PSIRT-tools vergeleken

Het korte antwoord

• Firmware van leveranciers als binaries: ONEKEY, Finite State, NetRise of Cybellum. Binaire analyse is de manier om in code te kijken waarvan u de build nooit draait.
• Automotive-, medische of industriële apparaten met regelgevingssjablonen: Cybellum, met sjablonen voor FDA PMA, ISO 21434 en de EU CRA.
• Medische apparaten en FDA-indieningen: Medcrypt, met Helm voor SBOM's en kwetsbaarheden.
• Veel scanners in één wachtrij, met een PSIRT-advisoryworkflow: DefectDojo, open source met een Pro-editie.
• Een system of record voor SBOM's van veel leveranciers: Cybeats SBOM Studio.
• Yocto- of Buildroot-images met gecureerde CVE-gegevens: Timesys Vigiles.
• Ook bescherming op het apparaat: Exein.
• Een gratis, self-hosted plek om SBOM's te monitoren: OWASP Dependency-Track.
• Software die u in GitHub Actions bouwt: CRACI, dat de SBOM van elke build vastlegt, elke eerdere build bewaart en monitort wat is geleverd.

Voor wie deze pagina is

U leidt of bouwt een productbeveiligingsfunctie en kiest de tooling daarachter. Bent u de rol nog aan het definiëren, begin dan met wat een PSIRT doet. Wij bouwen CRACI, dus houd daar rekening mee. Elke bewering over een ander product komt van de eigen site of documentatie, gecontroleerd in oktober 2026, en de meeste leveranciers hier hebben een uitgebreidere pagina CRACI vs X.

Wat een PSIRT-tool moet doen

Het werk volgt de levenscyclus van kwetsbaarheidsbeheer, en een PSIRT heeft bij elke stap ondersteuning nodig:

1. Weten wat er wordt geleverd. Een SBOM per productversie, inclusief transitieve afhankelijkheden en componenten van leveranciers. Alles wat volgt, hangt af van de volledigheid daarvan.
2. Nieuwe kwetsbaarheden opmerken. Continue monitoring die nieuwe advisories matcht met elke uitgebrachte versie, niet alleen met de volgende.
3. De getroffen producten vinden. Welke producten, versies en builds het component bevatten, en hoe lang al.
4. Triëren en toewijzen. Bepalen wat ertoe doet en het naar het team sturen dat verantwoordelijk is voor de fix.
5. Zeggen wat niet getroffen is. VEX legt vast welke producten een kwetsbaarheid raakt en waarom de andere niet getroffen zijn.
6. Meldingen aannemen en mensen informeren. Een kanaal voor externe onderzoekers, casetracking en advisories, vaak als machineleesbare CSAF.

Geen enkele tool hieronder dekt alle zes even goed. De meeste zijn het sterkst in de eerste twee of drie stappen, en ze verschillen het meest in waar hun inventaris vandaan komt.

Hoe u kiest

• Bouwt u de software, of ontvangt u die? Komt een groot deel van het product als binaries van chipleveranciers en andere leveranciers, dan is binaire analyse de manier om erin te kijken. Bouwt u het zelf, dan is de build de meest directe bron voor de inventaris.
• Is het product gereguleerd? Medische apparaten, voertuigen en industriële apparatuur hebben eigen indieningsformaten en normen. Sommige tools leveren daarvoor sjablonen; andere laten dat aan uw eigen proces over.
• Hoeveel scanners draait u al? Komen bevindingen uit veel tools, dan kan een aggregator die ze ontdubbelt belangrijker zijn dan nog een bron van bevindingen.
• Waar komen externe meldingen binnen? Inzendingen van onderzoekers hebben meestal een eigen kanaal nodig (zie hieronder), welke inventaristool u ook kiest.
• Moet het self-hosted zijn? DefectDojo, Dependency-Track en Medcrypt Enterprise kunnen op uw eigen infrastructuur draaien, en Cybellum kan in uw eigen datacenter draaien.

In één oogopslag

Twee tabellen: eerst tools die rond firmware en apparaten zijn gebouwd, daarna platforms voor kwetsbaarheidsbeheer en SBOM's. "Niet vermeld" betekent dat de leverancierspagina's die we aanhalen er niets over zeggen. Het aannemen van meldingen, casemanagement en het publiceren van advisories komen in de tekst hieronder aan bod, niet in de tabellen.

