Porównanie narzędzi PSIRT

Krótka odpowiedź

• Firmware od dostawców w postaci plików binarnych: ONEKEY, Finite State, NetRise lub Cybellum. Analiza binarna pozwala zajrzeć do kodu, którego buildu Państwo nigdy nie uruchamiają.
• Urządzenia motoryzacyjne, medyczne lub przemysłowe z szablonami regulacyjnymi: Cybellum, z szablonami dla FDA PMA, ISO 21434 i unijnego CRA.
• Wyroby medyczne i zgłoszenia do FDA: Medcrypt, z Helm do SBOM i podatności.
• Wiele skanerów w jednej kolejce, z procesem biuletynów PSIRT: DefectDojo, open source z edycją Pro.
• System ewidencji SBOM od wielu dostawców: Cybeats SBOM Studio.
• Obrazy Yocto lub Buildroot z wyselekcjonowanymi danymi CVE: Timesys Vigiles.
• Ochrona także na urządzeniu: Exein.
• Bezpłatne, samodzielnie hostowane miejsce do monitorowania SBOM: OWASP Dependency-Track.
• Oprogramowanie budowane w GitHub Actions: CRACI, który rejestruje SBOM każdego buildu, przechowuje każdy wcześniejszy build i monitoruje to, co dostarczono.

Dla kogo jest ta strona

Prowadzą lub tworzą Państwo funkcję bezpieczeństwa produktu i wybierają narzędzia, które będą ją wspierać. Jeśli rola dopiero się kształtuje, warto zacząć od strony czym zajmuje się PSIRT. Tworzymy CRACI, proszę wziąć to pod uwagę. Każde stwierdzenie o innym produkcie pochodzi z jego własnej strony lub dokumentacji, sprawdzonych w październiku 2026, a większość dostawców ma tu dłuższą stronę CRACI vs X.

Co musi robić narzędzie PSIRT

Praca przebiega zgodnie z cyklem życia zarządzania podatnościami, a PSIRT potrzebuje wsparcia na każdym kroku:

1. Wiedzieć, co jest dostarczane. SBOM dla każdej wersji produktu, łącznie z zależnościami przechodnimi i komponentami dostawców. Wszystko, co następuje później, zależy od jego kompletności.
2. Zauważać nowe podatności. Ciągłe monitorowanie, które dopasowuje nowe biuletyny do każdej wydanej wersji, a nie tylko do następnej.
3. Znajdować produkty, których to dotyczy. Które produkty, wersje i buildy zawierają komponent i jak długo go zawierały.
4. Wykonywać triage i przekazywać. Decydować, co jest ważne, i przekazywać to zespołowi odpowiedzialnemu za poprawkę.
5. Mówić, czego to nie dotyczy. VEX zapisuje, których produktów dotyczy podatność i dlaczego nie dotyczy pozostałych.
6. Przyjmować zgłoszenia i informować. Kanał dla zewnętrznych badaczy, śledzenie spraw i biuletyny, często w czytelnym maszynowo formacie CSAF.

Żadne z poniższych narzędzi nie obejmuje wszystkich sześciu w równym stopniu. Większość jest najmocniejsza w pierwszych dwóch lub trzech krokach, a najbardziej różnią się tym, skąd pochodzi ich inwentarz.

Jak wybrać

• Czy budują Państwo oprogramowanie, czy je otrzymują? Jeśli znaczna część produktu przychodzi od producentów układów i dostawców jako pliki binarne, analiza binarna pozwala zajrzeć do środka. Jeśli budują je Państwo sami, build jest najbardziej bezpośrednim źródłem inwentarza.
• Czy produkt jest regulowany? Wyroby medyczne, pojazdy i urządzenia przemysłowe wiążą się z formatami zgłoszeń i normami. Niektóre narzędzia mają dla nich szablony, inne pozostawiają to Państwa własnemu procesowi.
• Ile skanerów już Państwo uruchamiają? Jeśli znaleziska pochodzą z wielu narzędzi, agregator usuwający duplikaty może być ważniejszy niż kolejne źródło znalezisk.
• Dokąd trafiają zgłoszenia z zewnątrz? Zgłoszenia badaczy zwykle wymagają własnego kanału (zob. poniżej), niezależnie od wybranego narzędzia do inwentaryzacji.
• Czy musi być hostowane samodzielnie? DefectDojo, Dependency-Track i Medcrypt Enterprise mogą działać na Państwa własnej infrastrukturze, a Cybellum we własnym centrum danych.

