Alternativer til NetRise

Vi lager CRACI, så ta det med i vurderingen; vi beskriver hvert alternativ ut fra dets egen dokumentasjon og sier fra når et annet verktøy passer bedre.

Hvorfor team ser seg om etter noe annet enn NetRise

NetRise Turbine lager en fullstendig SBOM utledet fra binærfilene i selve programvaren, for firmware, container-images og applikasjonsbinærfiler, inkludert statisk lenkede og innebygde avhengigheter. Det rapporterer hemmeligheter, nøkler, sertifikater, feilkonfigurasjoner og lisensproblemer som leveres i artefaktet, rangerer sårbarheter etter om en kjøringssti når dem, og importerer og eksporterer SPDX og CycloneDX. NetRise Provenance sjekker opprinnelsen til og helsen hos komponenter med åpen kildekode, og ZeroLens ser etter svakheter i kompilert programvare. 21. september 2026 kunngjorde Dragos at selskapet hadde kjøpt NetRise og vil integrere det i Dragos Platform.

Team sammenligner likevel alternativer, som regel av en av disse grunnene:

• Oppkjøpet. Dragos tar NetRise inn i plattformen sin for operatører av kritisk infrastruktur. Enhetsprodusenter utenfor det markedet kan ønske en leverandør med et veikart rettet mot dem.
• Det meste av programvaren er deres egen. Å analysere en binærfil er å jobbe baklengs fra resultatet. Et team som bygger sine egne images, kan i stedet registrere hva som gikk inn i dem.
• En PSIRT-arbeidsflyt. Nettstedet til NetRise beskriver ikke VEX, sikkerhetsvarsler eller PSIRT-undersøkelser. Noen team vil ha dette i samme verktøy som analysen.
• Pris. NetRise publiserer ingen priser.

Hva et PSIRT-team bør se etter

Et PSIRT står ansvarlig for hvert produkt selskapet leverer. Verktøyet bak det bør hjelpe med:

• Et inventar over det som leveres, inkludert firmware fra tredjeparter som du aldri har bygget.
• Hvordan SBOM-en lages, og om verktøyet sier fra når den er ufullstendig.
• Å finne de berørte produktene og utgivelsene raskt når en sårbarhet dukker opp.
• Overvåking etter utgivelse, etter hvert som nye sikkerhetsvarsler kommer for komponenter som allerede er levert.
• Triage, prioritering og VEX, så du kan si hvilke produkter som ikke er berørt.
• CI-dekning, hostingalternativer og hvordan prisen skalerer.

Alternativene

1. CRACI (vårt produkt)

CRACI er en GitHub Actions-runner som lager SBOM-en mens bygget kjører. Det er for team som bygger sin egen firmware og programvare. En pakkebevisst proxy registrerer hva hver jobb henter fra pakke- og kildekodeverter, inkludert pakker gjenopprettet fra CI-cacher, og hver SBOM angir sin fullstendighet per jobb og per cache. Yocto-bygg kjører på runnere med opptil 32 vCPU-er og 96 GB RAM: I et bygg av core-image-sato side om side hadde SBOM-en fra CRACI hver komponent i Yoctos egen SBOM pluss 88 som den manglet, for eksempel vertspakker og GitHub Actions, og en package URL for hver av de 653 Rust-crate-versjonene som Yocto lister opp uten en slik.

CRACI vurderer overvåkede SBOM-er kontinuerlig på nytt, viser hvilke bygg som inneholdt en sårbar avhengighet og hvilke programvareversjoner som er rullet ut til hvilke produkter, støtter VEX og lar sikkerhetsteam prioritere funn og sende hvert av dem videre til teamet som eier rettingen. Du kan legge til leverandørers SBOM-er, så innkjøpte komponenter overvåkes ved siden av dine egne bygg. Fordi CRACI kjører jobben, håndhever det også en egress-policy som blokkerer ved feil.

Passer best for: enhetsprodusenter og programvareteam som bygger på GitHub Actions og vil ha bygget, SBOM-en og sårbarhetssporingen på ett sted. Vurder det hvis: du klarer deg uten binæranalyse, reachability og funn av hemmeligheter i resultatet, noe CRACI ikke har; det kan ikke se inn i firmware du ikke har bygget selv. Det støtter bare GitHub Actions, med GitLab CI og Jenkins på veikartet. Se CRACI for PSIRT-team og CRACI vs NetRise.

2. ONEKEY

ONEKEY analyserer kompilert firmware uten at det trengs kildekode eller nettverkstilgang. Det genererer en SBOM fra binærfilen, importerer leverandørers SBOM-er, eksporterer CycloneDX og SPDX, ser etter sannsynlige zero-days som hardkodet påloggingsinformasjon og analyserer firmware på nytt daglig. Compliance Wizard leder team gjennom CRA, IEC 62443-4-2, ETSI EN 303 645 og Radio Equipment Directive.