Firmware en apparaten

Platforms voor kwetsbaarheidsbeheer en SBOM's

CRACI

CRACI is een GitHub Actions-runner. U wijzigt runs-on in craci, en terwijl elke job draait, legt een proxy die pakketten herkent vast wat de job ophaalt, inclusief pakketten die uit CI-caches zijn teruggezet en afhankelijkheden die in geen enkele lockfile staan. De SBOM, in CycloneDX of SPDX, heeft een volledigheidsstatus per job en per cache. CRACI bewaart elke eerdere build met zijn SBOM, zodat u bij een nieuwe advisory kunt zien welke builds de kwetsbare afhankelijkheid bevatten, direct of transitief, en hoe lang, binnen uw bewaartermijn. De inventarisweergave toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd.

Na de build beoordeelt CRACI gemonitorde SBOM's continu opnieuw, laat het securityteams bevindingen triëren en elke bevinding toewijzen aan het team dat verantwoordelijk is voor de fix, en ondersteunt het VEX. Policy gates kunnen een build blokkeren die een specifieke CVE bevat, en een egressbeleid beperkt wat de build kan bereiken. U kunt SBOM's van leveranciers toevoegen, zodat ingekochte componenten naast uw eigen builds worden gemonitord. Voor actief uitgebuite kwetsbaarheden dient CRACI de CRA-meldingen namens u in. Voor Yocto leverde een vergelijkende build van core-image-sato een SBOM op met elk component uit de eigen SBOM van Yocto plus 88 die daarin ontbraken. De prijs bestaat alleen uit buildminuten: $0.004 per minuut voor 2 vCPU, per seconde gemeten, zonder maandelijkse kosten en zonder kosten per SBOM. Het meest geschikt voor: PSIRT's waarvan de producten in GitHub Actions worden gebouwd. Let op: het analyseert geen binaries, dus firmware die u niet zelf hebt gebouwd, heeft een SBOM van de leverancier of een tool voor binaire analyse nodig; het heeft geen reachability-analyse en geen rapportexport; en het ondersteunt vandaag GitHub Actions, met GitLab CI en Jenkins op de roadmap. Zie CRACI voor PSIRT-teams.

Platforms voor firmware en apparaten

Cybellum

Cybellum is een platform voor productbeveiliging voor fabrikanten van apparaten in de automotive-, medische en industriële markt, sinds 2021 voor het merendeel in handen van LG Electronics. De Cyber Digital Twins worden opgebouwd uit firmwarebinaries en samengevoegd met broncode en SBOM's van leveranciers in SPDX, CycloneDX of CPE CSV. Het monitort versies na productie, triëert met een AI-assistent, de VM CoPilot, biedt "a workbench for creating and managing investigations" met tickets, en deelt de kwetsbaarheidsstatus via VEX- en CSAF-rapporten. Regelgevingssjablonen dekken FDA PMA, ISO 21434, de EU CRA en meer dan 50 normen. Het draait in publieke clouds of in uw eigen datacenter. Het meest geschikt voor: fabrikanten van apparaten die binaire analyse en bewijs voor regelgeving in één platform nodig hebben. Let op: de prijzen zijn niet gepubliceerd, en het werkt vanuit artefacten in plaats van uw build te draaien. CRACI vs Cybellum en Alternatieven voor Cybellum

ONEKEY

ONEKEY analyseert gecompileerde firmware met "no source code or network access needed." Het genereert een SBOM uit de binary, importeert SBOM's van leveranciers, zoekt naar waarschijnlijke zero-days zoals hardgecodeerde inloggegevens, en heranalyseert firmware dagelijks. De Compliance Wizard leidt teams door de CRA, IEC 62443-4-2, ETSI EN 303 645 en de Radio Equipment Directive. Het meest geschikt voor: teams die veel firmware van leveranciers integreren. Let op: het werkt op het image na de build, dus het legt niet vast wat de build heeft opgehaald. CRACI vs ONEKEY en Alternatieven voor ONEKEY