W skrócie

Dwie tabele: najpierw narzędzia stworzone przede wszystkim z myślą o firmware'ze i urządzeniach, potem platformy zarządzania podatnościami i SBOM. „Nie podano” oznacza, że cytowane przez nas strony dostawców nie rozstrzygają tej kwestii. Przyjmowanie zgłoszeń, zarządzanie sprawami i publikowanie biuletynów omawiamy w tekście poniżej, a nie w tabelach.

Firmware i urządzenia

Platformy zarządzania podatnościami i SBOM

CRACI

CRACI to runner GitHub Actions. Zmieniają Państwo runs-on na craci, a w czasie działania każdego zadania proxy rozpoznające pakiety rejestruje to, co jest pobierane, łącznie z pakietami przywróconymi z cache CI i zależnościami, których nie wymienia żaden lockfile. SBOM w formacie CycloneDX lub SPDX zawiera stan kompletności dla każdego zadania i każdego cache. CRACI przechowuje każdy wcześniejszy build z jego SBOM, więc gdy pojawi się biuletyn, widzą Państwo, które buildy zawierały podatną zależność, bezpośrednią lub przechodnią, i jak długo, w ramach okresu przechowywania. Widok inwentarza pokazuje dokładnie, które wersje oprogramowania są wdrożone w których produktach, na całym świecie.

Po buildzie CRACI na bieżąco ponownie ocenia monitorowane SBOM-y, pozwala zespołom bezpieczeństwa wykonywać triage znalezisk i przekazywać każde z nich zespołowi odpowiedzialnemu za poprawkę oraz obsługuje VEX. Bramki polityk mogą zablokować build zawierający konkretny CVE, a polityka ruchu wychodzącego ogranicza, do czego build ma dostęp. Można dodawać SBOM-y dostawców, dzięki czemu kupowane komponenty są monitorowane obok własnych buildów. W przypadku aktywnie wykorzystywanych podatności CRACI składa zgłoszenia CRA w Państwa imieniu. Dla Yocto równoległy build core-image-sato dał SBOM z każdym komponentem z własnego SBOM Yocto oraz 88, które tamten pominął. Cena to wyłącznie minuty buildu: $0.004 za minutę 2 vCPU, naliczane co sekundę, bez opłaty miesięcznej i bez opłaty za SBOM. Najlepszy dla: zespołów PSIRT, których produkty są budowane w GitHub Actions. Uwaga: nie analizuje plików binarnych, więc firmware, którego Państwo nie budowali, wymaga SBOM dostawcy lub narzędzia do analizy binarnej; nie ma analizy osiągalności ani eksportu raportów; obsługuje dziś GitHub Actions, a GitLab CI i Jenkins są w planach rozwoju. Zob. CRACI dla zespołów PSIRT.

