Alternativ till NetRise

Vi bygger CRACI, så väg in det; vi beskriver varje alternativ utifrån dess egen dokumentation och säger när ett annat verktyg passar bättre.

Varför team tittar bortom NetRise

NetRise Turbine tar fram "a complete, binary-derived SBOM from the software itself" för firmware, containeravbilder och applikationsbinärer, inklusive statiskt länkade och inbäddade beroenden. Det rapporterar hemligheter, nycklar, certifikat, felkonfigurationer och licensproblem som följer med i artefakten, rangordnar sårbarheter efter om en exekveringsväg når dem samt importerar och exporterar SPDX och CycloneDX. NetRise Provenance kontrollerar ursprung och hälsa hos komponenter med öppen källkod, och ZeroLens letar efter svagheter i kompilerad programvara. Den 21 september 2026 meddelade Dragos att företaget hade förvärvat NetRise och kommer att integrera det i Dragos Platform.

Team jämför ändå alternativ, oftast av något av dessa skäl:

• Förvärvet. Dragos för in NetRise i sin plattform för operatörer av kritisk infrastruktur. Enhetstillverkare utanför den marknaden kan vilja ha en leverantör vars roadmap riktar sig till dem.
• Det mesta av programvaran är deras egen. Att analysera en binär innebär att arbeta baklänges från resultatet. Ett team som bygger sina egna avbilder kan i stället registrera vad som gick in i dem.
• Ett PSIRT-arbetsflöde. NetRises webbplats beskriver inte VEX, säkerhetsmeddelanden eller PSIRT-utredningar. Vissa team vill ha dem i samma verktyg som analysen.
• Priser. NetRise publicerar inga priser.

Vad en PSIRT ska titta efter

En PSIRT svarar för varje produkt som företaget levererar. Verktyget bakom den bör hjälpa till med:

• En inventering av det som levereras, inklusive tredjepartsfirmware du aldrig har byggt.
• Hur SBOM:en tas fram, och om verktyget talar om när den är ofullständig.
• Att snabbt hitta berörda produkter och releaser när en sårbarhet dyker upp.
• Bevakning efter release, när nya säkerhetsmeddelanden kommer för komponenter som redan har levererats.
• Triagering, prioritering och VEX, så att du kan säga vilka produkter som inte är berörda.
• CI-täckning, driftalternativ och hur priset skalar.

Alternativen

1. CRACI (vår produkt)

CRACI är en GitHub Actions-runner som tar fram SBOM:en medan bygget körs. Det är till för team som bygger sin egen firmware och programvara. En paketmedveten proxy registrerar vad varje jobb hämtar från paket- och källvärdar, inklusive paket som återställs från CI-cachar, och varje SBOM anger sin fullständighet per jobb och per cache. Yocto-byggen körs på runners med upp till 32 vCPU och 96 GB RAM: i ett bygge av core-image-sato sida vid sida hade CRACI:s SBOM varje komponent i Yoctos egen SBOM plus 88 som den missade, till exempel värdpaket och GitHub Actions, och en paket-URL för var och en av de 653 Rust crate-versioner som Yocto listar utan någon.

CRACI omvärderar bevakade SBOM:er löpande, visar vilka byggen som innehöll ett sårbart beroende och vilka programvaruversioner som är driftsatta i vilka produkter, har stöd för VEX och låter säkerhetsteam triagera fynd och skicka vart och ett till teamet som äger åtgärden. Du kan lägga till leverantörers SBOM:er, så att inköpta komponenter bevakas bredvid dina egna byggen. Eftersom CRACI kör jobbet upprätthåller det också en egress-policy som blockerar vid fel.

Passar bäst för: enhetstillverkare och programvaruteam som bygger på GitHub Actions och vill ha bygget, SBOM:en och sårbarhetsuppföljningen på ett ställe. Överväg om: du klarar dig utan binäranalys, reachability och fynd av hemligheter i resultatet, som CRACI inte erbjuder; det kan inte se in i firmware du inte har byggt. Det har bara stöd för GitHub Actions, med GitLab CI och Jenkins på roadmapen. Se CRACI för PSIRT-team och CRACI jämfört med NetRise.

2. ONEKEY

ONEKEY analyserar kompilerad firmware med "no source code or network access needed." Det genererar en SBOM från binären, importerar leverantörers SBOM:er, exporterar CycloneDX och SPDX, letar efter troliga zero-days som hårdkodade inloggningsuppgifter och analyserar om firmware dagligen. Dess Compliance Wizard guidar team genom CRA, IEC 62443-4-2, ETSI EN 303 645 och Radio Equipment Directive.