Finite State

Finite State analyseert firmware, binaries, broncode en SBOM's van leveranciers, met ondersteuning voor meer dan 50 binaire instructiesetarchitecturen, en brengt die samen in één registratie van geleverde software met monitoring na de marktintroductie. Het rangschikt bevindingen op reachability en exploit intelligence, legt VEX-beslissingen vast, en koppelt controles aan de vereisten van de CRA en de FDA. Het meest geschikt voor: PSIRT's die een lange lijst bevindingen van veel leveranciers moeten prioriteren. Let op: het begint bij artefacten, dus bepalen wat uw eigen build kon bereiken, valt buiten de scope. CRACI vs Finite State en Alternatieven voor Finite State

NetRise

NetRise Turbine produceert "a complete, binary-derived SBOM from the software itself," inclusief statisch gelinkte en ingebedde code, voor software die u bouwt, koopt en draait. Het importeert SPDX- en CycloneDX-SBOM's, controleert continu de NVD, CISA KEV en gegevens over threat actors, rangschikt bevindingen op reachability van uitvoeringspaden, rapporteert secrets, sleutels en misconfiguraties in het artefact, en koppelt aan Jira en ServiceNow. Dragos maakte op 21 september 2026 bekend dat het NetRise heeft overgenomen. Het meest geschikt voor: operationele technologie en apparatenvloten waarvan de software van veel leveranciers komt. Let op: de pagina's beschrijven geen VEX, casemanagement of het publiceren van advisories, en de prijzen zijn niet gepubliceerd. CRACI vs NetRise en Alternatieven voor NetRise

Exein

Exein werkt op het apparaat en ook vóór de release. Exein Runtime gebruikt eBPF om kwaadaardig gedrag op embedded Linux te monitoren en te blokkeren, en de open-source Yocto-laag meta-exein plaatst de Pulsar-agent in uw image. Exein Analyzer scant firmware, of uw SBOM als de binary niet beschikbaar is, prioriteert met reachability-scores en koppelt bevindingen aan de CRA-vereisten. Het meest geschikt voor: embedded Linux-producten die bescherming in het veld nodig hebben. Let op: de Yocto-laag verandert wat er op het apparaat draait; de laag draait uw build niet en legt die niet vast. CRACI vs Exein

Timesys Vigiles

Vigiles, nu verkocht door Lynx Software Technologies, zet de metadata van een Yocto-, Buildroot- of OpenWrt-build om in een SBOM en matcht die met een gecureerde CVE-database. Configuratiefilters voor de kernel en U-Boot verwijderen CVE's in functies die u niet bouwt, triagebeslissingen (affected, fixed, deferred, not exploitable) worden per release bewaard, CISA KEV-vermeldingen worden gemarkeerd, en het exporteert SBOM's, VEX en kwetsbaarheidsrapporten. Het meest geschikt voor: embedded Linux-teams die minder CVE-ruis willen. Let op: de SBOM weerspiegelt wat de metadata van BitBake zegt dat in het image terechtkomt, niet alles wat de build heeft opgehaald. CRACI vs Timesys Vigiles

Platforms voor kwetsbaarheidsbeheer en SBOM's

DefectDojo

DefectDojo is een OWASP Flagship-project met een commerciële Pro-editie. De gratis Community Edition ontdubbelt bevindingen van de scanners die u al draait, volgens eigen telling meer dan 500 ondersteunde tools, in één wachtrij met eigenaars, SLA's en Jira-tickets. Pro voegt SBOM-import in CycloneDX en SPDX toe, CycloneDX VEX-export, en een PSIRT Advisory Engine die advisories uit meer dan 20 feeds ophaalt, ze matcht met SBOM-gegevens, ze groepeert in cases met eigenaars en PDF-advisories met eigen huisstijl publiceert. De release van september 2026 voegde export van CSAF 2.0- en VEX-advisories toe en een rapportage-interface voor CRA-artikel 14. Pro begint bij $100 per maand plus $0.15 per verwerkte bevinding. Het meest geschikt voor: PSIRT's die een open-sourcebasis en een advisoryworkflow willen. Let op: het genereert zelf geen SBOM's, dus de inventaris is maar zo volledig als wat u uploadt. CRACI vs DefectDojo en Alternatieven voor DefectDojo

