NetRise 替代方案

CRACI 是我們的產品，請將這一點納入考量；我們依據各選項自己的文件來描述它們，並在其他工具更合適時 明確說明。

團隊為何尋找 NetRise 以外的選擇

NetRise Turbine 可針對韌體、容器映像檔與應用程式二進位檔，產生「直接源自軟體本身、以二進位為基礎的完整 SBOM」， 包括靜態連結與內嵌的相依套件。它會回報隨建置產物一同出貨的機密、金鑰、 憑證、錯誤設定與授權問題，依執行路徑是否觸及漏洞來排序， 並支援 SPDX 與 CycloneDX 的匯入與匯出。NetRise Provenance 會檢查開源元件的來源與 健全度，ZeroLens 則會找出編譯後軟體中的弱點。2026 年 9 月 21 日， Dragos 宣布已收購 NetRise，並將其整合到 Dragos Platform。

團隊仍會比較替代方案，通常是基於以下原因之一：

• 收購。Dragos 正將 NetRise 納入其針對關鍵基礎設施營運者的平台。 該市場以外的裝置製造商，可能會希望選擇產品藍圖以自己為目標的廠商。
• 大部分軟體是自己的。分析二進位檔是從輸出反推。自行建置映像檔的團隊， 可以改為記錄放入其中的內容。
• PSIRT 工作流程。NetRise 的網站並未描述 VEX、資安公告或 PSIRT 調查。有些 團隊希望這些功能與分析位於同一個工具中。
• 價格。NetRise 未公開價格。

PSIRT 應該關注什麼

PSIRT 必須對公司出貨的每一項產品負責。背後的工具應該能協助：

• 出貨內容的資產清冊，包括您從未建置過的第三方韌體。
• SBOM 的產生方式，以及工具是否會在 SBOM 不完整時告知您。
• 漏洞出現時，快速找出受影響的產品與版本。
• 版本發布後的監控，因應已出貨元件出現的新資安公告。
• 分級研判、優先排序與 VEX，讓您能說明哪些產品不受影響。
• CI 涵蓋範圍、部署選項，以及價格如何隨規模變化。

可選方案

1. CRACI（我們的產品）

CRACI 是在建置執行時產生 SBOM 的 GitHub Actions 執行器，適合自行建置 韌體與軟體的團隊。具備套件感知能力的代理伺服器會記錄每個作業從套件與原始碼主機擷取的內容，包括 從 CI 快取還原的套件，而每份 SBOM 都會依作業與快取標示其完整度。Yocto 建置可在 最高 32 vCPU 與 96 GB RAM 的執行器上執行：在一次 core-image-sato 的並列建置中，CRACI 的 SBOM 涵蓋了 Yocto 自身 SBOM 中的所有 元件，另外還有 Yocto 遺漏的 88 個（例如主機套件與 GitHub Actions），並為 Yocto 列出卻未附 package URL 的 653 個 Rust crate 版本逐一提供 package URL。

CRACI 會持續重新評估受監控的 SBOM，顯示哪些建置包含有漏洞的相依套件，以及哪些 軟體版本部署到哪些產品上，支援 VEX，並讓資安團隊分級研判檢測結果，將每一項分派給 負責修正的團隊。您可以加入廠商 SBOM，讓外購元件與您自己的建置一起受到 監控。由於作業在 CRACI 上執行，它也會強制執行失效即封鎖（fail closed）的對外連線（egress）政策。

最適合：在 GitHub Actions 上建置，並希望將建置、 SBOM 與漏洞追蹤集中在同一處的裝置製造商與軟體團隊。考量重點：您是否能接受輸出中沒有二進位 分析、可達性分析與機密檢測結果，CRACI 這些都不提供；它也無法看到非由您建置之韌體的內部。 它僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。請參閱適用於 PSIRT 團隊的 CRACI與 CRACI vs NetRise。

2. ONEKEY

ONEKEY 分析編譯後的韌體，「不需要原始碼或網路存取」。它從二進位檔產生 SBOM、 匯入供應商 SBOM、匯出 CycloneDX 與 SPDX、找出可能的零時差漏洞（例如寫死的憑證）， 並每日重新分析韌體。其 Compliance Wizard 會引導團隊因應 CRA、IEC 62443-4-2、ETSI EN 303 645 與無線電設備指令（Radio Equipment Directive）。

