CRACI vs NetRise

Het korte antwoord

NetRise is een bedrijf voor binaire analyse. Zijn product Turbine analyseert firmware, containerimages en applicatiebinaries om een SBOM uit de gecompileerde code te maken en er risico's in te vinden, waaronder kwetsbaarheden, blootgestelde secrets, misconfiguraties en cryptografie. Dragos maakte op 21 september 2026 bekend dat het NetRise had overgenomen. CRACI is een GitHub Actions-runner die vastlegt wat elke build tijdens het draaien binnenhaalt, op basis daarvan de SBOM maakt en die na de release monitort. NetRise analyseert de output, ook van software die u niet zelf hebt gebouwd; CRACI bewaart bewijs van de builds die u draait. Voor een PSIRT bestrijken de twee verschillende terreinen.

In één oogopslag

Waar NetRise sterk in is

SBOM's uit de gecompileerde code. NetRise Turbine produceert "a complete, binary-derived SBOM from the software itself," inclusief statisch gelinkte en ingebedde afhankelijkheden. Het dekt firmware, containerimages en applicatiebinaries, tot en met kernels, RTOS, drivers en firmware onder de applicatielaag. Zo kijkt u in software van chipleveranciers, moduleleveranciers en andere leveranciers wier builds u nooit ziet.

Risico's die een CVE-scan niet toont. Turbine rapporteert secrets, publieke en private sleutels, certificaten en misconfiguraties die in het artefact worden meegeleverd, samen met licentieproblemen en een cryptografie-inventaris voor post-quantumgereedheid. NetRise ZeroLens zoekt naar zwakke plekken in gecompileerde software voordat ze worden uitgebuit.

Prioritering. Turbine controleert of een traceerbaar uitvoeringspad een actief toegangspunt verbindt met een kwetsbaar component, en toont signalen over exploiteerbaarheid zoals de CISA KEV-status. NetRise zegt dat het platform continu de NVD, de CISA KEV-catalogus, groepen dreigingsactoren en botnets doorzoekt voor inzicht in exploiteerbaarheid.

SBOM's van leveranciers en integraties. NetRise ondersteunt import, verrijking, normalisatie en export van SPDX en CycloneDX, zodat SBOM's uit verschillende bronnen kunnen worden gecombineerd. Het biedt een GraphQL API voor CI/CD en noemt integraties met Jira, ServiceNow, Splunk, Armis, Brinqa, Nucleus Security, GitHub en Google Cloud.

Herkomst van open source. NetRise Provenance kijkt naar de oorsprong, de maintainers en de gezondheid van de repository van open-sourcecomponenten, en blokkeert kwaadaardige pakketten en pakketten die beleid overtreden op de plek waar ontwikkelaars ze ophalen, ook in CI/CD en AI-codeerassistenten.

Nu onderdeel van Dragos. De aankondiging van Dragos zegt dat NetRise inzicht toevoegt in de firmware en software die op apparaten voor operationele technologie draaien, en dat de leiding van NetRise het in het Dragos Platform zal integreren en bestaande klanten blijft bedienen. Er zijn geen financiële voorwaarden bekendgemaakt.

Waarin CRACI verschilt

Een binaire analyse werkt terug vanaf wat is geleverd. CRACI werkt vooruit vanaf de build, omdat de build op CRACI draait.

De build is de bron van waarheid

Uw workflow draait op de runners van CRACI met een wijziging van één regel in runs-on. Terwijl een job draait, legt een proxy die pakketten herkent vast wat de job uit pakketbronnen downloadt, en pakketten die uit CI-caches worden teruggezet, worden meegenomen. Elke SBOM vermeldt hoe volledig hij is, per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded. Voor Yocto draait CRACI BitBake op runners met maximaal 32 vCPU's en 96 GB RAM. In een vergelijkende build van core-image-sato bevatte de SBOM van CRACI elk component uit de eigen SPDX-uitvoer van Yocto, 88 extra zoals hostpakketten en GitHub Actions, en een package URL voor elk van de 653 Rust-crateversies die Yocto zonder package URL vermeldt.

Controle over wat de build kan bereiken

Een egressbeleid op de runner bepaalt met welke hosts een job verbinding mag maken. Het wordt gevalideerd voordat de job start, is fail-closed en stuurt een melding bij een overtreding. Een scan van de output kan niet veranderen wat de build kon bereiken.

