드와 임베디드 코드를 포함한 "소프트웨어 자체에서 도출한 완전한 바이너리 기반 SBOM"을 생성합니다. SPDX 및 CycloneDX SBOM을 가져오고, NVD, CISA KEV, 위협 행위자 데이터를 지속적으로 확인하며, 실행 경로 도달 가능성으로 발견 사항의 순위를 매기고, 아티팩트 내부의 시크릿, 키, 잘못된 구성을 보고하며, Jira 및 ServiceNow와 연결됩니다. Dragos는 2026년 9월 21일에 NetRise를 인수했다고 발표했습니다. 적합한 경우: 여러 공급업체의 소프트웨어로 구성된 운영 기술(OT) 및 기기 플릿. 유의할 점: 해당 페이지에서 VEX, 케이스 관리, 보안 권고 게시를 설명하지 않으며, 가격이 공개되어 있지 않습니다. CRACI와 NetRise 비교 및 NetRise 대안

Exein

Exein은 출시 전뿐 아니라 기기에서도 작동합니다. Exein Runtime은 eBPF를 사용해 임베디드 Linux에서 악의적인 동작을 모니터링하고 차단하며, 오픈 소스 meta-exein Yocto 레이어는 Pulsar 에이전트를 이미지에 넣습니다. Exein Analyzer는 펌웨어를 스캔하거나 바이너리를 사용할 수 없을 때는 SBOM을 스캔하고, 도달 가능성 점수로 우선순위를 정하며, 발견 사항을 CRA 요구사항에 매핑합니다. 적합한 경우: 현장에서 보호가 필요한 임베디드 Linux 제품. 유의할 점: Yocto 레이어는 기기에서 실행되는 것을 바꿀 뿐, 빌드를 실행하거나 기록하지는 않습니다. CRACI와 Exein 비교

Timesys Vigiles

현재 Lynx Software Technologies가 판매하는 Vigiles는 Yocto, Buildroot, OpenWrt 빌드의 메타데이터를 SBOM으로 바꾸고, 엄선된 CVE 데이터베이스와 대조합니다. 커널 및 U-Boot 구성 필터는 빌드하지 않는 기능의 CVE를 제외하고, 분류 결정(영향 있음, 수정됨, 보류, 악용 불가)은 릴리스별로 보관되며, CISA KEV 항목은 강조 표시되고, SBOM, VEX, 취약점 보고서를 내보냅니다. 적합한 경우: CVE 노이즈를 줄이고 싶은 임베디드 Linux 팀. 유의할 점: SBOM은 빌드가 가져온 모든 것이 아니라 BitBake 메타데이터상 이미지에 들어간다고 되어 있는 것을 반영합니다. CRACI와 Timesys Vigiles 비교

취약점 관리 및 SBOM 플랫폼

DefectDojo

DefectDojo는 상용 Pro 버전이 있는 OWASP Flagship 프로젝트입니다. 무료 Community Edition은 이미 운영 중인 스캐너(자체 집계로 500개 이상의 도구 지원)의 발견 사항에서 중복을 제거해 담당자, SLA, Jira 티켓을 갖춘 하나의 대기열로 모읍니다. Pro는 CycloneDX 및 SPDX SBOM 가져오기, CycloneDX VEX 내보내기, 그리고 20개 이상의 피드에서 보안 권고를 수집해 SBOM 데이터와 대조하고, 담당자가 지정된 케이스로 묶고, 브랜드가 적용된 PDF 권고를 게시하는 PSIRT Advisory Engine을 추가합니다. 2026년 9월 릴리스에서 CSAF 2.0 및 VEX 권고 내보내기와 CRA 제14조 보고 인터페이스가 추가되었습니다. Pro는 월 $100부터 시작하며, 처리된 발견 사항당 $0.15가 추가됩니다. 적합한 경우: 오픈 소스 기반과 보안 권고 워크플로를 원하는 PSIRT. 유의할 점: SBOM을 직접 생성하지 않으므로, 인벤토리는 업로드하는 것만큼만 완전합니다. CRACI와 DefectDojo 비교 및 DefectDojo 대안

Medcrypt

Medcrypt는 전직 FDA 심사관을 포함한 팀과 함께 의료기기 제조사의 사이버 보안 제출 서류가 FDA 심사를 통과하도록 돕습니다. Helm 제품은 API, GitHub Action, Azure DevOps로 CycloneDX 또는 SPDX SBOM을 가져오고, 이를 지속적으로 모니터링하며, EPSS, CISA KEV, 익스플로잇 데이터로 발견 사항의 순위를 매기고, CycloneDX VEX 및 VDR 보고서를 내보냅니다. Helm이 포함된 MSI는 제품 라인당 연간 $35,000이며, MedISAO 멤버십에는 조정된 취약점 공개 프로그램이 포함됩니다. 적합한 경우: FDA 제출을 준비하거나 유지 관리하는 의료기기 제조사. 유의할 점: SBOM을 생성하는 대신 수집하며(생성 도구는 요청 시 제공), 요금 페이지에 따르면 현재 플랫폼이 다루는 것은 FDA입니다. CRACI와 Medcrypt 비교