Passer best for: enhetsprodusenter som kontrollerer firmware-images de ikke har bygget selv, med veiledede kontroller mot standarder. Vurder det hvis: du vil ha funn utover kjente CVE-er fra en leverandør som er rettet mot tilkoblede produkter. CRACI vs ONEKEY

3. Finite State

Finite State analyserer firmware, binærfiler, kildekode og leverandørers SBOM-er, med støtte for mer enn 50 binære instruksjonssettarkitekturer, og samler dem i én produktoversikt. Det rangerer funn etter reachability, utnyttelsesdata og produktkontekst, registrerer VEX-beslutninger, og arbeidsflyten for samsvar dekker CRA-kontrollkartlegging og revisjonsklare rapporter med SBOM- og VEX-artefakter. Det bygger inn kontroller i GitHub Actions, GitLab CI og Jenkins.

Passer best for: produsenter av tilkoblede enheter som trenger analyse av firmware fra mange leverandører, med VEX-beslutninger på samme sted. Vurder det hvis: du vil ha én plattform på tvers av kildekode, binærfiler og leverandørers SBOM-er. CRACI vs Finite State

4. Cybellum

Cybellums Product Security Platform lager SBOM-er ved å kombinere data fra binærskannere, kildekode og eksterne SBOM-kilder i formatene SPDX, CycloneDX eller CPE CSV. Sårbarhetsstyringen prioriterer funn, og plattformen kan lage VEX-rapporter. For PSIRT-arbeid finner den hvilke produkter eller komponenter en ny sårbarhet berører, deler sårbarhetsstatus via VEX/CSAF-rapporter og gir en arbeidsbenk for å opprette og styre undersøkelser. Den dekker også samsvar med FDA-krav, ISO 21434 og CRA.

Passer best for: produsenter innen bil, medisin og industri som vil ha SBOM-er, sårbarhetsstyring og PSIRT-undersøkelser på én plattform. Vurder det hvis: PSIRT-arbeidsflyten betyr mer for deg enn en frittstående binærskanner. Cybellum publiserer ingen priser.

5. ReversingLabs Spectra Assure

Spectra Assure analyserer kompilerte programvarepakker uten kildekode for skadevare, manipulering, eksponerte hemmeligheter og sårbarheter, og lager CycloneDX- og SPDX-SBOM-er ut fra det den finner. Differensialanalyse sammenligner versjoner og flagger mistenkelige endringer mellom utgivelser. CLI-et rl-secure kjører lokalt og i CI.

Passer best for: en utgivelsessperre mot skadevare og manipulering i pakken du leverer, eller i kommersiell programvare før du ruller den ut. Vurder det hvis: enhetsfirmware er hovedmålet ditt snarere enn programvarepakker. Community er gratis, og Community+ koster $500 per måned (per september 2026). CRACI vs ReversingLabs

6. Exein

Exein jobber på enheten og på firmwaren. Exein Runtime bruker eBPF til å overvåke og blokkere skadelig atferd på innebygd Linux, og Yocto-laget meta-exein, som er åpen kildekode, legger Pulsar-agenten inn i imaget ditt. Exein Analyzer undersøker firmware før utgivelse, eller SBOM-en din når binærfilen ikke er tilgjengelig, rangerer funn med reachability-scoring og LLM-basert filtrering, og kartlegger dem mot CRA-kravene.

Passer best for: produsenter av innebygd Linux som vil ha beskyttelse i felt i tillegg til firmwareanalyse. Vurder det hvis: du er komfortabel med å levere en agent på enheten. CRACI vs Exein

7. Cybeats

Cybeats SBOM Studio er et sentralt register som tar inn, forvalter, overvåker og deler SBOM-er på tvers av produkter og leverandører. Det vurderer SBOM-kvaliteten ved import og deler SBOM-er og VEX med kunder. For SBOM-generering og binær sammensetningsanalyse viser Cybeats til leverandører i sin Marketplace, og RAVEN-tillegget vurderer reachability og lager utkast til VEX.

Passer best for: produsenter innen medisin, industri og telekom som driver et SBOM-program på tvers av mange produkter og leverandører. Vurder det hvis: du trenger selve analysen; SBOM Studio forvalter SBOM-er som et annet verktøy har generert. CRACI vs Cybeats

Side om side

«NetRise» betyr NetRise Turbine, «Cybellum» betyr Cybellum Product Security Platform, «ReversingLabs» betyr Spectra Assure, og «Cybeats» betyr SBOM Studio. Prisene for ReversingLabs er per september 2026. «Ikke oppgitt» betyr at funksjonen ikke er beskrevet i leverandørens dokumentasjon, ikke at den mangler.

