Finite State 替代方案

CRACI 是我們打造的產品，請將這點納入考量；我們依據各選項自己的文件來描述它們，並在其他工具更適合時明確說明。

團隊為何考慮 Finite State 以外的選擇

Finite State 是為連網裝置製造商打造的產品資安平台，能「整合韌體、二進位檔、原始碼與法規遵循佐證資料」，並「支援 50 種以上的二進位指令集架構」。它從這些建置產物建立 SBOM 與軟體資產清冊，依可達性、漏洞利用情資與產品脈絡排序發現項目，記錄 VEX 判定，並將佐證資料對應到 CRA、FDA 指引與其他框架。它可在 GitHub Actions、GitLab CI 與 Jenkins 中嵌入檢查。

團隊仍會比較替代方案，通常是基於以下原因之一：

• 大部分韌體是自己的。分析二進位檔是從輸出結果反推。自行建置映像檔的團隊，可以改為記錄放進映像檔的內容。
• 更聚焦的需求。有些團隊只需要韌體分析、只需要惡意軟體與竄改檢查，或只需要裝置端防護，而不是完整的產品資安平台。
• 價格與託管。Finite State 沒有公開價格，而有些團隊想要可以自行執行的免費工具。

評估重點

• 您主要分析的是取得的韌體，還是自己建置的韌體。
• SBOM 如何產生，以及工具是否會在 SBOM 不完整時告訴您。
• 如果您要分析二進位檔，指令集與檔案格式的涵蓋範圍。
• 優先排序：可達性、漏洞利用情資與 VEX。
• Cyber Resilience Act（CRA）的佐證資料：哪些版本包含受影響的元件，以及您多快能得知。
• CI 涵蓋範圍、託管選項，以及價格如何隨規模變化。

選項一覽

1. CRACI（我們的產品）

CRACI 是在建置執行期間產生 SBOM 的 GitHub Actions 執行器，適合自行建置韌體與軟體的團隊。一個能辨識套件的代理伺服器會記錄每個作業從套件與原始碼主機擷取的內容，包括從 CI 快取還原的套件，每份 SBOM 都會標示每個作業與每個快取的完整性。Yocto 建置在最高 32 vCPU 與 96 GB RAM 的執行器上執行：在一次core-image-sato 的並列建置中，CRACI 的 SBOM 包含了 Yocto 自身 SBOM 中的所有元件，外加 Yocto 漏掉的 88 個（例如主機套件與 GitHub Actions），並為 Yocto 列出卻沒有 package URL 的 653 個 Rust crate 版本各提供了 package URL。

CRACI 會持續重新評估受監控的 SBOM、支援 VEX，並讓資安團隊研判發現項目，再將每一項指派給負責修正的團隊。您可以加入廠商 SBOM，讓外購元件與您自己的建置一起受到監控。由於 CRACI 負責執行作業，它也會強制執行失效即封鎖（fail closed）的對外連線（egress）政策。

最適合：在 GitHub Actions 上自行建置映像檔，並希望將建置、SBOM 與漏洞追蹤集中在同一處的裝置製造商。考量重點：您能否接受沒有二進位分析與可達性分析，CRACI 不提供這兩項功能；它也無法看到並非您建置的韌體內部。CRACI 僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。CRACI vs Finite State

2. ONEKEY

ONEKEY 分析編譯後的韌體，「不需要原始碼或網路存取」。它從二進位檔產生 SBOM、匯入供應商 SBOM、匯出 CycloneDX 與 SPDX、尋找寫死的憑證等可能的零時差漏洞，並每天重新分析韌體。它的 Compliance Wizard 會引導團隊逐步檢視 CRA、IEC 62443-4-2、ETSI EN 303 645 與無線電設備指令（Radio Equipment Directive）。

最適合：需要檢查非自行建置之韌體映像檔、並依標準進行引導式檢查的裝置製造商。考量重點：您需要已知 CVE 以外的發現項目；ONEKEY 的零時差分析是它與單純元件比對的差異所在。CRACI vs ONEKEY

3. Black Duck Binary Analysis

Black Duck Binary Analysis 不需要原始碼，就能辨識執行檔、函式庫、容器、韌體與行動應用程式中的開源元件；它使用靜態分析與字串分析搭配模糊比對，因此也能找到經過修改的元件。它會回報漏洞、授權問題，以及權杖與密碼等外洩的機密。它與 Black Duck SCA 和 Coverity SAST 並列。