Passar bäst för: enhetstillverkare som kontrollerar firmwareavbilder de inte har byggt, med guidade kontroller mot standarder. Överväg om: du vill ha fynd utöver kända CVE:er från en leverantör med fokus på uppkopplade produkter. CRACI jämfört med ONEKEY

3. Finite State

Finite State analyserar firmware, binärer, källkod och leverantörers SBOM:er, med "support for 50+ binary instruction set architectures," och för samman dem i en enda produktpost. Det rangordnar fynd efter reachability, exploateringsdata och produktkontext, registrerar VEX-beslut, och dess arbetsflöde för efterlevnad omfattar CRA-kartläggning av kontroller och revisionsklara rapporter med SBOM- och VEX-artefakter. Det bäddar in kontroller i GitHub Actions, GitLab CI och Jenkins.

Passar bäst för: tillverkare av uppkopplade enheter som behöver analys av firmware från många leverantörer, med VEX-beslut på samma ställe. Överväg om: du vill ha en enda plattform för källkod, binärer och leverantörers SBOM:er. CRACI jämfört med Finite State

4. Cybellum

Cybellums Product Security Platform skapar SBOM:er "by combining data from binary scanners, source code and external SBOM sources in SPDX, CycloneDX or CPEs CSV formats." Dess sårbarhetshantering triagerar och prioriterar fynd, och den kan skapa VEX-rapporter. För PSIRT-arbete tar den reda på vilka produkter eller komponenter en ny sårbarhet påverkar, delar sårbarhetsstatus "via VEX/CSAF reports," och erbjuder en arbetsbänk för att skapa och hantera utredningar. Den täcker också efterlevnad av FDA:s krav, ISO 21434 och CRA.

Passar bäst för: tillverkare inom fordon, medicinteknik och industri som vill ha SBOM:er, sårbarhetshantering och PSIRT-utredningar i en enda plattform. Överväg om: PSIRT-arbetsflödet betyder mer för dig än en fristående binärskanner. Cybellum publicerar inga priser.

5. ReversingLabs Spectra Assure

Spectra Assure analyserar kompilerade programvarupaket utan källkod för skadlig kod, manipulation, exponerade hemligheter och sårbarheter, och tar fram SBOM:er i CycloneDX och SPDX utifrån vad det hittar. Differentiell analys jämför versioner och flaggar misstänkta ändringar mellan releaser. CLI:t rl-secure körs on-premises och i CI.

Passar bäst för: en releasespärr för skadlig kod och manipulation i paketet du levererar, eller i kommersiell programvara innan du driftsätter den. Överväg om: enhetsfirmware är ditt huvudmål snarare än programvarupaket. Community är gratis och Community+ kostar $500 per månad (per september 2026). CRACI jämfört med ReversingLabs

6. Exein

Exein arbetar på enheten och på firmwaren. Exein Runtime använder eBPF för att bevaka och blockera skadligt beteende på inbyggd Linux, och Yocto-lagret meta-exein med öppen källkod lägger in agenten Pulsar i din avbild. Exein Analyzer granskar firmware före release, eller din SBOM när binären inte finns tillgänglig, rangordnar fynd med reachability-poäng och LLM-driven filtrering och kopplar dem till CRA-krav.

Passar bäst för: tillverkare av inbyggd Linux som vill ha skydd i fält utöver firmwareanalys. Överväg om: du är bekväm med att leverera en agent på enheten. CRACI jämfört med Exein

7. Cybeats

Cybeats SBOM Studio är ett registersystem som tar emot, hanterar, bevakar och delar SBOM:er över produkter och leverantörer. Det poängsätter SBOM-kvalitet vid import och delar SBOM:er och VEX med kunder. För SBOM-generering och binär kompositionsanalys hänvisar Cybeats till leverantörer på sin Marketplace, och tillägget RAVEN resonerar kring reachability och skriver utkast till VEX.

Passar bäst för: tillverkare inom medicinteknik, industri och telekom som driver ett SBOM-program över många produkter och leverantörer. Överväg om: du behöver själva analysen; SBOM Studio hanterar SBOM:er som ett annat verktyg har genererat. CRACI jämfört med Cybeats

Sida vid sida

”NetRise” betyder NetRise Turbine, ”Cybellum” betyder Cybellum Product Security Platform, ”ReversingLabs” betyder Spectra Assure och ”Cybeats” betyder SBOM Studio. Priserna för ReversingLabs gäller per september 2026. ”Ej angivet” betyder att funktionen inte beskrivs i leverantörens dokumentation, inte att den saknas.

