PSIRT-verktyg i jämförelse

Det korta svaret

• Firmware från leverantörer som binärer: ONEKEY, Finite State, NetRise eller Cybellum. Binäranalys är sättet att se inuti kod vars bygge du aldrig kör.
• Fordon, medicintekniska produkter eller industriell utrustning med regulatoriska mallar: Cybellum, med mallar för FDA PMA, ISO 21434 och EU:s CRA.
• Medicintekniska produkter och FDA-ansökningar: Medcrypt, med Helm för SBOM:er och sårbarheter.
• Många skannrar i en enda kö, med ett PSIRT-flöde för säkerhetsmeddelanden: DefectDojo, öppen källkod med en Pro-utgåva.
• Ett register över SBOM:er från många leverantörer: Cybeats SBOM Studio.
• Yocto- eller Buildroot-avbilder med kurerade CVE-data: Timesys Vigiles.
• Skydd även på enheten: Exein.
• En gratis plats i egen drift för att bevaka SBOM:er: OWASP Dependency-Track.
• Programvara du bygger i GitHub Actions: CRACI, som registrerar SBOM:en från varje bygge, sparar alla tidigare byggen och bevakar det som levererats.

Vem den här sidan är till för

Du driver eller bygger upp en funktion för produktsäkerhet och väljer verktygen bakom den. Om du fortfarande definierar rollen, börja med vad ett PSIRT gör. Vi bygger CRACI, så väg in det. Varje påstående om en annan produkt kommer från dess egen webbplats eller dokumentation, kontrollerad i oktober 2026, och de flesta leverantörer här har en längre sida med CRACI vs X.

Vad ett PSIRT-verktyg måste göra

Arbetet följer livscykeln för sårbarhetshantering, och ett PSIRT behöver stöd i varje steg:

1. Vet vad som levereras. En SBOM per produktversion, inklusive transitiva beroenden och leverantörskomponenter. Allt som följer bygger på att den är komplett.
2. Upptäck nya sårbarheter. Löpande bevakning som matchar nya säkerhetsmeddelanden mot varje släppt version, inte bara nästa.
3. Hitta de berörda produkterna. Vilka produkter, versioner och byggen som innehåller komponenten, och hur länge de gjorde det.
4. Triagera och skicka vidare. Avgör vad som är viktigt och skicka det till teamet som äger åtgärden.
5. Säg vad som inte berörs. VEX dokumenterar vilka produkter en sårbarhet påverkar och varför de andra inte påverkas.
6. Ta emot rapporter och informera. En kanal för externa forskare, ärendespårning och säkerhetsmeddelanden, ofta som maskinläsbar CSAF.

Inget verktyg nedan täcker alla sex lika väl. De flesta är starkast i de två eller tre första stegen, och de skiljer sig mest i varifrån deras inventering kommer.

Så väljer du

• Bygger du programvaran eller tar du emot den? Om mycket av produkten kommer från chiptillverkare och leverantörer som binärer är binäranalys sättet att se inuti den. Om du bygger den själv är bygget den mest direkta källan till inventeringen.
• Är produkten reglerad? Medicintekniska produkter, fordon och industriutrustning har egna ansökningsformat och standarder. Vissa verktyg levereras med mallar för dem; andra lämnar det till din egen process.
• Hur många skannrar kör du redan? Om fynd kommer från många verktyg kan en samlingsplattform som tar bort dubbletter betyda mer än ännu en källa till fynd.
• Var kommer externa rapporter in? Inskick från forskare behöver oftast en egen kanal (se nedan), oavsett vilket inventeringsverktyg du väljer.
• Måste det vara i egen drift? DefectDojo, Dependency-Track och Medcrypt Enterprise kan köras på din egen infrastruktur, och Cybellum kan köras i ditt eget datacenter.

I korthet

Två tabeller: först verktyg byggda kring firmware och enheter, sedan plattformar för sårbarhetshantering och SBOM. "Ej angivet" betyder att leverantörssidorna vi hänvisar till inte säger något i frågan. Mottagning av rapporter, ärendehantering och publicering av säkerhetsmeddelanden tas upp i texten nedan i stället för i tabellerna.

