PSIRT-verktøy sammenlignet

Det korte svaret

• Firmware fra leverandører som binærfiler: ONEKEY, Finite State, NetRise eller Cybellum. Binæranalyse er måten å se inn i kode du aldri kjører bygget til.
• Bil, medisinsk utstyr eller industrienheter med regulatoriske maler: Cybellum, med maler for FDA PMA, ISO 21434 og EUs CRA.
• Medisinsk utstyr og FDA-søknader: Medcrypt, med Helm for SBOM-er og sårbarheter.
• Mange skannere i én kø, med en PSIRT-flyt for sikkerhetsvarsler: DefectDojo, åpen kildekode med en Pro-utgave.
• Et sentralt register for SBOM-er fra mange leverandører: Cybeats SBOM Studio.
• Yocto- eller Buildroot-images med kuraterte CVE-data: Timesys Vigiles.
• Beskyttelse også på enheten: Exein.
• Et gratis, selvhostet sted å overvåke SBOM-er: OWASP Dependency-Track.
• Programvare du bygger i GitHub Actions: CRACI, som registrerer SBOM-en fra hvert bygg, tar vare på hvert tidligere bygg og overvåker det som er levert.

Hvem denne siden er for

Du driver eller bygger opp en produktsikkerhetsfunksjon, og du velger verktøyene bak den. Hvis du fortsatt definerer rollen, kan du begynne med hva et PSIRT gjør. Vi lager CRACI, så ta det med i vurderingen. Hver påstand om et annet produkt kommer fra produktets eget nettsted eller dokumentasjon, sjekket i oktober 2026, og de fleste leverandørene her har en lengre CRACI vs X-side.

Hva et PSIRT-verktøy må gjøre

Arbeidet følger livssyklusen for sårbarhetshåndtering, og et PSIRT trenger støtte i hvert steg:

1. Vit hva som leveres. En SBOM per produktversjon, inkludert transitive avhengigheter og leverandørkomponenter. Alt etter dette avhenger av at den er fullstendig.
2. Oppdag nye sårbarheter. Kontinuerlig overvåking som matcher nye sikkerhetsvarsler mot hver utgitte versjon, ikke bare den neste.
3. Finn de berørte produktene. Hvilke produkter, versjoner og bygg som inneholder komponenten, og hvor lenge de gjorde det.
4. Triager og rut. Avgjør hva som er viktig, og send det til teamet som eier rettingen.
5. Si hva som ikke er berørt. VEX registrerer hvilke produkter en sårbarhet berører, og hvorfor de andre ikke er det.
6. Ta imot rapporter og informer. En kanal for eksterne forskere, saksoppfølging og sikkerhetsvarsler, ofte som maskinlesbar CSAF.

Ingen av verktøyene nedenfor dekker alle seks like godt. De fleste er sterkest på de to eller tre første stegene, og de skiller seg mest i hvor inventaret kommer fra.

Slik velger du

• Bygger du programvaren, eller mottar du den? Hvis mye av produktet kommer fra brikkeleverandører og andre leverandører som binærfiler, er binæranalyse måten å se inn i det på. Hvis du bygger det selv, er bygget den mest direkte kilden til inventaret.
• Er produktet regulert? Medisinsk utstyr, kjøretøy og industriutstyr kommer med søknadsformater og standarder. Noen verktøy leveres med maler for dem; andre overlater det til din egen prosess.
• Hvor mange skannere kjører du allerede? Hvis funn kommer fra mange verktøy, kan en aggregator som fjerner duplikater, bety mer enn enda en kilde til funn.
• Hvor kommer eksterne rapporter inn? Innsendinger fra forskere trenger vanligvis sin egen kanal (se nedenfor), uansett hvilket inventarverktøy du velger.
• Må det være selvhostet? DefectDojo, Dependency-Track og Medcrypt Enterprise kan kjøre på din egen infrastruktur, og Cybellum kan kjøre i ditt eget datasenter.

Oversikt

To tabeller: først verktøy bygget rundt firmware og enheter, deretter plattformer for sårbarhetshåndtering og SBOM. "Ikke oppgitt" betyr at leverandørsidene vi viser til, ikke sier noe om det. Rapportmottak, saksoppfølging og publisering av sikkerhetsvarsler er dekket i teksten nedenfor og ikke i tabellene.