Van een CVE naar de getroffen producten

CRACI bundelt kwetsbaarheden over builds en repositories heen en blijft gemonitorde SBOM's opnieuw beoordelen wanneer advisories verschijnen. De buildgeschiedenis toont welke builds een kwetsbare afhankelijkheid bevatten, direct of transitief, zodat u weet in welke periode u getroffen was, en de inventarisweergave toont precies welke softwareversies in welke producten zijn uitgerold. Securityteams triëren bevindingen en sturen elke bevinding naar het team dat verantwoordelijk is voor de fix, VEX wordt ondersteund, en policy gates kunnen een build blokkeren die een specifieke CVE bevat. De API levert SBOM's, netwerktraces en herkomstgegevens.

Wat CRACI niet doet, is net zo belangrijk. Het analyseert geen binaries, dus het kan niet kijken in firmware die u niet zelf hebt gebouwd of in een blob van een leverancier die uw build downloadt; het ziet alleen dat de build die heeft opgehaald en waarvandaan. U kunt SBOM's van leveranciers toevoegen zodat hun componenten worden gemonitord, maar zonder SBOM hebt u een tool voor binaire analyse nodig, zoals NetRise. CRACI heeft geen reachability-analyse en zoekt niet naar secrets of misconfiguraties in de output.

Wat een PSIRT van elk nodig heeft

Een product security incident response team moet weten wat er in elk product zit, ook firmware van derden, de getroffen producten vinden wanneer een kwetsbaarheid opduikt, blijven monitoren na de release, bevindingen triëren en aangeven welke producten niet zijn getroffen, vaak met VEX.

• Firmware en binaries van derden die u ontvangt. NetRise. Binaire analyse is de enige manier om erin te kijken wanneer de leverancier geen SBOM stuurt.
• Firmware en software die u bouwt in GitHub Actions. CRACI legt elke build vast terwijl die draait en bewaart de geschiedenis van welke builds een component bevatten.
• Een lange lijst bevindingen prioriteren. De signalen over reachability en exploiteerbaarheid van NetRise. CRACI toont dat een kwetsbaar pakket in de build zat, niet of uw code het aanroept.
• Een bevinding naar het team sturen dat verantwoordelijk is voor de fix. De triage en toewijzing van CRACI werken op de builds die het vastlegt; NetRise koppelt aan Jira en ServiceNow.

Zie CRACI voor PSIRT-teams en PSIRT-tools vergeleken.

Wanneer u welke gebruikt, en wanneer beide

• Het meeste wat u levert, komt van leveranciers. NetRise. Het analyseert zowel software die u koopt als software die u bouwt.
• U bouwt uw eigen Linux-image of apps in GitHub Actions. CRACI draait de build en legt de inputs vast. Hetzelfde image analyseren in NetRise geeft een tweede, onafhankelijke kijk op wat is geleverd.
• U beheert vloten met operationele technologie. NetRise, nu binnen Dragos, is gericht op de firmware en software die op die apparaten draaien. CRACI is er voor teams die de software bouwen.
• U wilt beperken wat builds kunnen downloaden. CRACI. Die controle bestaat alleen waar de build draait.

Voor de CRA

De Cyber Resilience Act vraagt fabrikanten de componenten in hun producten te documenteren, onder meer met een SBOM, kwetsbaarheden gedurende de ondersteuningsperiode af te handelen en, sinds 11 september 2026, actief uitgebuite kwetsbaarheden te melden. NetRise pakt de CRA aan met SBOM's van releasebuilds uit het gecompileerde artefact, afhandeling van kwetsbaarheden en verificatie van patches over versies heen, en rapportage-uitvoer als conformiteitsbewijs. CRACI levert per build bewijs van wat er in de software zit die u bouwt, monitort die, en dient de CRA-meldingen namens u in. CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat fabrikanten nodig hebben voor hun bredere CRA-nalevingsproces; het maakt een product niet op zichzelf compliant. Lees wat de CRA vereist.

CRACI toevoegen naast NetRise

Er hoeft niets uit NetRise weg. Zet de buildjob over naar een CRACI-runner met runs-on: craci, en dezelfde workflow blijft in GitHub Actions draaien terwijl CRACI de build vastlegt. Het Yocto-voorbeeld in de CRACI-documentatie toont een volledige BitBake-workflow. CRACI ondersteunt vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap. Bekijk hoe CRACI werkt voor industrieel IoT.

Weegt u meer dan twee tools af? Alternatieven voor NetRise zet zeven opties naast elkaar.