Firmware och enheter

Plattformar för sårbarhetshantering och SBOM

CRACI

CRACI är en runner för GitHub Actions. Du ändrar runs-on till craci, och medan varje jobb körs registrerar en paketmedveten proxy vad det hämtar, inklusive paket som återställs från CI-cachar och beroenden som ingen lockfile listar. SBOM:en, i CycloneDX eller SPDX, har en fullständighetsstatus per jobb och per cache. CRACI sparar alla tidigare byggen med deras SBOM:er, så när ett säkerhetsmeddelande kommer kan du se vilka byggen som innehöll det sårbara beroendet, direkt eller transitivt, och hur länge, inom din lagringstid. Dess inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt.

Efter bygget omvärderar CRACI bevakade SBOM:er löpande, låter säkerhetsteam triagera fynd och skicka vart och ett till teamet som äger åtgärden, och har stöd för VEX. Policyspärrar kan blockera ett bygge som innehåller en specifik CVE, och en egress-policy begränsar vad bygget kan nå. Du kan lägga till leverantörers SBOM:er, så att inköpta komponenter bevakas bredvid dina egna byggen. För aktivt utnyttjade sårbarheter skickar CRACI in CRA-anmälningarna för din räkning. För Yocto gav ett sida vid sida-bygge av core-image-sato en SBOM med alla komponenter i Yoctos egen SBOM plus 88 som den missade. Priset är bara byggminuter: $0.004 per minut för 2 vCPU, mätt per sekund, utan månadsavgift och utan avgift per SBOM. Bäst för: PSIRT-team vars produkter byggs i GitHub Actions. Se upp: det analyserar inte binärer, så firmware du inte har byggt behöver en SBOM från leverantören eller ett verktyg för binäranalys; det har ingen reachability-analys och ingen rapportexport; och det har i dag stöd för GitHub Actions, med GitLab CI och Jenkins på roadmapen. Se CRACI för PSIRT-team.

Plattformar för firmware och enheter

Cybellum

Cybellum är en plattform för produktsäkerhet för enhetstillverkare inom fordon, medicinteknik och industri, majoritetsägd av LG Electronics sedan 2021. Dess Cyber Digital Twins byggs från firmwarebinärer, och den slår samman dem med källkod och leverantörers SBOM:er i SPDX, CycloneDX eller CPE CSV. Den bevakar versioner efter produktion, triagerar med en AI-assistent, VM CoPilot, erbjuder en arbetsyta för att skapa och hantera utredningar med ärenden och delar sårbarhetsstatus via VEX- och CSAF-rapporter. Regulatoriska mallar täcker FDA PMA, ISO 21434, EU:s CRA och fler än 50 standarder. Den körs i publika moln eller ditt eget datacenter. Bäst för: enhetstillverkare som behöver binäranalys och regulatoriska bevis i en plattform. Se upp: priserna är inte publicerade, och den utgår från artefakter i stället för att köra ditt bygge. CRACI vs Cybellum och Alternativ till Cybellum

ONEKEY

ONEKEY analyserar kompilerad firmware utan att källkod eller nätverksåtkomst behövs. Den genererar en SBOM från binären, importerar leverantörers SBOM:er, letar efter troliga zero days som hårdkodade inloggningsuppgifter och analyserar firmware på nytt dagligen. Dess Compliance Wizard leder team genom CRA, IEC 62443-4-2, ETSI EN 303 645 och radioutrustningsdirektivet. Bäst för: team som integrerar mycket firmware från leverantörer. Se upp: den arbetar med avbilden efter bygget, så den registrerar inte vad bygget hämtade. CRACI vs ONEKEY och Alternativ till ONEKEY

Finite State

Finite State analyserar firmware, binärer, källkod och leverantörers SBOM:er, med stöd för fler än 50 instruktionsuppsättningsarkitekturer för binärer, och samlar dem i ett register över levererad programvara med bevakning efter lansering. Den rangordnar fynd efter reachability och exploatinformation, dokumenterar VEX-beslut och mappar kontroller mot kraven i CRA och från FDA. Bäst för: PSIRT-team som behöver prioritera en lång lista med fynd från många leverantörer. Se upp: den utgår från artefakter, så att styra vad ditt eget bygge kunde nå ligger utanför dess omfattning. CRACI vs Finite State och Alternativ till Finite State