Platformy do firmware'u i urządzeń

Cybellum

Cybellum to platforma bezpieczeństwa produktu dla producentów urządzeń z rynków motoryzacyjnego, medycznego i przemysłowego, od 2021 roku należąca większościowo do LG Electronics. Jej Cyber Digital Twins powstają z plików binarnych firmware'u i są łączone z kodem źródłowym oraz SBOM-ami dostawców w formatach SPDX, CycloneDX lub CPE CSV. Monitoruje wersje poprodukcyjne, wykonuje triage z asystentem AI, VM CoPilot, oferuje środowisko pracy do tworzenia dochodzeń i zarządzania nimi, ze zgłoszeniami, oraz udostępnia status podatności przez raporty VEX i CSAF. Szablony regulacyjne obejmują FDA PMA, ISO 21434, unijny CRA i ponad 50 norm. Działa w chmurach publicznych lub we własnym centrum danych. Najlepszy dla: producentów urządzeń, którzy potrzebują analizy binarnej i dowodów regulacyjnych na jednej platformie. Uwaga: ceny nie są publikowane, a narzędzie pracuje na artefaktach, zamiast uruchamiać Państwa build. CRACI vs Cybellum oraz alternatywy dla Cybellum

ONEKEY

ONEKEY analizuje skompilowany firmware bez potrzeby dostępu do kodu źródłowego lub sieci. Generuje SBOM z pliku binarnego, importuje SBOM-y dostawców, szuka prawdopodobnych zero-dayów, takich jak zaszyte poświadczenia, i codziennie ponownie analizuje firmware. Jego Compliance Wizard prowadzi zespoły przez CRA, IEC 62443-4-2, ETSI EN 303 645 i Radio Equipment Directive. Najlepszy dla: zespołów, które integrują dużo firmware'u dostawców. Uwaga: pracuje na obrazie po buildzie, więc nie rejestruje tego, co build pobrał. CRACI vs ONEKEY oraz alternatywy dla ONEKEY

Finite State

Finite State analizuje firmware, pliki binarne, kod źródłowy i SBOM-y dostawców, z obsługą ponad 50 binarnych architektur zestawów instrukcji, i łączy je w jeden zapis dostarczonego oprogramowania z monitorowaniem po wprowadzeniu na rynek. Szereguje znaleziska według osiągalności i danych o exploitach, zapisuje decyzje VEX i mapuje kontrole na wymagania CRA i FDA. Najlepszy dla: zespołów PSIRT, które muszą priorytetyzować długą listę znalezisk od wielu dostawców. Uwaga: zaczyna od artefaktów, więc kontrola tego, do czego ma dostęp Państwa własny build, wykracza poza jego zakres. CRACI vs Finite State oraz alternatywy dla Finite State

NetRise

NetRise Turbine tworzy kompletny SBOM wyprowadzony z plików binarnych samego oprogramowania, łącznie z kodem linkowanym statycznie i osadzonym, dla oprogramowania, które Państwo budują, kupują i uruchamiają. Importuje SBOM-y SPDX i CycloneDX, na bieżąco sprawdza NVD, CISA KEV i dane o aktorach zagrożeń, szereguje znaleziska według osiągalności ścieżek wykonania, zgłasza sekrety, klucze i błędy konfiguracji wewnątrz artefaktu oraz łączy się z Jira i ServiceNow. Dragos ogłosił 21 września 2026 przejęcie NetRise. Najlepszy dla: technologii operacyjnej i flot urządzeń, których oprogramowanie pochodzi od wielu dostawców. Uwaga: jego strony nie opisują VEX, zarządzania sprawami ani publikowania biuletynów, a ceny nie są publikowane. CRACI vs NetRise oraz alternatywy dla NetRise

Exein

Exein działa na urządzeniu, a także przed wydaniem. Exein Runtime używa eBPF do monitorowania i blokowania złośliwych zachowań na wbudowanym Linuksie, a warstwa Yocto open source meta-exein umieszcza agenta Pulsar w Państwa obrazie. Exein Analyzer skanuje firmware lub Państwa SBOM, gdy plik binarny jest niedostępny, priorytetyzuje na podstawie oceny osiągalności i mapuje znaleziska na wymagania CRA. Najlepszy dla: produktów z wbudowanym Linuksem, które potrzebują ochrony w terenie. Uwaga: warstwa Yocto zmienia to, co działa na urządzeniu; nie uruchamia ani nie rejestruje Państwa buildu. CRACI vs Exein

