Cybellum 替代方案

CRACI 是我們打造的產品，請將這點納入考量；我們依據每個選項自己的文件來描述它們，並會說明何時其他工具更適合。

為什麼團隊會考慮 Cybellum 以外的選擇

Cybellum 是為汽車、醫療與工業市場的裝置製造商打造的產品資安平台。它的 Cyber Digital Twins「可以從任何產品或元件的二進位檔中擷取」，平台會將其與原始碼及「SPDX、CycloneDX 或 CPEs CSV 格式」的 SBOM 合併。它會監控上市後的版本與分支，以 AI 助理進行分級研判，顯示「哪些產品或元件受到新漏洞或新法規影響」，為 PSIRT 提供「建立與管理調查的工作台」，並「透過 VEX/CSAF 報告」分享狀態。法規範本涵蓋 FDA PMA、ISO 21434 與歐盟 CRA。LG Electronics 於 2021 年取得其多數股權。

團隊仍會比較替代方案，通常出於以下原因之一：

• 大部分軟體是自己開發的。分析二進位檔是從產出反推。自行建置軟體與映像檔的團隊，可以改為記錄其中放進了什麼。
• 需求範圍較窄。有些團隊只需要韌體分析、只需要 SBOM 記錄系統，或只需要資安公告接收與案件處理，而不是一套完整的產品資安平台。
• 產業適配。Cybellum 的範本偏向汽車與醫療法規；有些團隊想要專為某一產業打造的工具，或不限產業的工具。
• 價格與託管。Cybellum 未公開價格，而有些團隊想要能自行運作的開源基礎。

PSIRT 應該注意什麼

• 已出貨內容的資產清冊：資料來自二進位檔、您取得的 SBOM，還是建置。
• 受影響的產品與版本：工具能多快回答「我們在哪裡出貨了這個元件？」
• 版本發布後的監控，以及它追蹤哪些漏洞資料來源。
• 分級研判：可利用性訊號、VEX，以及將每個檢測結果分派給負責修正的團隊。
• 資安公告與通報：您可以向客戶發布什麼，以及 Cyber Resilience Act（CRA）要求的佐證資料。
• CI 涵蓋範圍、託管選項，以及價格如何隨規模變化。

流程本身請參閱 PSIRT 的職責與 PSIRT 工具比較。

選項

1. CRACI（我們的產品）

CRACI 是在建置執行時產生 SBOM 的 GitHub Actions 執行器，適合自行建置軟體與韌體的團隊。具備套件感知能力的代理伺服器會記錄每個作業從套件與原始碼主機取用的內容，包括從 CI 快取還原的套件，而每份 SBOM 都會為每個作業與每個快取說明其完整性。Yocto 建置可在最高 32 vCPU 與 96 GB RAM 的執行器上執行：在一次core-image-sato 的並列建置中，CRACI 的 SBOM 包含了 Yocto 自身 SBOM 中的每個元件，另外還有 88 個 Yocto 遺漏的元件（例如主機套件與 GitHub Actions），並為 Yocto 列出卻未附套件 URL 的 653 個 Rust crate 版本，各提供了一個套件 URL。

對 PSIRT 而言，CRACI 會保留每一次過去的建置及其 SBOM，讓您看到哪些建置包含有漏洞的相依套件、包含了多久，而資產清冊檢視會顯示哪些軟體版本部署到哪些產品。它會持續重新評估受監控的 SBOM，支援 VEX，並讓資安團隊研判檢測結果、將每一項分派給負責修正的團隊。您可以加入廠商的 SBOM，讓外購元件與您自己的建置一起受到監控。由於作業由 CRACI 執行，它也會強制執行失效即封鎖（fail closed）的對外連線政策。

最適合：在 GitHub Actions 上建置自己的軟體與映像檔，並希望將建置、SBOM 與漏洞追蹤集中在同一處的製造商。可考慮的情況：您可以接受沒有二進位檔分析、零時差漏洞檢測、可達性分析與依標準進行的引導式檢查，CRACI 都不提供這些功能；它也無法看見不是您建置的韌體內部。它僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。CRACI 與 Cybellum 比較

2. ONEKEY

ONEKEY 分析編譯後的韌體，「不需要原始碼或網路存取」。它從二進位檔產生 SBOM、匯入供應商 SBOM、匯出 CycloneDX 與 SPDX、搜尋寫死的憑證等可能的零時差漏洞，並每日重新分析韌體。它的 Compliance Wizard 會引導團隊逐步完成 CRA、IEC 62443-4-2、ETSI EN 303 645 與 Radio Equipment Directive 的檢查。

最適合：需要檢查非自行建置的韌體映像檔，並希望依標準進行引導式檢查的裝置製造商。可考慮的情況：您想要映像檔分析，但不需要汽車與醫療法規範本。CRACI 與 ONEKEY 比較