NetRise

NetRise Turbine tar fram en komplett binärbaserad SBOM från själva programvaran, inklusive statiskt länkad och inbäddad kod, för programvara du bygger, köper och kör. Den importerar SBOM:er i SPDX och CycloneDX, kontrollerar löpande NVD, CISA KEV och data om hotaktörer, rangordnar fynd efter reachability i exekveringsvägar och rapporterar hemligheter, nycklar och felkonfigurationer inuti artefakten, och den ansluter till Jira och ServiceNow. Dragos meddelade den 21 september 2026 att företaget hade förvärvat NetRise. Bäst för: operativ teknik och enhetsflottor vars programvara kommer från många leverantörer. Se upp: dess sidor beskriver inte VEX, ärendehantering eller publicering av säkerhetsmeddelanden, och priserna är inte publicerade. CRACI vs NetRise och Alternativ till NetRise

Exein

Exein arbetar på enheten såväl som före release. Exein Runtime använder eBPF för att bevaka och blockera skadligt beteende på inbyggd Linux, och Yocto-lagret meta-exein med öppen källkod lägger in dess Pulsar-agent i din avbild. Exein Analyzer skannar firmware, eller din SBOM när binären inte finns tillgänglig, prioriterar med reachability-poäng och mappar fynd mot kraven i CRA. Bäst för: produkter med inbyggd Linux som behöver skydd ute i fält. Se upp: Yocto-lagret ändrar vad som körs på enheten; det varken kör eller registrerar ditt bygge. CRACI vs Exein

Timesys Vigiles

Vigiles, som nu säljs av Lynx Software Technologies, gör metadata från ett bygge med Yocto, Buildroot eller OpenWrt till en SBOM och matchar den mot en kurerad CVE-databas. Konfigurationsfilter för kärnan och U-Boot tar bort CVE:er i funktioner du inte bygger, triagebeslut (affected, fixed, deferred, not exploitable) sparas per release, poster i CISA KEV markeras, och den exporterar SBOM:er, VEX och sårbarhetsrapporter. Bäst för: team med inbyggd Linux som vill ha mindre CVE-brus. Se upp: dess SBOM speglar vad BitBakes metadata säger går in i avbilden, inte allt som bygget hämtade. CRACI vs Timesys Vigiles

Plattformar för sårbarhetshantering och SBOM

DefectDojo

DefectDojo är ett OWASP Flagship-projekt med en kommersiell Pro-utgåva. Den kostnadsfria Community Edition tar bort dubbletter bland fynd från skannrarna du redan kör, fler än 500 verktyg som stöds enligt dess egen räkning, och samlar dem i en kö med ägare, SLA:er och Jira-ärenden. Pro lägger till SBOM-import i CycloneDX och SPDX, export av CycloneDX VEX och en PSIRT Advisory Engine som tar emot säkerhetsmeddelanden från fler än 20 flöden, matchar dem mot SBOM-data, grupperar dem i ärenden med ägare och publicerar säkerhetsmeddelanden som varumärkesanpassade PDF:er. Dess release i september 2026 lade till export av säkerhetsmeddelanden i CSAF 2.0 och VEX och ett rapporteringsgränssnitt för CRA artikel 14. Pro börjar på $100 per månad plus $0.15 per bearbetat fynd. Bäst för: PSIRT-team som vill ha en bas med öppen källkod och ett flöde för säkerhetsmeddelanden. Se upp: den genererar inga SBOM:er själv, så inventeringen är bara så komplett som det du laddar upp. CRACI vs DefectDojo och Alternativ till DefectDojo