Timesys Vigiles

Vigiles, sprzedawany teraz przez Lynx Software Technologies, zamienia metadane buildu Yocto, Buildroot lub OpenWrt w SBOM i dopasowuje go do wyselekcjonowanej bazy CVE. Filtry konfiguracji jądra i U-Boot usuwają CVE w funkcjach, których Państwo nie budują, decyzje triage (dotyczy, naprawiono, odłożono, niemożliwe do wykorzystania) są przechowywane dla każdego wydania, wpisy CISA KEV są wyróżniane, a narzędzie eksportuje SBOM-y, VEX i raporty podatności. Najlepszy dla: zespołów pracujących z wbudowanym Linuksem, które chcą mniej szumu CVE. Uwaga: jego SBOM odzwierciedla to, co według metadanych BitBake trafia do obrazu, a nie wszystko, co build pobrał. CRACI vs Timesys Vigiles

Platformy zarządzania podatnościami i SBOM

DefectDojo

DefectDojo to projekt OWASP Flagship z komercyjną edycją Pro. Bezpłatna Community Edition usuwa duplikaty znalezisk z używanych już skanerów, według własnych danych ponad 500 obsługiwanych narzędzi, i łączy je w jedną kolejkę z właścicielami, SLA i zgłoszeniami Jira. Pro dodaje import SBOM w formatach CycloneDX i SPDX, eksport CycloneDX VEX oraz PSIRT Advisory Engine, który przyjmuje biuletyny z ponad 20 źródeł, dopasowuje je do danych SBOM, grupuje w sprawy z właścicielami i publikuje biuletyny PDF z własną marką. Wydanie z września 2026 dodało eksport biuletynów CSAF 2.0 i VEX oraz interfejs raportowania z art. 14 CRA. Pro kosztuje od $100 miesięcznie plus $0.15 za przetworzone znalezisko. Najlepszy dla: zespołów PSIRT, które chcą bazy open source i procesu biuletynów. Uwaga: samo nie generuje SBOM-ów, więc inwentarz jest tylko tak kompletny jak przesłane dane. CRACI vs DefectDojo oraz alternatywy dla DefectDojo

Medcrypt

Medcrypt pomaga producentom wyrobów medycznych przeprowadzić zgłoszenia cyberbezpieczeństwa przez przegląd FDA, z zespołem obejmującym byłych recenzentów FDA. Jego produkt Helm importuje SBOM-y CycloneDX lub SPDX przez API, GitHub Action lub Azure DevOps, stale je monitoruje, szereguje znaleziska na podstawie EPSS, CISA KEV i danych o exploitach oraz eksportuje raporty CycloneDX VEX i VDR. MSI, które obejmuje Helm, kosztuje $35,000 za linię produktów rocznie, a członkostwo w MedISAO zapewnia program skoordynowanego ujawniania podatności. Najlepszy dla: producentów wyrobów medycznych, którzy przygotowują lub utrzymują zgłoszenia do FDA. Uwaga: przyjmuje SBOM-y, zamiast je tworzyć (narzędzie do generowania jest dostępne na żądanie), a jego cennik podaje, że platforma obejmuje dziś FDA. CRACI vs Medcrypt

Cybeats

Cybeats SBOM Studio nazywa się „the SBOM system of record”. Przechowuje SBOM-y Państwa produktów i dostawców w formatach SPDX od 2.2 do 3.0.1 i CycloneDX od 1.2 do 1.7, ocenia ich jakość przed importem, na bieżąco dopasowuje każdy komponent do danych o podatnościach, wystawia VEX i udostępnia SBOM-y klientom, także przez Transparency Exchange API. Najlepszy dla: zespołów bezpieczeństwa produktu w ICS, wyrobach medycznych, telekomunikacji i motoryzacji, które prowadzą program SBOM obejmujący wielu dostawców. Uwaga: do generowania odsyła do dostawców ze swojego Marketplace, więc sam SBOM pochodzi z innego narzędzia. CRACI vs Cybeats oraz alternatywy dla Cybeats