最適合：已經使用 Black Duck 處理原始碼，並希望二進位檔也能取得相同元件資料的組織。考量重點：依報價計價是否適合您；截至 2026 年 9 月沒有公開價格。CRACI vs Black Duck

4. NetRise

NetRise Turbine 執行「韌體／二進位分析，以建立準確的 SBOM，並找出實際在您裝置上執行之軟體中的風險」，並依可達性與可利用性排定漏洞優先順序。NetRise Provenance 則檢視開源元件的來源、維護者與儲存庫健康狀況。Dragos 於 2026 年 9 月 21 日收購 NetRise，並將其定位於營運技術（OT）裝置群。

最適合：需要知道裝置上執行什麼的產品資安、第三方風險與事件應變團隊，特別是在工業與關鍵基礎設施領域。考量重點：依報價採購是否適合您；NetRise 沒有公開價格，且自 2026 年 9 月起已成為 Dragos 的一部分。

5. Exein

Exein 同時在裝置端與韌體上運作。Exein Runtime 使用 eBPF 監控並封鎖嵌入式 Linux 上的惡意行為，開源的 meta-exein Yocto layer 則會將其 Pulsar 代理程式放進您的映像檔。Exein Analyzer 會在發布前檢查韌體，或在無法取得二進位檔時檢查您的 SBOM，以可達性評分與 LLM 驅動的過濾機制排序發現項目，並將其對應到 CRA 要求。

最適合：除了韌體分析之外，也希望在現場提供防護的嵌入式 Linux 製造商。考量重點：您能接受在裝置上交付代理程式。CRACI vs Exein

6. ReversingLabs Spectra Assure

Spectra Assure 不需要原始碼，就能分析編譯後的軟體套件中的惡意軟體、竄改、外洩的機密與漏洞，並根據發現的內容產生 CycloneDX 與 SPDX 格式的 SBOM。差異分析會比較不同版本，並標示版本之間可疑的變更。rl-secure CLI 可在地端與 CI 中執行。

最適合：針對您交付的套件，或部署前的商用軟體，設置惡意軟體與竄改的發布關卡。考量重點：您的主要需求是否為跨多種指令集的韌體分析。Community 方案免費，Community+ 方案每月 $500（截至 2026 年 9 月）。CRACI vs ReversingLabs

7. RunSafe Security

RunSafe Identify「在軟體建置時為嵌入式系統產生詳細的 SBOM，不再需要二進位分析」，以 C 與 C++ 為重點，並輸出 CycloneDX。RunSafe 列出支援 Yocto、QNX、Linux、VxWorks 與 Windows 建置。RunSafe Protect 不需修改原始碼，就能提供防範記憶體漏洞利用的執行期程式碼防護，Monitor 則追蹤現場的當機狀況。

最適合：擁有大型 C 與 C++ 程式碼庫、希望取得記憶體安全防護的汽車、航太、國防與工業團隊。考量重點：您需要 C 與 C++ 以外的涵蓋範圍，或需要控管建置能連線的對象。價格需報價。

8. Cybeats

Cybeats SBOM Studio 是一套紀錄系統，可跨產品與供應商匯入、管理、監控與分享 SBOM。它會在匯入時為 SBOM 品質評分，並與客戶分享 SBOM 與 VEX。在 SBOM 產生與二進位組成分析方面，Cybeats 會引導您使用其 Marketplace 中的廠商，其 RAVEN 附加元件則會推論可達性並草擬 VEX。

最適合：跨多項產品與多家供應商推動 SBOM 計畫的醫療、工業與電信製造商。考量重點：您是否需要分析本身；SBOM Studio 管理的是其他工具產生的 SBOM。CRACI vs Cybeats

9. EMBA（開源）

EMBA 是採 GPLv3 授權的韌體分析工具，「設計為滲透測試人員、產品資安團隊、開發人員與負責任的產品經理所用的核心韌體分析與 SBOM 工具」。它會解開韌體、執行靜態分析與透過模擬進行的動態分析、產生 SBOM，並回報不安全的二進位檔、過時元件與寫死的密碼等弱點。EMBArk 則提供網頁介面。