Firmware og enheter

Plattformer for sårbarhetshåndtering og SBOM

CRACI

CRACI er en GitHub Actions-runner. Du endrer runs-on til craci, og mens hver jobb kjører, registrerer en pakkebevisst proxy hva den henter, inkludert pakker gjenopprettet fra CI-cacher og avhengigheter ingen lockfile lister opp. SBOM-en, i CycloneDX eller SPDX, har en fullstendighetsstatus per jobb og per cache. CRACI tar vare på hvert tidligere bygg med SBOM-en, så når et sikkerhetsvarsel kommer, kan du se hvilke bygg som inneholdt den sårbare avhengigheten, direkte eller transitiv, og hvor lenge, innenfor oppbevaringsperioden din. Inventarvisningen viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt.

Etter bygget vurderer CRACI overvåkede SBOM-er løpende på nytt, lar sikkerhetsteam triagere funn og rute hvert av dem til teamet som eier rettingen, og støtter VEX. Policy gates kan blokkere et bygg som inneholder en bestemt CVE, og en egress-policy begrenser hva bygget kan nå. Du kan legge til leverandør-SBOM-er, så innkjøpte komponenter overvåkes ved siden av dine egne bygg. For aktivt utnyttede sårbarheter sender CRACI inn CRA-varslene på dine vegne. For Yocto ga et sammenlignende bygg av core-image-sato en SBOM med alle komponentene i Yoctos egen SBOM pluss 88 den gikk glipp av. Prisen er bare byggeminutter: $0.004 per 2 vCPU-minutt, målt per sekund, uten månedsavgift og uten betaling per SBOM. Passer best for: PSIRT-er som har produkter bygget i GitHub Actions. Vær obs på: Det analyserer ikke binærfiler, så firmware du ikke har bygget, trenger en leverandør-SBOM eller et verktøy for binæranalyse; det har ingen reachability-analyse og ingen rapporteksport; og det støtter GitHub Actions i dag, med GitLab CI og Jenkins på veikartet. Se CRACI for PSIRT-team.

Plattformer for firmware og enheter

Cybellum

Cybellum er en produktsikkerhetsplattform for enhetsprodusenter innen bilindustri, medisinsk utstyr og industri, majoritetseid av LG Electronics siden 2021. Cyber Digital Twins bygges fra firmware-binærfiler, og Cybellum slår dem sammen med kildekode og leverandør-SBOM-er i SPDX, CycloneDX eller CPE CSV. Det overvåker versjoner etter produksjon, triagerer med en AI-assistent, VM CoPilot, tilbyr "a workbench for creating and managing investigations" med saker, og deler sårbarhetsstatus gjennom VEX- og CSAF-rapporter. Regulatoriske maler dekker FDA PMA, ISO 21434, EUs CRA og mer enn 50 standarder. Det kjører i offentlige skyer eller ditt eget datasenter. Passer best for: enhetsprodusenter som trenger binæranalyse og regulatorisk dokumentasjon i én plattform. Vær obs på: Prisene er ikke publisert, og det jobber ut fra artefakter i stedet for å kjøre bygget ditt. CRACI vs Cybellum og Cybellum-alternativer

ONEKEY

ONEKEY analyserer kompilert firmware med "no source code or network access needed." Det genererer en SBOM fra binærfilen, importerer leverandør-SBOM-er, ser etter sannsynlige zero-days som hardkodet påloggingsinformasjon, og analyserer firmware på nytt daglig. Compliance Wizard leder team gjennom CRA, IEC 62443-4-2, ETSI EN 303 645 og Radio Equipment Directive. Passer best for: team som integrerer mye leverandørfirmware. Vær obs på: Det jobber på imaget etter bygget, så det registrerer ikke hva bygget hentet. CRACI vs ONEKEY og ONEKEY-alternativer

Finite State

Finite State analyserer firmware, binærfiler, kildekode og leverandør-SBOM-er, med støtte for mer enn 50 binære instruksjonssettarkitekturer, og samler dem i én oversikt over levert programvare med overvåking etter lansering. Det rangerer funn etter reachability og exploit-etterretning, registrerer VEX-beslutninger og kobler kontroller til kravene i CRA og fra FDA. Passer best for: PSIRT-er som må prioritere en lang liste med funn på tvers av mange leverandører. Vær obs på: Det starter fra artefakter, så å kontrollere hva ditt eget bygg kunne nå, er utenfor omfanget. CRACI vs Finite State og Finite State-alternativer