Opcja open source: Dependency-Track

OWASP Dependency-Track to platforma na licencji Apache 2.0, która śledzi komponenty we wszystkich wersjach każdej aplikacji, pobiera dane o podatnościach ze źródeł takich jak NVD i GitHub Advisories, stosuje polityki bezpieczeństwa, licencyjne i operacyjne oraz przyjmuje i tworzy CycloneDX VEX. Pipeline'y przesyłają SBOM-y przez jej API. Jest bezpłatna, a hostują ją i obsługują Państwo samodzielnie. Najlepszy dla: zespołów, które chcą przejrzystej, samodzielnie hostowanej platformy analitycznej. Uwaga: nie generuje SBOM-ów, więc jej wyniki zależą od generatora uruchamianego wcześniej. CRACI vs Dependency-Track oraz alternatywy dla Dependency-Track

Przyjmowanie zgłoszeń, sprawy i biuletyny

Powyższe tabele kończą się na triage i VEX. Pozostała praca PSIRT, czyli przyjmowanie zgłoszeń i informowanie, jest obsługiwana nierówno:

• Zgłoszenia od zewnętrznych badaczy. Zwykle docierają przez program ujawniania podatności. Wiele firm prowadzi go na platformie takiej jak HackerOne Response lub VDP Bugcrowd, które dają badaczom kanał do przesyłania zgłoszeń i pomagają w ich triage. Inne same publikują politykę i kontakt ds. bezpieczeństwa. Nasz przewodnik po skoordynowanym ujawnianiu podatności omawia politykę, security.txt i terminy.
• Zarządzanie sprawami. Cybellum ma środowisko pracy do dochodzeń ze zgłoszeniami. DefectDojo Pro grupuje dopasowane biuletyny w sprawy z właścicielami i śledzeniem SLA. Żadne z nich nie deklaruje przyjmowania zgłoszeń od badaczy.
• Biuletyny. DefectDojo Pro publikuje biuletyny PDF z własną marką i eksportuje CSAF 2.0. Cybellum udostępnia status podatności przez raporty VEX i CSAF. Członkostwo Medcrypt w MedISAO obejmuje program skoordynowanego ujawniania podatności.

Miejsce CRACI

Pierwsze pytanie w każdej sprawie PSIRT brzmi: które produkty i wersje zawierają podatny komponent? Analiza binarna odpowiada na podstawie tego, co dostarczono, platformy SBOM na podstawie przekazanych im SBOM-ów, a agregatory na podstawie zgłoszeń innych skanerów. CRACI odpowiada na podstawie zapisu tego, co faktycznie pobrały Państwa własne buildy, przechowywanego dla każdego wcześniejszego buildu. W przypadku oprogramowania budowanego w GitHub Actions obejmuje to inwentarz, monitorowanie, triage i VEX w jednym produkcie, więc dla tych buildów nie jest potrzebny osobny menedżer SBOM, taki jak Dependency-Track czy Cybeats.

Gdzie indziej wygrywają inne narzędzia. Analiza binarna Cybellum, ONEKEY, Finite State lub NetRise zagląda do firmware'u, którego Państwo nie budowali. Cybellum i Medcrypt wnoszą szablony regulacyjne i doświadczenie w zgłoszeniach. DefectDojo agreguje znaleziska z setek skanerów i publikuje biuletyny. Finite State, NetRise i Exein szeregują znaleziska według osiągalności, której CRACI nie oferuje. Więcej na stronach czym zajmuje się PSIRT i CRACI dla zespołów PSIRT. Warto też porównać narzędzia do zgodności z CRA i narzędzia SBOM.

Narzędzia PSIRT: najczęściej zadawane pytania

Czym jest narzędzie PSIRT?