För Cyber Resilience Act

NetRise, ONEKEY, Finite State, Cybellum och Exein tar alla upp CRA. Dess rapporteringsskyldigheter gäller sedan den 11 september 2026, och dess huvudsakliga bestämmelser gäller från den 11 december 2027. En tidig varning inom 24 timmar kräver att du snabbt vet vilka releaser som innehåller en berörd komponent. För programvara du bygger behåller CRACI bygghistoriken med varje byggs SBOM, så att du kan se vilka byggen som innehöll ett sårbart beroende. Dess API returnerar SBOM:er, nätverksspårningar och proveniens, SBOM:er exporteras som CycloneDX eller SPDX, och CRACI lämnar in CRA-anmälningarna åt dig.

Inget verktyg på den här sidan gör en tillverkare regelefterlevande på egen hand. Se vad CRA kräver och PSIRT-verktyg i jämförelse.

När du ska stanna kvar hos NetRise

• Du behöver SBOM:er för firmware och binärer du köper såväl som dem du bygger, inklusive statiskt länkad kod.
• Du vill ha hemligheter, nycklar, certifikat och felkonfigurationer i artefakten rapporterade bredvid CVE:er.
• Du förlitar dig på reachability via exekveringsvägar för att korta listan med fynd.
• Du driver operativ teknik och vill ha insyn i firmware inne i Dragos Platform.

För mer, se Yocto-byggen på CRACI, alternativ till ONEKEY och alternativ till Finite State.

Alternativ till NetRise: vanliga frågor

Korta svar på de frågor team ställer när de jämför

Vilket är det bästa alternativet till NetRise?

Det beror på vad du använder NetRise till. För firmwareanalys med fynd utöver kända CVE:er och guidade efterlevnadskontroller, titta på ONEKEY. För firmware, binärer, källkod och leverantörers SBOM:er i en enda produktpost med reachability, titta på Finite State. För PSIRT-utredningar och VEX- eller CSAF-rapporter ovanpå binäranalys, titta på Cybellum. För kontroller av skadlig kod och manipulation i ett releasepaket, titta på ReversingLabs Spectra Assure. För skydd på enheten, titta på Exein. För att hantera SBOM:er från många leverantörer, titta på Cybeats. Om du bygger din egen programvara i GitHub Actions registrerar CRACI SBOM:en från varje bygge och bevakar den för sårbarheter.

Säljs NetRise fortfarande efter Dragos förvärv?

Dragos tillkännagav förvärvet av NetRise och runZero den 21 september 2026, utan ekonomiska villkor. Dragos säger att NetRise-ledningen ska integrera det i Dragos Platform och samtidigt fortsätta betjäna befintliga kunder, och netrise.io presenterade fortfarande Turbine, Provenance och ZeroLens i oktober 2026. Fråga NetRise eller Dragos hur det kommer att säljas framöver.

Kan CRACI analysera firmware som NetRise?

Nej. CRACI analyserar inte binärer eller firmwareavbilder, gör ingen reachability-analys och letar inte efter hemligheter eller felkonfigurationer i resultatet. Det registrerar vad dina egna byggen hämtar medan de körs på CRACI:s GitHub Actions-runners, inklusive Yocto-byggen, och tar fram SBOM:en från den registreringen. För firmware som du får som en binär kan du lägga till leverantörens SBOM i CRACI så att dess komponenter bevakas, men utan en SBOM behöver du ett verktyg för binäranalys.

Vilka av de här verktygen hjälper en PSIRT att hitta berörda produkter?

Cybellum beskriver en PSIRT-arbetsbänk som tar reda på vilka produkter eller komponenter en ny sårbarhet påverkar. Finite State och Cybeats håller en post över produkter och leverantörer. CRACI visar vilka byggen som innehöll ett sårbart beroende, direkt eller transitivt, och dess inventeringsvy visar vilka programvaruversioner som är driftsatta i vilka produkter. Verktyg för binäranalys som NetRise och ONEKEY visar vad som finns inuti firmware du inte har byggt.

Är en SBOM från bygget bättre än en från binäranalys?

För programvara du bygger registrerar en SBOM från bygget vad som gick in i stället för att härleda det från resultatet, vilket är svårt för kompilerad kod som Rust och C. Binäranalys är fortfarande det enda alternativet för firmware du inte har byggt. I ett bygge av core-image-sato sida vid sida hade CRACI:s SBOM varje komponent i Yoctos egen SBOM plus 88 som den missade, och en paket-URL för var och en av de 653 Rust crate-versioner som Yocto listar utan någon.