NetRise

NetRise Turbine produserer "a complete, binary-derived SBOM from the software itself," inkludert statisk lenket og innebygd kode, for programvare du bygger, kjøper og kjører. Det importerer SPDX- og CycloneDX-SBOM-er, sjekker kontinuerlig NVD, CISA KEV og data om trusselaktører, rangerer funn etter reachability i kjøringsstier, rapporterer hemmeligheter, nøkler og feilkonfigurasjoner inne i artefakten og kobler seg til Jira og ServiceNow. Dragos kunngjorde 21. september 2026 at selskapet hadde kjøpt NetRise. Passer best for: operasjonell teknologi og enhetsparker med programvare fra mange leverandører. Vær obs på: Sidene beskriver ikke VEX, saksoppfølging eller publisering av sikkerhetsvarsler, og prisene er ikke publisert. CRACI vs NetRise og NetRise-alternativer

Exein

Exein jobber på enheten så vel som før utgivelse. Exein Runtime bruker eBPF til å overvåke og blokkere ondsinnet atferd på embedded Linux, og Yocto-laget meta-exein med åpen kildekode legger Pulsar-agenten inn i imaget ditt. Exein Analyzer skanner firmware, eller SBOM-en din når binærfilen ikke er tilgjengelig, prioriterer med reachability-scoring og kobler funn til CRA-krav. Passer best for: embedded Linux-produkter som trenger beskyttelse ute i felt. Vær obs på: Yocto-laget endrer hva som kjører på enheten; det verken kjører eller registrerer bygget ditt. CRACI vs Exein

Timesys Vigiles

Vigiles, som nå selges av Lynx Software Technologies, gjør metadataene fra et Yocto-, Buildroot- eller OpenWrt-bygg om til en SBOM og matcher den mot en kuratert CVE-database. Konfigurasjonsfiltre for kjerne og U-Boot fjerner CVE-er i funksjoner du ikke bygger, triagebeslutninger (affected, fixed, deferred, not exploitable) lagres per utgivelse, CISA KEV-oppføringer fremheves, og det eksporterer SBOM-er, VEX og sårbarhetsrapporter. Passer best for: team som jobber med embedded Linux og vil ha mindre CVE-støy. Vær obs på: SBOM-en gjenspeiler det BitBakes metadata sier går inn i imaget, ikke alt bygget hentet. CRACI vs Timesys Vigiles

Plattformer for sårbarhetshåndtering og SBOM

DefectDojo

DefectDojo er et OWASP Flagship-prosjekt med en kommersiell Pro-utgave. Den gratis Community Edition fjerner duplikater blant funn fra skannerne du allerede kjører, mer enn 500 støttede verktøy etter egen opptelling, i én kø med eiere, SLA-er og Jira-saker. Pro legger til SBOM-import i CycloneDX og SPDX, CycloneDX VEX-eksport og en PSIRT Advisory Engine som tar inn sikkerhetsvarsler fra mer enn 20 strømmer, matcher dem mot SBOM-data, grupperer dem i saker med eiere og publiserer merkevaretilpassede PDF-varsler. Utgivelsen fra september 2026 la til CSAF 2.0- og VEX-eksport av sikkerhetsvarsler og et rapporteringsgrensesnitt for CRA artikkel 14. Pro starter på $100 per måned pluss $0.15 per behandlet funn. Passer best for: PSIRT-er som vil ha et grunnlag av åpen kildekode og en flyt for sikkerhetsvarsler. Vær obs på: Det genererer ikke SBOM-er selv, så inventaret er bare så fullstendig som det du laster opp. CRACI vs DefectDojo og DefectDojo-alternativer