To oprogramowanie, które pomaga zespołowi reagowania na incydenty bezpieczeństwa produktu w pracy: wiedzieć, jakie komponenty trafiają do każdej wersji produktu, zauważyć, gdy dotyczy ich nowa podatność, wykonać triage, przekazać poprawkę, zapisać, których produktów to nie dotyczy, oraz poinformować klientów i organy. Niewiele produktów obejmuje to wszystko. Większość zespołów PSIRT łączy narzędzie do inwentaryzacji i monitorowania z kanałem na zgłoszenia z zewnątrz i sposobem publikowania biuletynów.

Które narzędzie PSIRT jest najlepsze do firmware'u otrzymywanego jako pliki binarne?

Narzędzie do analizy binarnej. Cybellum, ONEKEY, Finite State i NetRise tworzą SBOM z samego skompilowanego firmware'u, więc widzą wnętrze kodu dostawców, którego buildu Państwo nigdy nie uruchamiają. Exein Analyzer także skanuje firmware przed wydaniem. CRACI nie analizuje plików binarnych; w przypadku firmware'u dostawców może monitorować SBOM dostawcy, jeśli ten go dostarczy.

Które narzędzie PSIRT sprawdzi się przy oprogramowaniu budowanym samodzielnie?

Jeśli Państwa buildy działają w GitHub Actions, CRACI rejestruje SBOM każdego buildu w czasie jego działania, przechowuje każdy wcześniejszy build z jego SBOM, ponownie ocenia monitorowane SBOM-y, gdy pojawiają się biuletyny, oraz pokazuje, które buildy zawierały podatną zależność i które wersje oprogramowania są wdrożone w których produktach. GitLab CI i Jenkins są w jego planach rozwoju. Dla obrazów Yocto Timesys Vigiles tworzy SBOM z metadanych BitBake, zamiast rejestrować build.

Czy istnieje bezpłatne lub open source narzędzie PSIRT?

Dwa z opisanych tu narzędzi mają bezpłatne edycje. DefectDojo Community Edition jest bezpłatne na licencji BSD 3-Clause i usuwa duplikaty znalezisk z setek skanerów, łącząc je w jedną kolejkę; PSIRT Advisory Engine, import SBOM i eksport CSAF są w DefectDojo Pro. OWASP Dependency-Track jest bezpłatny na licencji Apache 2.0 i monitoruje przesłane SBOM-y. Oba hostują i obsługują Państwo samodzielnie.

Czy narzędzia PSIRT przyjmują zgłoszenia od zewnętrznych badaczy?

Zgłoszenia od badaczy zwykle docierają przez program ujawniania podatności, często prowadzony na platformie takiej jak HackerOne lub Bugcrowd, albo przez opublikowany kontakt ds. bezpieczeństwa. DefectDojo Pro przyjmuje biuletyny z publicznych źródeł, a Cybellum oferuje środowisko pracy do dochodzeń, ale żadne z nich nie deklaruje przyjmowania zgłoszeń od badaczy.

Które narzędzia publikują biuletyny CSAF?

DefectDojo Pro dodało we wrześniu 2026 eksport biuletynów CSAF 2.0 i VEX oraz publikuje biuletyny PDF z własną marką. Cybellum udostępnia status podatności przez raporty VEX i CSAF. Pozostali dostawcy z tej strony nie opisują publikowania biuletynów CSAF na cytowanych przez nas stronach.

Czy CRA wymaga narzędzia PSIRT?

Żadne narzędzie nie jest wymagane. Cyber Resilience Act wymaga od producentów obsługi podatności przez cały okres wsparcia, utrzymywania polityki skoordynowanego ujawniania podatności i kontaktu do zgłoszeń, a od 11 września 2026 zgłaszania aktywnie wykorzystywanych podatności w terminach 24 godzin, 72 godzin i 14 dni. CRACI składa te zgłoszenia w imieniu producenta, a DefectDojo Pro ma interfejs raportowania z art. 14 CRA. Obowiązek pozostaje po stronie producenta.