For Cyber Resilience Act

NetRise, ONEKEY, Finite State, Cybellum og Exein tar alle for seg CRA. Rapporteringspliktene har gjeldt siden 11. september 2026, og hovedbestemmelsene gjelder fra 11. desember 2027. Et tidlig varsel innen 24 timer forutsetter at du raskt vet hvilke utgivelser som inneholder en berørt komponent. For programvare du bygger selv, tar CRACI vare på byggehistorikken med SBOM-en til hvert bygg, så du kan se hvilke bygg som inneholdt en sårbar avhengighet. API-et returnerer SBOM-er, nettverksspor og provenance, SBOM-er eksporteres som CycloneDX eller SPDX, og CRACI sender inn CRA-varslene på dine vegne.

Ingen av verktøyene på denne siden sørger alene for at en produsent oppfyller kravene. Se hva CRA krever og PSIRT-verktøy sammenlignet.

Når du bør bli hos NetRise

• Du trenger SBOM-er for firmware og binærfiler du kjøper, og for dem du bygger, inkludert statisk lenket kode.
• Du vil ha hemmeligheter, nøkler, sertifikater og feilkonfigurasjoner i artefaktet rapportert ved siden av CVE-er.
• Du er avhengig av reachability langs kjøringsstier for å korte ned listen over funn.
• Du driver operasjonell teknologi og vil ha innsyn i firmware inne i Dragos Platform.

Vil du vite mer, se Yocto-bygg på CRACI, alternativer til ONEKEY og alternativer til Finite State.

Alternativer til NetRise: ofte stilte spørsmål

Korte svar på spørsmålene team stiller når de sammenligner

Hva er det beste alternativet til NetRise?

Det avhenger av hva du bruker NetRise til. For firmwareanalyse med funn utover kjente CVE-er og veiledede samsvarskontroller kan du se på ONEKEY. For firmware, binærfiler, kildekode og leverandørers SBOM-er i én produktoversikt med reachability kan du se på Finite State. For PSIRT-undersøkelser og VEX- eller CSAF-rapporter i tillegg til binæranalyse kan du se på Cybellum. For kontroll av skadevare og manipulering i en utgivelsespakke kan du se på ReversingLabs Spectra Assure. For beskyttelse på selve enheten kan du se på Exein. For å forvalte SBOM-er på tvers av mange leverandører kan du se på Cybeats. Bygger du din egen programvare i GitHub Actions, registrerer CRACI SBOM-en fra hvert bygg og overvåker den for sårbarheter.

Selges NetRise fortsatt etter at Dragos kjøpte selskapet?

Dragos kunngjorde oppkjøpet av NetRise og runZero 21. september 2026, uten å oppgi økonomiske vilkår. Ifølge Dragos skal ledelsen i NetRise integrere det i Dragos Platform og samtidig fortsette å betjene eksisterende kunder, og netrise.io presenterte fortsatt Turbine, Provenance og ZeroLens i oktober 2026. Spør NetRise eller Dragos hvordan det skal selges fremover.

Kan CRACI analysere firmware slik NetRise gjør?

Nei. CRACI analyserer ikke binærfiler eller firmware-images, gjør ikke reachability-analyse og ser ikke etter hemmeligheter eller feilkonfigurasjoner i resultatet. Det registrerer hva dine egne bygg henter mens de kjører på CRACIs GitHub Actions-runnere, inkludert Yocto-bygg, og lager SBOM-en ut fra denne registreringen. For firmware du mottar som binærfil, kan du legge leverandørens SBOM til i CRACI, så komponentene overvåkes, men uten en SBOM trenger du et verktøy for binæranalyse.

Hvilke av disse verktøyene hjelper et PSIRT-team med å finne berørte produkter?

Cybellum beskriver en PSIRT-arbeidsbenk som finner hvilke produkter eller komponenter en ny sårbarhet berører. Finite State og Cybeats fører en oversikt på tvers av produkter og leverandører. CRACI viser hvilke bygg som inneholdt en sårbar avhengighet, direkte eller transitiv, og inventarvisningen viser hvilke programvareversjoner som er rullet ut til hvilke produkter. Verktøy for binæranalyse som NetRise og ONEKEY forteller deg hva som er inni firmware du ikke har bygget selv.

Er en SBOM fra bygget bedre enn en fra binæranalyse?

For programvare du bygger selv, registrerer en SBOM fra bygget hva som gikk inn, i stedet for å utlede det fra resultatet, noe som er vanskelig for kompilert kode som Rust og C. Binæranalyse er fortsatt det eneste alternativet for firmware du ikke har bygget selv. I et core-image-sato-bygg side om side hadde SBOM-en fra CRACI hver komponent i Yoctos egen SBOM pluss 88 som den manglet, og en package URL for hver av de 653 Rust-crate-versjonene som Yocto lister opp uten en slik.