Cybeats

Cybeats SBOM Studio는 스스로를 "SBOM 기록 시스템(the SBOM system of record)"이라고 부릅니다. 자사 제품과 공급업체의 SBOM을 SPDX 2.2~3.0.1 및 CycloneDX 1.2~1.7 형식으로 저장하고, 가져오기 전에 품질을 평가하며, 모든 구성 요소를 취약점 인텔리전스와 지속적으로 대조하고, VEX를 발행하며, Transparency Exchange API를 포함한 방식으로 고객과 SBOM을 공유합니다. 적합한 경우: 여러 공급업체에 걸쳐 SBOM 프로그램을 운영하는 ICS, 의료기기, 통신, 자동차 분야의 제품 보안 팀. 유의할 점: 생성은 Marketplace의 공급업체에 맡기므로, SBOM 자체는 다른 도구에서 나옵니다. CRACI와 Cybeats 비교 및 Cybeats 대안

오픈 소스 옵션: Dependency-Track

OWASP Dependency-Track은 Apache 2.0 플랫폼으로, 모든 애플리케이션의 모든 버전에 걸쳐 구성 요소를 추적하고, NVD와 GitHub Advisories 등의 소스에서 취약점 데이터를 가져오며, 보안, 라이선스, 운영 정책을 적용하고, CycloneDX VEX를 읽고 생성합니다. 파이프라인은 API를 통해 SBOM을 업로드합니다. 무료이며, 직접 호스팅하고 운영해야 합니다. 적합한 경우: 투명한 셀프 호스팅 분석 플랫폼을 원하는 팀. 유의할 점: SBOM을 생성하지 않으므로, 결과는 앞단에서 실행하는 생성기에 따라 달라집니다. CRACI와 Dependency-Track 비교 및 Dependency-Track 대안

신고 접수, 케이스, 보안 권고

위의 표는 분류와 VEX까지만 다룹니다. 신고 접수와 대외 공지라는 PSIRT 업무의 나머지 부분은 도구마다 지원 수준이 고르지 않습니다.

• 외부 연구자의 신고. 대개 취약점 공개 프로그램을 통해 들어옵니다. 많은 기업이 HackerOne Response나 Bugcrowd의 VDP 같은 플랫폼에서 이를 운영하며, 이러한 플랫폼은 연구자에게 신고 채널을 제공하고 분류를 돕습니다. 정책과 보안 연락처를 직접 게시하는 기업도 있습니다. 당사의 조정된 취약점 공개 가이드에서 정책, security.txt, 일정을 다룹니다.
• 케이스 관리. Cybellum에는 티켓을 갖춘 조사용 워크벤치가 있습니다. DefectDojo Pro는 대조된 보안 권고를 담당자와 SLA 추적이 있는 케이스로 묶습니다. 둘 다 연구자의 제출을 접수한다고 밝히지는 않습니다.
• 보안 권고. DefectDojo Pro는 브랜드가 적용된 PDF 권고를 게시하고 CSAF 2.0을 내보냅니다. Cybellum은 VEX 및 CSAF 보고서로 취약점 상태를 공유합니다. Medcrypt의 MedISAO 멤버십에는 조정된 취약점 공개 프로그램이 포함됩니다.

CRACI의 역할

모든 PSIRT 케이스의 첫 질문은 어떤 제품과 버전에 취약한 구성 요소가 들어 있는가입니다. 바이너리 분석은 출시된 것에서, SBOM 플랫폼은 제공받은 SBOM에서, 집계 도구는 다른 스캐너의 보고에서 답을 찾습니다. CRACI는 자체 빌드가 실제로 가져온 것을 기록해 과거의 모든 빌드에 대해 보관하고, 그 기록에서 답을 찾습니다. GitHub Actions에서 빌드하는 소프트웨어의 경우, 인벤토리, 모니터링, 분류, VEX를 하나의 제품으로 처리하므로 해당 빌드에는 Dependency-Track이나 Cybeats 같은 별도의 SBOM 관리 도구가 필요하지 않습니다.

다른 영역에서는 다른 도구가 강점을 보입니다. Cybellum, ONEKEY, Finite State, NetRise의 바이너리 분석은 직접 빌드하지 않은 펌웨어 내부를 볼 수 있습니다. Cybellum과 Medcrypt는 규제 템플릿과 제출 전문성을 제공합니다. DefectDojo는 수백 개 스캐너의 발견 사항을 집계하고 보안 권고를 게시합니다. Finite State, NetRise, Exein은 도달 가능성을 기준으로 발견 사항의 순위를 매기며, 이는 CRACI가 제공하지 않는 기능입니다. PSIRT가 하는 일과 PSIRT 팀을 위한 CRACI를 읽어 보시거나, CRA 컴플라이언스 도구와 SBOM 도구를 비교해 보세요.