Medcrypt

Medcrypt hjälper tillverkare av medicintekniska produkter att få sin cybersäkerhetsansökan genom FDA:s granskning, med ett team som inkluderar tidigare FDA-granskare. Dess produkt Helm importerar SBOM:er i CycloneDX eller SPDX via API, GitHub Action eller Azure DevOps, bevakar dem löpande, rangordnar fynd med EPSS, CISA KEV och exploatdata och exporterar rapporter i CycloneDX VEX och VDR. MSI, som inkluderar Helm, kostar $35,000 per produktlinje per år, och dess MedISAO-medlemskap ger ett program för samordnat offentliggörande av sårbarheter. Bäst för: tillverkare av medicintekniska produkter som förbereder eller underhåller FDA-ansökningar. Se upp: den tar emot SBOM:er snarare än att ta fram dem (ett genereringsverktyg finns på begäran), och dess prissida säger att FDA är vad plattformen täcker i dag. CRACI vs Medcrypt

Cybeats

Cybeats SBOM Studio kallar sig "the SBOM system of record". Den lagrar SBOM:er från dina produkter och leverantörer i SPDX 2.2 till 3.0.1 och CycloneDX 1.2 till 1.7, poängsätter deras kvalitet före import, matchar löpande varje komponent mot sårbarhetsinformation, utfärdar VEX och delar SBOM:er med kunder, även via Transparency Exchange API. Bäst för: produktsäkerhetsteam inom ICS, medicintekniska produkter, telekom och fordon som driver ett SBOM-program över många leverantörer. Se upp: för generering hänvisar den till leverantörer på sin Marketplace, så själva SBOM:en kommer från ett annat verktyg. CRACI vs Cybeats och Alternativ till Cybeats

Alternativet med öppen källkod: Dependency-Track

OWASP Dependency-Track är en plattform under Apache 2.0 som spårar komponenter i alla versioner av alla applikationer, hämtar sårbarhetsdata från källor som NVD och GitHub Advisories, tillämpar säkerhets-, licens- och driftspolicyer och både läser och skriver CycloneDX VEX. Pipelines laddar upp SBOM:er via dess API. Den är gratis, och du hostar och driver den själv. Bäst för: team som vill ha en transparent analysplattform i egen drift. Se upp: den genererar inga SBOM:er, så dess resultat beror på generatorn du kör före den. CRACI vs Dependency-Track och Alternativ till Dependency-Track

Mottagning av rapporter, ärenden och säkerhetsmeddelanden

Tabellerna ovan slutar vid triage och VEX. Resten av ett PSIRT:s arbete, att ta emot rapporter och informera, täcks ojämnt:

• Rapporter från externa forskare. De kommer oftast via ett program för offentliggörande av sårbarheter. Många företag driver ett på en plattform som HackerOne Response eller Bugcrowds VDP, som ger forskare en kanal för att skicka in rapporter och hjälper till att triagera dem. Andra publicerar själva en policy och en säkerhetskontakt. Vår guide till samordnat offentliggörande av sårbarheter tar upp policyn, security.txt och tidslinjer.
• Ärendehantering. Cybellum har en arbetsyta för utredningar med ärenden. DefectDojo Pro grupperar matchade säkerhetsmeddelanden i ärenden med ägare och SLA-uppföljning. Ingen av dem säger att de tar emot inskick från forskare.
• Säkerhetsmeddelanden. DefectDojo Pro publicerar säkerhetsmeddelanden som varumärkesanpassade PDF:er och exporterar CSAF 2.0. Cybellum delar sårbarhetsstatus via VEX- och CSAF-rapporter. Medcrypts MedISAO-medlemskap inkluderar ett program för samordnat offentliggörande av sårbarheter.

Där CRACI passar in

Den första frågan i varje PSIRT-ärende är vilka produkter och versioner som innehåller den sårbara komponenten. Binäranalys besvarar den utifrån det som levererades, SBOM-plattformar utifrån SBOM:erna du ger dem och samlingsplattformar utifrån det andra skannrar rapporterar. CRACI besvarar den utifrån en registrering av vad dina egna byggen faktiskt hämtade, sparad för alla tidigare byggen. För programvara du bygger i GitHub Actions täcker det inventeringen, bevakningen, triage och VEX i en produkt, så en separat SBOM-hanterare som Dependency-Track eller Cybeats behövs inte för de byggena.