最適合：檢查非由自己建置之韌體映像檔，並需要依標準進行引導式檢查的裝置製造商。 考量重點：您是否希望從專注於連網產品的廠商取得已知 CVE 以外的檢測結果。 CRACI vs ONEKEY

3. Finite State

Finite State 分析韌體、二進位檔、原始碼與供應商 SBOM，「支援 50 種以上的二進位指令集 架構」，並將它們整合到同一份產品紀錄中。它依可達性、漏洞利用 情資與產品脈絡為檢測結果排序，記錄 VEX 決策，其法規遵循流程涵蓋 CRA 控制項對應，以及 含 SBOM 與 VEX 檔案的可供稽核報告。它可在 GitHub Actions、GitLab CI 與 Jenkins 中嵌入檢查。

最適合：需要分析來自眾多供應商之韌體，並在同一處管理 VEX 決策的連網裝置製造商。考量重點：您是否想要一個橫跨原始碼、二進位檔與 供應商 SBOM 的平台。CRACI vs Finite State

4. Cybellum

Cybellum 的 Product Security Platform「結合來自二進位掃描工具、原始碼，以及 SPDX、CycloneDX 或 CPE CSV 格式之外部 SBOM 來源的資料」來建立 SBOM。其漏洞管理功能會分級研判檢測結果並排定優先順序， 並能產出 VEX 報告。在 PSIRT 工作方面，它能找出新漏洞影響哪些產品或元件、 「透過 VEX/CSAF 報告」分享漏洞狀態，並提供用於建立與管理 調查的工作台。它也涵蓋 FDA 要求、ISO 21434 與 CRA 的法規遵循。

最適合：希望在同一個平台中處理 SBOM、漏洞 管理與 PSIRT 調查的汽車、醫療與工業製造商。考量重點：對您而言，PSIRT 工作流程是否比 單獨的二進位掃描工具更重要。Cybellum 未公開價格。

5. ReversingLabs Spectra Assure

Spectra Assure 不需原始碼即可分析編譯後的軟體套件，找出惡意軟體、竄改、外洩的機密與 漏洞，並依據分析結果產生 CycloneDX 與 SPDX 格式的 SBOM。差異分析會比較各版本， 並標示版本之間的可疑變更。rl-secure CLI 可在地端與 CI 中執行。

最適合：作為版本發布關卡，檢查您出貨的套件是否含有惡意軟體或遭竄改，或在部署商用軟體 前進行檢查。考量重點：您的主要目標是否為裝置韌體，而非軟體 套件。Community 免費，Community+ 每月 $500（截至 2026 年 9 月）。 CRACI vs ReversingLabs

6. Exein

Exein 同時在裝置與韌體上運作。Exein Runtime 使用 eBPF 監控並封鎖嵌入式 Linux 上的惡意行為， 而開源的 meta-exein Yocto layer 會將其 Pulsar 代理程式放入您的映像檔中。 Exein Analyzer 會在版本發布前檢查韌體（無法取得二進位檔時則檢查您的 SBOM），以可達性評分與 LLM 驅動的篩選 為檢測結果排序，並將其對應到 CRA 的要求。

最適合：除了韌體分析之外，也希望在現場提供防護的嵌入式 Linux 製造商。 考量重點：您是否能接受在裝置上部署代理程式。 CRACI vs Exein

7. Cybeats

Cybeats SBOM Studio 是一套紀錄系統，可橫跨產品與供應商匯入、管理、監控及分享 SBOM。 它會在匯入時評估 SBOM 品質，並與客戶分享 SBOM 與 VEX。至於 SBOM 產生與二進位 組成分析，Cybeats 則引導使用者採用其 Marketplace 中的廠商，而其 RAVEN 附加元件會推論可達性 並草擬 VEX。

最適合：在眾多產品與供應商之間推動 SBOM 計畫的醫療、工業與電信製造商。 考量重點：您是否需要分析本身；SBOM Studio 管理的是由其他工具 產生的 SBOM。CRACI vs Cybeats

並列比較

「NetRise」指 NetRise Turbine，「Cybellum」指 Cybellum Product Security Platform，「ReversingLabs」指 Spectra Assure，「Cybeats」指 SBOM Studio。ReversingLabs 的價格截至 2026 年 9 月。「未說明」表示 該廠商的文件中並未描述此功能，而不代表該功能不存在。