Medcrypt

Medcrypt hjelper produsenter av medisinsk utstyr med å få cybersikkerhetssøknaden gjennom FDAs vurdering, med et team som inkluderer tidligere FDA-saksbehandlere. Produktet Helm importerer CycloneDX- eller SPDX-SBOM-er via API, GitHub Action eller Azure DevOps, overvåker dem kontinuerlig, rangerer funn med EPSS, CISA KEV og exploit-data og eksporterer CycloneDX VEX- og VDR-rapporter. MSI, som inkluderer Helm, koster $35,000 per produktlinje per år, og MedISAO-medlemskapet gir et program for koordinert offentliggjøring av sårbarheter. Passer best for: produsenter av medisinsk utstyr som forbereder eller vedlikeholder FDA-søknader. Vær obs på: Det tar inn SBOM-er i stedet for å produsere dem (et genereringsverktøy er tilgjengelig på forespørsel), og prissiden sier at FDA er det plattformen dekker i dag. CRACI vs Medcrypt

Cybeats

Cybeats SBOM Studio kaller seg "the SBOM system of record." Det lagrer SBOM-er fra produktene og leverandørene dine i SPDX 2.2 til 3.0.1 og CycloneDX 1.2 til 1.7, gir kvaliteten en score før import, matcher hver komponent kontinuerlig mot sårbarhetsetterretning, utsteder VEX og deler SBOM-er med kunder, blant annet over Transparency Exchange API. Passer best for: produktsikkerhetsteam innen ICS, medisinsk utstyr, telekom og bilindustri som driver et SBOM-program på tvers av mange leverandører. Vær obs på: For generering viser det til leverandører i Marketplace, så selve SBOM-en kommer fra et annet verktøy. CRACI vs Cybeats og Cybeats-alternativer

Alternativet med åpen kildekode: Dependency-Track

OWASP Dependency-Track er en Apache 2.0-plattform som sporer komponenter på tvers av hver versjon av hver applikasjon, henter sårbarhetsdata fra kilder som NVD og GitHub Advisories, bruker sikkerhets-, lisens- og driftspolicyer og både leser og produserer CycloneDX VEX. Pipelines laster opp SBOM-er gjennom API-et. Det er gratis, og du hoster og drifter det selv. Passer best for: team som vil ha en åpen, selvhostet analyseplattform. Vær obs på: Det genererer ikke SBOM-er, så resultatene avhenger av generatoren du kjører før det. CRACI vs Dependency-Track og Dependency-Track-alternativer

Rapportmottak, saker og sikkerhetsvarsler

Tabellene over stopper ved triage og VEX. Resten av PSIRT-arbeidet, å ta imot rapporter og informere, er ujevnt dekket:

• Rapporter fra eksterne forskere. Disse kommer vanligvis gjennom et program for offentliggjøring av sårbarheter. Mange selskaper kjører et på en plattform som HackerOne Response eller Bugcrowds VDP, som gir forskere en kanal for å sende inn rapporter og hjelper med å triagere dem. Andre publiserer selv en policy og en sikkerhetskontakt. Guiden vår om koordinert offentliggjøring av sårbarheter dekker policyen, security.txt og tidslinjene.
• Saksoppfølging. Cybellum har en arbeidsbenk for undersøkelser med saker. DefectDojo Pro grupperer matchede sikkerhetsvarsler i saker med eiere og SLA-sporing. Ingen av dem sier at de hoster innsendinger fra forskere.
• Sikkerhetsvarsler. DefectDojo Pro publiserer merkevaretilpassede PDF-varsler og eksporterer CSAF 2.0. Cybellum deler sårbarhetsstatus gjennom VEX- og CSAF-rapporter. MedISAO-medlemskapet fra Medcrypt inkluderer et program for koordinert offentliggjøring av sårbarheter.

Hvor CRACI passer inn

Det første spørsmålet i hver PSIRT-sak er hvilke produkter og versjoner som inneholder den sårbare komponenten. Binæranalyse svarer ut fra det som ble levert, SBOM-plattformer ut fra SBOM-ene du gir dem, og aggregatorer ut fra det andre skannere rapporterer. CRACI svarer ut fra en oversikt over hva dine egne bygg faktisk hentet, bevart for hvert tidligere bygg. For programvare du bygger i GitHub Actions, dekker det inventaret, overvåkingen, triage og VEX i ett produkt, så en egen SBOM-behandler som Dependency-Track eller Cybeats ikke trengs for de byggene.