Andra verktyg vinner på andra områden. Binäranalys från Cybellum, ONEKEY, Finite State eller NetRise ser inuti firmware du inte har byggt. Cybellum och Medcrypt bidrar med regulatoriska mallar och expertis om ansökningar. DefectDojo samlar fynd från hundratals skannrar och publicerar säkerhetsmeddelanden. Finite State, NetRise och Exein rangordnar fynd efter reachability, vilket CRACI inte erbjuder. Läs vad ett PSIRT gör och CRACI för PSIRT-team, eller jämför verktyg för CRA-efterlevnad och SBOM-verktyg.

PSIRT-verktyg: vanliga frågor

Vad är ett PSIRT-verktyg?

Programvara som hjälper ett product security incident response team att göra sitt jobb: veta vilka komponenter som levereras i varje produktversion, märka när en ny sårbarhet påverkar dem, triagera den, skicka åtgärden vidare, dokumentera vilka produkter som inte påverkas och informera kunder och myndigheter. Få produkter täcker allt detta. De flesta PSIRT-team kombinerar ett verktyg för inventering och bevakning med en kanal för externa rapporter och ett sätt att publicera säkerhetsmeddelanden.

Vilket PSIRT-verktyg passar bäst för firmware vi får som binärer?

Ett verktyg för binäranalys. Cybellum, ONEKEY, Finite State och NetRise bygger en SBOM från själva den kompilerade firmwaren, så de kan se inuti leverantörskod vars bygge du aldrig kör. Exein Analyzer skannar också firmware före release. CRACI analyserar inte binärer; för leverantörers firmware kan det bevaka leverantörens SBOM om leverantören tillhandahåller en.

Vilket PSIRT-verktyg passar programvara vi bygger själva?

Om dina byggen körs i GitHub Actions registrerar CRACI SBOM:en från varje bygge medan det körs, sparar alla tidigare byggen med deras SBOM:er, omvärderar bevakade SBOM:er när säkerhetsmeddelanden dyker upp och visar vilka byggen som innehöll ett sårbart beroende och vilka programvaruversioner som är driftsatta i vilka produkter. GitLab CI och Jenkins finns på dess roadmap. För Yocto-avbilder bygger Timesys Vigiles en SBOM från BitBake-metadata i stället för att registrera bygget.

Finns det ett gratis PSIRT-verktyg eller ett med öppen källkod?

Två av verktygen här har gratisutgåvor. DefectDojo Community Edition är gratis under licensen BSD 3-Clause och tar bort dubbletter bland fynd från hundratals skannrar i en enda kö; dess PSIRT Advisory Engine, SBOM-import och CSAF-export finns i DefectDojo Pro. OWASP Dependency-Track är gratis under Apache 2.0 och bevakar SBOM:erna du laddar upp. Du hostar och driver båda själv.

Tar PSIRT-verktyg emot rapporter från externa forskare?

Rapporter från forskare kommer oftast via ett program för offentliggörande av sårbarheter, ofta på en plattform som HackerOne eller Bugcrowd, eller via en publicerad säkerhetskontakt. DefectDojo Pro tar emot säkerhetsmeddelanden från publika flöden och Cybellum erbjuder en arbetsyta för utredningar, men ingen av dem säger att de tar emot inskick från forskare.

Vilka verktyg publicerar CSAF-säkerhetsmeddelanden?

DefectDojo Pro lade till export av säkerhetsmeddelanden i CSAF 2.0 och VEX i september 2026 och publicerar säkerhetsmeddelanden som varumärkesanpassade PDF:er. Cybellum delar sårbarhetsstatus via VEX- och CSAF-rapporter. De andra leverantörerna på den här sidan beskriver inte publicering av CSAF-säkerhetsmeddelanden på sidorna vi hänvisar till.

Kräver CRA ett PSIRT-verktyg?

Inget verktyg krävs. Cyber Resilience Act kräver att tillverkare hanterar sårbarheter under supportperioden, har en policy för samordnat offentliggörande av sårbarheter och en kontakt för rapporter och, sedan den 11 september 2026, rapporterar aktivt utnyttjade sårbarheter inom 24 timmar, 72 timmar och 14 dagar. CRACI skickar in de anmälningarna för tillverkarens räkning, och DefectDojo Pro har ett rapporteringsgränssnitt för CRA artikel 14. Skyldigheten ligger kvar hos tillverkaren.