3. Finite State

Finite State 分析韌體、二進位檔、原始碼與供應商 SBOM，「支援 50 種以上的二進位指令集架構」，並將它們整合為一份產品記錄。它依可達性、漏洞利用情資與產品脈絡排序檢測結果，記錄 VEX 判定，其法規遵循工作流程涵蓋 CRA 控制項對應，以及附有 SBOM 與 VEX 產出物、可供稽核的報告。它能在 GitHub Actions、GitLab CI 與 Jenkins 中嵌入檢查。

最適合：需要分析來自眾多供應商的韌體，並希望減少無法觸及之檢測結果雜訊的連網裝置製造商。可考慮的情況：可達性是您的 PSIRT 進行分級研判的依據。CRACI 與 Finite State 比較

4. NetRise

NetRise Turbine 分析編譯後的程式碼，「以建立準確的 SBOM，並揭露裝置上實際執行之軟體中的風險」，並依可達性與可利用性排定漏洞優先順序。NetRise Provenance 會檢視開源元件的來源、維護者與儲存庫健康狀況。Dragos 於 2026 年 9 月 21 日收購 NetRise，並將其定位於營運技術（OT）裝置群。

最適合：需要了解裝置上執行了什麼的產品資安、第三方風險與資安事件應變團隊，特別是工業與關鍵基礎設施領域。可考慮的情況：您能接受依報價採購；NetRise 未公開價格，且自 2026 年 9 月起已成為 Dragos 的一部分。

5. Cybeats

Cybeats SBOM Studio 是一套記錄系統，能跨產品與供應商匯入、管理、監控與分享 SBOM。它會在匯入時為 SBOM 品質評分，並與客戶分享 SBOM 與 VEX。在 SBOM 產生與二進位組成分析方面，Cybeats 會引導您使用其 Marketplace 中的廠商，而其 RAVEN 附加元件會推論可達性並草擬 VEX。

最適合：在眾多產品與供應商之間推動 SBOM 計畫的醫療、工業與電信製造商。可考慮的情況：您已經有產生 SBOM 的方式；SBOM Studio 管理的是其他工具產生的 SBOM。CRACI 與 Cybeats 比較

6. Medcrypt

Medcrypt 專注於醫療器材製造商。其 Helm 產品負責 SBOM 與漏洞管理：您可以「上傳或手動建立 SBOM（CycloneDX 或 SPDX）」，或透過其 API、GitHub Action 或 Azure DevOps 整合將 Helm 連接到您的管線。Helm 運用 EPSS、CISA KEV、ExploitDB 與 Metasploit 排序漏洞，在取得修正資料後重新評分，並匯出 SBOM、VDR 與 VEX。Medcrypt 也提供威脅建模審查與 FDA 送審協助等服務。

最適合：準備 FDA 上市前送審並進行上市後漏洞管理的醫療器材製造商。可考慮的情況：您的產品不屬於醫療器材，或您需要二進位檔分析，而 Medcrypt 並未說明提供此功能。

7. DefectDojo

DefectDojo 是開源的漏洞管理平台，能從「500 種以上的整合」匯入檢測結果、去除重複並追蹤修補進度。其 PSIRT Advisory Engine 屬於 DefectDojo Pro，會接收來自 CISA、NVD、EUVD 與十多個其他來源的資安公告，與您的 SBOM 資料比對，以 CVSS、EPSS 與 KEV 評分，將比對結果歸組為有負責人的案件，並產生帶有品牌標誌的 PDF 資安公告。Pro 可在雲端執行，也可自行託管。

最適合：希望在開源漏洞管理基礎上進行資安公告接收、案件處理與 SLA 追蹤的 PSIRT。可考慮的情況：您已經有可供比對的 SBOM；DefectDojo 不會產生 SBOM，也不分析二進位檔。Community Edition 免費；Pro 每月 $100，另加每個檢測結果 15 美分（截至 2026 年 10 月）。

8. Exein

Exein 同時作用於裝置與韌體。Exein Runtime 使用 eBPF 監控並阻擋嵌入式 Linux 上的惡意行為，而開源的 meta-exein Yocto layer 會將其 Pulsar 代理程式放入您的映像檔。Exein Analyzer 會在版本發布前檢查韌體，或在沒有二進位檔時檢查您的 SBOM，以可達性評分與 LLM 驅動的篩選排序檢測結果，並將其對應到 CRA 要求。

最適合：除了韌體分析，也希望在現場提供防護的嵌入式 Linux 製造商。可考慮的情況：您能接受在裝置上安裝代理程式。CRACI 與 Exein 比較

9. Timesys Vigiles

Vigiles 目前由 Lynx Software Technologies 銷售，能將 Yocto 或 Buildroot 建置的中繼資料轉為 SBOM，並與一套經過整理的 CVE 資料庫比對。團隊會記錄每個 CVE 為受影響、已修正、延後處理或不可利用，Vigiles 會依版本保存這些判定，並匯出 SBOM 以及 VEX 與漏洞報告。