Medcrypt

Medcrypt helpt fabrikanten van medische apparaten hun cybersecurity-indiening door de FDA-beoordeling te krijgen, met een team waartoe voormalige FDA-beoordelaars behoren. Het product Helm importeert CycloneDX- of SPDX-SBOM's via API, GitHub Action of Azure DevOps, monitort ze continu, rangschikt bevindingen met EPSS, CISA KEV en exploitgegevens, en exporteert CycloneDX VEX- en VDR-rapporten. MSI, dat Helm omvat, kost $35,000 per productlijn per jaar, en het MedISAO-lidmaatschap brengt een programma voor gecoördineerde openbaarmaking van kwetsbaarheden mee. Het meest geschikt voor: fabrikanten van medische apparaten die FDA-indieningen voorbereiden of onderhouden. Let op: het importeert SBOM's in plaats van ze te produceren (een generatietool is op aanvraag beschikbaar), en de prijspagina zegt dat het platform vandaag de FDA dekt. CRACI vs Medcrypt

Cybeats

Cybeats SBOM Studio noemt zichzelf "the SBOM system of record." Het slaat SBOM's van uw producten en leveranciers op in SPDX 2.2 tot en met 3.0.1 en CycloneDX 1.2 tot en met 1.7, beoordeelt de kwaliteit ervan vóór de import, matcht elk component continu met kwetsbaarheidsinformatie, geeft VEX uit, en deelt SBOM's met klanten, ook via de Transparency Exchange API. Het meest geschikt voor: productbeveiligingsteams in ICS, medische apparaten, telecom en automotive die een SBOM-programma over veel leveranciers heen draaien. Let op: voor generatie verwijst het naar leveranciers in de Marketplace, dus de SBOM zelf komt uit een andere tool. CRACI vs Cybeats en Alternatieven voor Cybeats

De open-sourceoptie: Dependency-Track

OWASP Dependency-Track is een platform onder Apache 2.0 dat componenten volgt over elke versie van elke applicatie, kwetsbaarheidsgegevens ophaalt uit bronnen zoals de NVD en GitHub Advisories, beveiligings-, licentie- en operationeel beleid toepast, en CycloneDX VEX verwerkt en produceert. Pipelines uploaden SBOM's via de API. Het is gratis, en u host en beheert het zelf. Het meest geschikt voor: teams die een transparant, self-hosted analyseplatform willen. Let op: het genereert geen SBOM's, dus de resultaten hangen af van de generator die u daarvoor draait. CRACI vs Dependency-Track en Alternatieven voor Dependency-Track

Meldingen aannemen, cases en advisories

De tabellen hierboven stoppen bij triage en VEX. De rest van het werk van een PSIRT, meldingen aannemen en mensen informeren, wordt ongelijk gedekt:

• Meldingen van externe onderzoekers. Die komen meestal binnen via een vulnerability disclosure program. Veel bedrijven draaien er een op een platform zoals HackerOne Response of Bugcrowd's VDP, die onderzoekers een kanaal bieden om meldingen in te dienen en helpen bij de triage daarvan. Andere publiceren zelf een beleid en een beveiligingscontact. Onze gids over gecoördineerde openbaarmaking van kwetsbaarheden behandelt het beleid, security.txt en de termijnen.
• Casemanagement. Cybellum heeft een werkomgeving voor onderzoeken met tickets. DefectDojo Pro groepeert gematchte advisories in cases met eigenaars en SLA-tracking. Geen van beide zegt inzendingen van onderzoekers te hosten.
• Advisories. DefectDojo Pro publiceert PDF-advisories met eigen huisstijl en exporteert CSAF 2.0. Cybellum deelt de kwetsbaarheidsstatus via VEX- en CSAF-rapporten. Het MedISAO-lidmaatschap van Medcrypt omvat een programma voor gecoördineerde openbaarmaking van kwetsbaarheden.

Waar CRACI past

De eerste vraag in elke PSIRT-zaak is welke producten en versies het kwetsbare component bevatten. Binaire analyse beantwoordt die vanuit wat is geleverd, SBOM-platforms vanuit de SBOM's die u ze geeft, en aggregators vanuit wat andere scanners rapporteren. CRACI beantwoordt die vanuit een vastlegging van wat uw eigen builds daadwerkelijk hebben opgehaald, bewaard voor elke eerdere build. Voor software die u in GitHub Actions bouwt, dekt dat de inventaris, de monitoring, triage en VEX in één product, zodat voor die builds geen aparte SBOM-manager zoals Dependency-Track of Cybeats nodig is.