關於 Cyber Resilience Act

NetRise、ONEKEY、Finite State、Cybellum 與 Exein 都因應了 Cyber Resilience Act（CRA）。其通報義務自 2026 年 9 月 11 日起適用，主要條款則自 2027 年 12 月 11 日起適用。24 小時早期預警的前提，是能 快速得知哪些版本包含受影響的元件。對於您自己建置的軟體，CRACI 會保存建置歷程以及 每次建置的 SBOM，讓您能看出哪些建置包含有漏洞的相依套件。其 API 會回傳 SBOM、網路 追蹤與來源證明，SBOM 可匯出為 CycloneDX 或 SPDX，且 CRACI 會為您預先備妥 CRA 通報的內容以供提交。

本頁沒有任何工具能單獨讓製造商符合法規。請參閱 CRA 的 要求與 PSIRT 工具比較。

何時繼續使用 NetRise

• 您需要為外購以及自行建置的韌體與二進位檔產生 SBOM，包括靜態連結的程式碼。
• 您希望建置產物中的機密、金鑰、憑證與錯誤設定能與 CVE 一併回報。
• 您仰賴執行路徑可達性來縮減檢測結果清單。
• 您營運操作技術（OT）環境，並希望在 Dragos Platform 中掌握韌體可視性。

進一步了解，請參閱 CRACI 上的 Yocto 建置、 ONEKEY 替代方案與 Finite State 替代方案。

NetRise 替代方案常見問題

團隊在比較時常問的問題，簡要解答

最好的 NetRise 替代方案是什麼？

這取決於您用 NetRise 做什麼。若需要能找出已知 CVE 以外問題並提供引導式合規檢查的韌體分析，請考慮 ONEKEY。若要將韌體、二進位檔、原始碼與供應商 SBOM 整合到同一份含可達性分析的產品紀錄中，請考慮 Finite State。若要在二進位分析之上進行 PSIRT 調查並產出 VEX 或 CSAF 報告，請考慮 Cybellum。若要對版本發布套件進行惡意軟體與竄改檢查，請考慮 ReversingLabs Spectra Assure。若需要裝置端防護，請考慮 Exein。若要管理來自眾多供應商的 SBOM，請考慮 Cybeats。若您在 GitHub Actions 中建置自己的軟體，CRACI 會從每次建置記錄 SBOM，並監控其中的漏洞。

Dragos 收購之後，NetRise 還有在銷售嗎？

Dragos 於 2026 年 9 月 21 日宣布收購 NetRise 與 runZero，未揭露財務條件。Dragos 表示，NetRise 的領導團隊會將其整合到 Dragos Platform，同時持續服務現有客戶；截至 2026 年 10 月，netrise.io 仍在介紹 Turbine、Provenance 與 ZeroLens。今後的銷售方式，請向 NetRise 或 Dragos 洽詢。

CRACI 能像 NetRise 一樣分析韌體嗎？

不能。CRACI 不分析二進位檔或韌體映像檔，不進行可達性分析，也不會在輸出中尋找機密或錯誤設定。它記錄您自己的建置在 CRACI 的 GitHub Actions 執行器上執行時擷取的內容（包括 Yocto 建置），並依據該紀錄產生 SBOM。對於您以二進位形式收到的韌體，您可以將廠商的 SBOM 加入 CRACI 以監控其元件；但若沒有 SBOM，您就需要二進位分析工具。

這些工具中，哪些能協助 PSIRT 找出受影響的產品？

Cybellum 提供 PSIRT 工作台，可找出新漏洞影響哪些產品或元件。Finite State 與 Cybeats 會維護橫跨產品與供應商的紀錄。CRACI 會顯示哪些建置包含有漏洞的相依套件（無論直接或遞移），其資產清冊檢視則會顯示哪些軟體版本部署到哪些產品上。NetRise 與 ONEKEY 等二進位分析工具，則能告訴您非由您建置的韌體內部有什麼。

建置時 SBOM 比二進位分析產生的 SBOM 更好嗎？

對於您自己建置的軟體，建置時 SBOM 記錄的是實際放入的內容，而不是從輸出推斷，而從 Rust 與 C 等編譯後的程式碼推斷相當困難。對於非由您建置的韌體，二進位分析仍是唯一的選擇。在一次 core-image-sato 的並列建置中，CRACI 的 SBOM 涵蓋了 Yocto 自身 SBOM 中的所有元件，另外還有 Yocto 遺漏的 88 個，並為 Yocto 列出卻未附 package URL 的 653 個 Rust crate 版本逐一提供 package URL。