最適合：希望不必支付授權費就能進行韌體分析的資安團隊與滲透測試人員。考量重點：您能否在 Linux 上自行執行並維護它；它沒有廠商支援，也沒有代管監控。

並列比較

「Black Duck BDBA」指 Black Duck Binary Analysis，「NetRise」指 NetRise Turbine，「ReversingLabs」指 Spectra Assure，「RunSafe」指 Identify 搭配 Protect。Cybeats 已在上方說明，未列入表格。「未說明」表示廠商文件中沒有描述該功能，而不是該功能不存在。

因應 Cyber Resilience Act

Finite State、ONEKEY 與 Exein 都會將發現項目對應到 CRA。CRA 的通報義務自 2026 年 9 月 11 日起適用，主要條款則自 2027 年 12 月 11 日起適用。24 小時早期預警取決於能否快速得知哪些版本包含受影響的元件。對於您自行建置的韌體，CRACI 會保留建置歷程與每次建置的 SBOM，讓您能看到哪些建置包含有漏洞的相依套件。它的 API 會回傳 SBOM、網路追蹤紀錄與來源證明，SBOM 可匯出為 CycloneDX 或 SPDX，CRACI 也會為您準備 CRA 通報的內容，供您提交。

本頁沒有任何工具能單獨讓製造商達成法規遵循。請參閱CRA 的要求與CRA 法規遵循工具比較。

何時該繼續使用 Finite State

• 您的韌體有很大一部分來自供應商，而且涵蓋許多不同的指令集架構。
• 您希望在單一產品紀錄中整合韌體、二進位檔、原始碼與供應商 SBOM。
• 您依賴可達性與漏洞利用情資來精簡發現項目清單。
• 您希望在同一個平台上取得 CRA 控制項對應與可供稽核的報告。

更多資訊請參閱在 CRACI 上進行 Yocto 建置、嵌入式資安工具比較與ONEKEY 替代方案。

Finite State 替代方案常見問題

團隊在比較時最常提出的問題，簡短回答

最好的 Finite State 替代方案是什麼？

取決於您要分析什麼。若是從供應商取得的韌體映像檔，可以考慮 ONEKEY、Black Duck Binary Analysis、NetRise 或開源的 EMBA。若除了韌體分析之外還需要裝置端的執行期防護，可以考慮 Exein 或 RunSafe。若要針對發布套件檢查惡意軟體與竄改，可以考慮 ReversingLabs Spectra Assure。如果您在 GitHub Actions 中建置自己的韌體，CRACI 會從每次建置記錄 SBOM，並監控其中的漏洞。

CRACI 能像 Finite State 一樣分析韌體二進位檔嗎？

不能。CRACI 不分析二進位檔或韌體映像檔，也不進行可達性分析。它記錄您自己的建置在 CRACI 的 GitHub Actions 執行器上執行時擷取的內容（包括 Yocto 建置），並根據這份紀錄產生 SBOM。對於以二進位檔形式取得的韌體，您可以將廠商的 SBOM 加入 CRACI，以監控其中的元件；但如果沒有 SBOM，您就需要二進位分析工具。

有免費的 Finite State 替代方案嗎？

EMBA 是免費、採 GPLv3 授權的韌體分析工具。它會解開韌體、執行靜態分析與透過模擬進行的動態分析、產生 SBOM，並回報過時元件與寫死的密碼等弱點。您需要在 Linux 上自行執行它，EMBArk 則提供網頁介面。

建置時 SBOM 比二進位分析產生的 SBOM 更好嗎？

對於您自己建置的軟體，建置時 SBOM 記錄的是實際放進去的內容，而不是從輸出結果推論，而後者對 Rust 與 C 等編譯型程式碼來說相當困難。對於並非您建置的韌體，二進位分析仍是唯一的選擇。在一次 core-image-sato 的並列建置中，CRACI 的 SBOM 包含了 Yocto 自身 SBOM 中的所有元件，外加 Yocto 漏掉的 88 個，並為 Yocto 列出卻沒有 package URL 的 653 個 Rust crate 版本各提供了 package URL。

CRACI 能取代 Yocto 的 create-spdx 嗎？

就供應鏈涵蓋範圍而言可以：在我們的比較中，CRACI 的作業 SBOM 涵蓋了 Yocto 內建 SBOM 列出的所有內容，外加主機套件、GitHub 來源與 Actions，以及其他擷取的來源。Yocto 的 SPDX 仍帶有 CRACI 不會記錄的 recipe 中繼資料，例如已套用的修補程式與標示為已修正的 CVE，因此如果您依賴這些資訊，請保留 create-spdx。