Andere tools zijn elders sterker. Binaire analyse van Cybellum, ONEKEY, Finite State of NetRise ziet in firmware die u niet zelf hebt gebouwd. Cybellum en Medcrypt brengen regelgevingssjablonen en expertise in indieningen mee. DefectDojo bundelt bevindingen van honderden scanners en publiceert advisories. Finite State, NetRise en Exein rangschikken bevindingen op reachability, wat CRACI niet biedt. Lees wat een PSIRT doet en CRACI voor PSIRT-teams, of vergelijk CRA-compliancetools en SBOM-tools.

PSIRT-tools: veelgestelde vragen

Wat is een PSIRT-tool?

Software die een product security incident response team helpt zijn werk te doen: weten welke componenten in elke productversie zitten, opmerken wanneer een nieuwe kwetsbaarheid ze raakt, die triëren, de fix toewijzen, vastleggen welke producten niet getroffen zijn, en klanten en autoriteiten informeren. Weinig producten dekken dat allemaal. De meeste PSIRT's combineren een tool voor inventaris en monitoring met een kanaal voor externe meldingen en een manier om advisories te publiceren.

Welke PSIRT-tool is het best voor firmware die we als binaries ontvangen?

Een tool voor binaire analyse. Cybellum, ONEKEY, Finite State en NetRise bouwen een SBOM uit de gecompileerde firmware zelf, zodat ze in code van leveranciers kunnen kijken waarvan u de build nooit draait. Exein Analyzer scant firmware ook vóór de release. CRACI analyseert geen binaries; voor firmware van leveranciers kan het de SBOM van de leverancier monitoren als die er een levert.

Welke PSIRT-tool past bij software die we zelf bouwen?

Draaien uw builds in GitHub Actions, dan legt CRACI de SBOM van elke build vast terwijl die draait, bewaart het elke eerdere build met zijn SBOM, beoordeelt het gemonitorde SBOM's opnieuw wanneer advisories verschijnen, en toont het welke builds een kwetsbare afhankelijkheid bevatten en welke softwareversies in welke producten zijn uitgerold. GitLab CI en Jenkins staan op de roadmap. Voor Yocto-images bouwt Timesys Vigiles een SBOM uit BitBake-metadata in plaats van de build vast te leggen.

Is er een gratis of open-source PSIRT-tool?

Twee van de tools hier hebben gratis edities. DefectDojo Community Edition is gratis onder de BSD 3-Clause-licentie en ontdubbelt bevindingen van honderden scanners in één wachtrij; de PSIRT Advisory Engine, SBOM-import en CSAF-export zitten in DefectDojo Pro. OWASP Dependency-Track is gratis onder Apache 2.0 en monitort de SBOM's die u uploadt. Beide host en beheert u zelf.

Nemen PSIRT-tools meldingen van externe onderzoekers aan?

Meldingen van onderzoekers komen meestal binnen via een vulnerability disclosure program, vaak op een platform zoals HackerOne of Bugcrowd, of via een gepubliceerd beveiligingscontact. DefectDojo Pro haalt advisories uit openbare feeds op, en Cybellum biedt een werkomgeving voor onderzoeken, maar geen van beide zegt inzendingen van onderzoekers te hosten.

Welke tools publiceren CSAF-advisories?

DefectDojo Pro heeft in september 2026 export van CSAF 2.0- en VEX-advisories toegevoegd en publiceert PDF-advisories met eigen huisstijl. Cybellum deelt de kwetsbaarheidsstatus via VEX- en CSAF-rapporten. De andere leveranciers op deze pagina beschrijven het publiceren van CSAF-advisories niet op de pagina's die we aanhalen.

Vereist de CRA een PSIRT-tool?

Geen enkele tool is verplicht. De Cyber Resilience Act vraagt fabrikanten om kwetsbaarheden gedurende de ondersteuningsperiode af te handelen, een beleid voor gecoördineerde openbaarmaking van kwetsbaarheden en een contactpunt voor meldingen te hebben, en sinds 11 september 2026 actief uitgebuite kwetsbaarheden te melden binnen 24 uur, 72 uur en 14 dagen. CRACI dient die meldingen namens de fabrikant in, en DefectDojo Pro heeft een rapportage-interface voor CRA-artikel 14. De verplichting blijft bij de fabrikant.