Andre verktøy vinner andre steder. Binæranalyse fra Cybellum, ONEKEY, Finite State eller NetRise ser inn i firmware du ikke har bygget. Cybellum og Medcrypt bringer regulatoriske maler og søknadsekspertise. DefectDojo samler funn fra hundrevis av skannere og publiserer sikkerhetsvarsler. Finite State, NetRise og Exein rangerer funn etter reachability, noe CRACI ikke tilbyr. Les hva et PSIRT gjør og CRACI for PSIRT-team, eller sammenlign CRA-samsvarsverktøy og SBOM-verktøy.

PSIRT-verktøy: ofte stilte spørsmål

Hva er et PSIRT-verktøy?

Programvare som hjelper et product security incident response team med jobben: å vite hvilke komponenter som leveres i hver produktversjon, oppdage når en ny sårbarhet berører dem, triagere den, rute rettingen, registrere hvilke produkter som ikke er berørt, og informere kunder og myndigheter. Få produkter dekker alt. De fleste PSIRT-er kombinerer et verktøy for inventar og overvåking med en kanal for eksterne rapporter og en måte å publisere sikkerhetsvarsler på.

Hvilket PSIRT-verktøy er best for firmware vi mottar som binærfiler?

Et verktøy for binæranalyse. Cybellum, ONEKEY, Finite State og NetRise bygger en SBOM fra selve den kompilerte firmwaren, så de kan se inn i leverandørkode du aldri kjører bygget til. Exein Analyzer skanner også firmware før utgivelse. CRACI analyserer ikke binærfiler; for leverandørfirmware kan det overvåke leverandørens SBOM hvis leverandøren gir deg en.

Hvilket PSIRT-verktøy passer for programvare vi bygger selv?

Hvis byggene dine kjører i GitHub Actions, registrerer CRACI SBOM-en fra hvert bygg mens det kjører, tar vare på hvert tidligere bygg med SBOM-en, vurderer overvåkede SBOM-er på nytt når sikkerhetsvarsler dukker opp, og viser hvilke bygg som inneholdt en sårbar avhengighet, og hvilke programvareversjoner som er rullet ut til hvilke produkter. GitLab CI og Jenkins står på veikartet. For Yocto-images bygger Timesys Vigiles en SBOM fra BitBake-metadata i stedet for å registrere bygget.

Finnes det et gratis PSIRT-verktøy eller et med åpen kildekode?

To av verktøyene her har gratisutgaver. DefectDojo Community Edition er gratis under BSD 3-Clause-lisensen og fjerner duplikater blant funn fra hundrevis av skannere i én kø; PSIRT Advisory Engine, SBOM-import og CSAF-eksport er i DefectDojo Pro. OWASP Dependency-Track er gratis under Apache 2.0 og overvåker SBOM-ene du laster opp. Du hoster og drifter begge selv.

Tar PSIRT-verktøy imot rapporter fra eksterne forskere?

Rapporter fra forskere kommer vanligvis gjennom et program for offentliggjøring av sårbarheter, ofte drevet på en plattform som HackerOne eller Bugcrowd, eller gjennom en publisert sikkerhetskontakt. DefectDojo Pro tar inn sikkerhetsvarsler fra offentlige strømmer, og Cybellum tilbyr en arbeidsbenk for undersøkelser, men ingen av dem sier at de hoster innsendinger fra forskere.

Hvilke verktøy publiserer CSAF-sikkerhetsvarsler?

DefectDojo Pro la til CSAF 2.0- og VEX-eksport av sikkerhetsvarsler i september 2026 og publiserer merkevaretilpassede PDF-varsler. Cybellum deler sårbarhetsstatus gjennom VEX- og CSAF-rapporter. De andre leverandørene på denne siden beskriver ikke publisering av CSAF-varsler på sidene vi viser til.

Krever CRA et PSIRT-verktøy?

Ingen verktøy er påkrevd. Cyber Resilience Act ber produsenter håndtere sårbarheter gjennom støtteperioden, ha en policy for koordinert offentliggjøring av sårbarheter og en kontakt for rapporter og, siden 11. september 2026, rapportere aktivt utnyttede sårbarheter innen 24 timer, 72 timer og 14 dager. CRACI sender inn disse varslene på vegne av produsenten, og DefectDojo Pro har et rapporteringsgrensesnitt for CRA artikkel 14. Forpliktelsen forblir hos produsenten.