最適合：希望減少 Yocto 與 Buildroot 映像檔 CVE 雜訊的嵌入式 Linux 團隊。可考慮的情況：您的產品不是以嵌入式 Linux 建置。CRACI 與 Timesys Vigiles 比較

並列比較

「Medcrypt Helm」指 Medcrypt 的 SBOM 與漏洞管理產品，「NetRise」指 NetRise Turbine，「Cybeats」指 SBOM Studio。Timesys Vigiles 已於上文說明，未列入表格。「未說明」表示該功能未在廠商文件中說明，並不代表沒有該功能。

因應 Cyber Resilience Act

Cybellum、ONEKEY、Finite State、DefectDojo 與 Exein 都表示支援 CRA。其通報義務自 2026 年 9 月 11 日起適用，主要條款自 2027 年 12 月 11 日起適用。24 小時早期預警取決於能否迅速得知哪些版本包含受影響的元件。對於您自己建置的軟體，CRACI 會保留建置歷史與每次建置的 SBOM，讓您看到哪些建置包含有漏洞的相依套件。它的 API 會回傳 SBOM、網路追蹤記錄與來源證明，SBOM 可匯出為 CycloneDX 或 SPDX，而 CRACI 會備妥 CRA 通報的內容供您提交。

本頁沒有任何工具能單獨讓製造商達到法規遵循。請參閱 CRA 的要求與 CRA 法規遵循工具比較。

何時該繼續使用 Cybellum

• 您的大部分韌體以二進位檔形式來自供應商，而您需要看見其內部。
• 您希望將二進位檔、原始碼與供應商 SBOM 合併為每個產品與版本各一份經過驗證的 SBOM。
• 您的 PSIRT 在同一個工作台中進行調查，並以 VEX 或 CSAF 報告分享狀態。
• 您依賴 FDA PMA、ISO 21434 或歐盟 CRA 的範本，或需要在自己的資料中心中執行。

更多資訊請參閱 適用於 PSIRT 團隊的 CRACI、嵌入式資安工具比較與 Finite State 替代方案。

Cybellum 替代方案常見問題

針對團隊比較時常問的問題，提供簡短的答案

Cybellum 最好的替代方案是什麼？

取決於您的 PSIRT 最需要什麼。若要分析韌體二進位檔，可考慮 ONEKEY、Finite State 或 NetRise。若要一套跨產品與供應商的 SBOM 記錄系統，可考慮 Cybeats。若是醫療器材與 FDA 送審，可考慮 Medcrypt。若要在開源漏洞管理基礎上進行資安公告接收與案件處理，可考慮搭配 PSIRT Advisory Engine 的 DefectDojo。若也需要裝置端防護，可考慮 Exein。如果您在 GitHub Actions 中建置自己的軟體，CRACI 會從每次建置記錄 SBOM，並監控其中的漏洞。

CRACI 能像 Cybellum 一樣分析韌體二進位檔嗎？

不能。CRACI 不分析二進位檔或韌體映像檔，也不搜尋零時差漏洞。它記錄您自己的建置在 CRACI 的 GitHub Actions 執行器上執行時所取用的內容（包括 Yocto 建置），並從這份記錄產生 SBOM。對於以二進位檔形式取得的韌體，您可以將廠商的 SBOM 加入 CRACI 以監控其元件，但若沒有 SBOM，就需要二進位檔分析工具。

這些工具中，哪些能告訴 PSIRT 新的 CVE 影響了哪些產品？

大多數都可以，只是輸入不同。Cybellum、ONEKEY、Finite State 與 NetRise 以您出貨的二進位檔分析為基礎。Cybeats、Medcrypt Helm 與 DefectDojo 比對您提供的 SBOM。CRACI 則以每次建置取用內容的記錄為基礎：建置歷史會顯示哪些建置包含有漏洞的相依套件（無論直接或遞移），資產清冊檢視則會顯示哪些軟體版本部署到哪些產品。

有免費的 Cybellum 替代方案嗎？

DefectDojo 的 Community Edition 是免費的開源軟體，能彙整並去除其他掃描工具檢測結果中的重複項目。它的 PSIRT Advisory Engine 會將資安公告與您的 SBOM 資料比對並歸組為案件，屬於 DefectDojo Pro 的一部分。兩個版本都不分析韌體二進位檔。

建置時 SBOM 比二進位檔分析產生的 SBOM 更好嗎？

對於您自己建置的軟體，建置時 SBOM 記錄的是實際放進去的內容，而不是從產出推測，而推測對 Rust 與 C 這類編譯後的程式碼來說很困難。對於不是您建置的韌體，二進位檔分析仍是唯一的選擇。在一次 core-image-sato 的並列建置中，CRACI 的 SBOM 包含了 Yocto 自身 SBOM 中的每個元件，另外還有 88 個 Yocto 遺漏的元件，並為 Yocto 列出卻未附套件 URL 的 653 個 Rust crate 版本，各提供了一個套件 URL。