PSIRT 도구: 자주 묻는 질문

PSIRT 도구란 무엇입니까?

제품 보안 사고 대응팀(PSIRT)의 업무를 돕는 소프트웨어입니다. 모든 제품 버전에 어떤 구성 요소가 포함되어 출시되는지 파악하고, 새로운 취약점이 이에 영향을 미칠 때 알아차리고, 이를 분류하고, 수정 작업을 전달하고, 영향을 받지 않는 제품을 기록하고, 고객과 당국에 알리는 일입니다. 이 모두를 다루는 제품은 드뭅니다. 대부분의 PSIRT는 인벤토리 및 모니터링 도구에 외부 신고 채널과 보안 권고 게시 수단을 결합해 사용합니다.

바이너리로 받는 펌웨어에는 어떤 PSIRT 도구가 가장 적합합니까?

바이너리 분석 도구입니다. Cybellum, ONEKEY, Finite State, NetRise는 컴파일된 펌웨어 자체에서 SBOM을 만들므로, 직접 빌드를 실행하지 않는 공급업체 코드의 내부까지 볼 수 있습니다. Exein Analyzer도 출시 전에 펌웨어를 스캔합니다. CRACI는 바이너리를 분석하지 않습니다. 공급업체 펌웨어의 경우, 공급업체가 SBOM을 제공하면 CRACI가 그 SBOM을 모니터링할 수 있습니다.

직접 빌드하는 소프트웨어에는 어떤 PSIRT 도구가 맞습니까?

빌드가 GitHub Actions에서 실행된다면, CRACI는 각 빌드가 실행되는 동안 SBOM을 기록하고, 과거의 모든 빌드를 SBOM과 함께 보관하며, 보안 권고가 나올 때마다 모니터링 중인 SBOM을 재평가하고, 어떤 빌드에 취약한 종속성이 포함되었는지, 어떤 소프트웨어 버전이 어떤 제품에 배포되어 있는지 보여 줍니다. GitLab CI와 Jenkins는 로드맵에 있습니다. Yocto 이미지의 경우 Timesys Vigiles는 빌드를 기록하는 대신 BitBake 메타데이터로 SBOM을 만듭니다.

무료 또는 오픈 소스 PSIRT 도구가 있습니까?

여기서 다루는 도구 중 두 가지에 무료 버전이 있습니다. DefectDojo Community Edition은 BSD 3-Clause 라이선스로 무료이며, 수백 개 스캐너의 발견 사항에서 중복을 제거해 하나의 대기열로 모읍니다. PSIRT Advisory Engine, SBOM 가져오기, CSAF 내보내기는 DefectDojo Pro에 포함됩니다. OWASP Dependency-Track은 Apache 2.0으로 무료이며, 업로드한 SBOM을 모니터링합니다. 둘 다 직접 호스팅하고 운영해야 합니다.

PSIRT 도구는 외부 연구자의 신고를 접수합니까?

연구자의 신고는 대개 취약점 공개 프로그램을 통해 들어오며, 이 프로그램은 HackerOne이나 Bugcrowd 같은 플랫폼에서 운영되는 경우가 많습니다. 또는 공개된 보안 연락처를 통해 들어옵니다. DefectDojo Pro는 공개 피드에서 보안 권고를 수집하고 Cybellum은 조사용 워크벤치를 제공하지만, 둘 다 연구자의 제출을 접수한다고 밝히지는 않습니다.

CSAF 보안 권고를 게시하는 도구는 무엇입니까?

DefectDojo Pro는 2026년 9월에 CSAF 2.0 및 VEX 권고 내보내기를 추가했으며, 브랜드가 적용된 PDF 권고를 게시합니다. Cybellum은 VEX 및 CSAF 보고서를 통해 취약점 상태를 공유합니다. 이 페이지의 다른 공급업체는 당사가 인용한 페이지에서 CSAF 권고 게시를 설명하지 않습니다.

CRA는 PSIRT 도구를 요구합니까?

특정 도구가 요구되지는 않습니다. Cyber Resilience Act는 제조사가 지원 기간 동안 취약점을 처리하고, 조정된 취약점 공개 정책과 신고 연락처를 유지하며, 2026년 9월 11일부터는 실제로 악용되는 취약점을 24시간, 72시간, 14일 이내에 보고하도록 요구합니다. CRACI는 이러한 통보의 내용을 준비하고(제출은 제조사 담당자가 Single Reporting Platform을 통해 합니다), DefectDojo Pro에는 CRA 제14조 보고 인터페이스가 있습니다. 의무는 여전히 제조사에 있습니다.