CRACI 與 NetRise 比較

簡短回答

NetRise 是一家二進位分析公司。其 Turbine 產品分析韌體、容器映像檔與應用程式二進位檔，從編譯後的程式碼產生 SBOM 並找出其中的風險，包含漏洞、外洩的機密、錯誤設定與密碼學資產。Dragos 於 2026 年 9 月 21 日宣布已收購 NetRise。CRACI 是 GitHub Actions 執行器，在每次建置執行期間記錄它引入了什麼，依據該紀錄產生 SBOM，並在發布後持續監控。NetRise 分析的是產出，包含非您自行建置的軟體；CRACI 則保留您所執行建置的佐證資料。對 PSIRT 而言，兩者涵蓋不同的範圍。

一覽

NetRise 的強項

從編譯後的程式碼產生 SBOM。NetRise Turbine 會產生「一份完整、源自二進位檔、直接來自軟體本身的 SBOM」，包含靜態連結與內嵌的相依套件。它涵蓋韌體、容器映像檔與應用程式二進位檔，深入到應用層之下的核心、RTOS、驅動程式與韌體。若要看清晶片廠商、模組供應商以及其他您從未見過其建置過程的廠商所提供的軟體，這就是方法。

CVE 掃描看不到的風險。Turbine 會回報隨建置產物一起交付的機密、公鑰與私鑰、憑證與錯誤設定，以及授權問題，並提供密碼學資產清冊，協助為後量子時代做準備。NetRise ZeroLens 則會在編譯後軟體的弱點遭利用之前找出它們。

優先排序。Turbine 會檢查是否有可追蹤的執行路徑，將執行中的進入點連接到有漏洞的元件，並顯示 CISA KEV 狀態等可利用性訊號。NetRise 表示，該平台會持續掃描 NVD、CISA KEV 目錄、威脅行為者組織與殭屍網路，以掌握可利用性。

供應商 SBOM 與整合。NetRise 支援 SPDX 與 CycloneDX 的匯入、擴充、正規化與匯出，因此能合併來自多個來源的 SBOM。它提供供 CI/CD 使用的 GraphQL API，並列出與 Jira、ServiceNow、Splunk、Armis、Brinqa、Nucleus Security、GitHub 與 Google Cloud 的整合。

開源來源證明。NetRise Provenance 會檢視開源元件的來源、維護者與儲存庫健康狀況，並在開發人員取得套件的地方（包含 CI/CD 與 AI 程式設計助理）封鎖惡意及違反政策的套件。

現為 Dragos 旗下公司。Dragos 的公告指出，NetRise 補足了對營運技術（OT）裝置上執行之韌體與軟體的可視性，NetRise 的領導團隊將把它整合到 Dragos Platform，同時繼續服務現有客戶。交易金額並未揭露。

CRACI 的不同之處

二進位分析是從已交付的內容往回推。CRACI 則從建置往前記錄，因為建置就在 CRACI 上執行。

建置就是事實的來源

只要修改一行 runs-on，您的工作流程就會在 CRACI 的執行器上執行。作業執行期間，具備套件感知能力的代理伺服器會記錄它從套件來源下載的內容，而從 CI 快取還原的套件也會被延續記錄。每份 SBOM 都會依作業與快取標示其完整程度：Complete、Complete with connections、Incomplete、Unavailable 或 Not recorded。對於 Yocto，CRACI 在最高 32 vCPU 與 96 GB RAM 的執行器上執行 BitBake。在一次core-image-sato 的並排建置比較中，CRACI 的 SBOM 包含 Yocto 自身 SPDX 輸出中的所有元件，另外多出 88 個（例如主機套件與 GitHub Actions），並為 Yocto 列出卻未附套件 URL 的 653 個 Rust crate 版本各提供一個套件 URL。

控管建置能連線的對象

執行器上的對外連線政策決定作業可以連線到哪些主機。它在作業開始前就經過驗證，失效即封鎖，並在違規時發出警示。掃描產出無法改變建置當時能連線的對象。

從 CVE 找到受影響的產品

CRACI 會彙整跨建置與跨儲存庫的漏洞，並在資安公告發布時持續重新評估受監控的 SBOM。建置歷史會顯示哪些建置包含有漏洞的相依套件（無論直接或遞移），讓您知道受影響的期間，而資產清冊檢視則精確顯示哪些產品部署了哪些軟體版本。資安團隊可以分級研判發現結果，並將每一項分派給負責修正的團隊；系統支援 VEX，政策關卡也能封鎖包含特定 CVE 的建置。API 提供 SBOM、網路追蹤紀錄與來源證明。

CRACI 不做的事同樣重要。它不分析二進位檔，因此無法看見非您自行建置的韌體內部，也看不見建置下載的供應商二進位大型物件（blob）內部，只能知道建置取得了它以及從哪裡取得。您可以加入廠商的 SBOM，讓其中的元件受到監控，但若沒有 SBOM，就需要 NetRise 這類二進位分析工具。CRACI 沒有可達性分析，也不會在產出中尋找機密或錯誤設定。

PSIRT 分別需要兩者提供什麼

產品資安事件應變小組必須知道每項產品交付了哪些內容（包含第三方韌體），在漏洞出現時找出受影響的產品，在發布後持續監控，分級研判發現結果，並說明哪些產品未受影響，而這通常會用到 VEX。

• 您收到的第三方韌體與二進位檔。選擇 NetRise。當供應商沒有提供 SBOM 時，二進位分析是看清其內部的唯一方法。
• 您在 GitHub Actions 中建置的韌體與軟體。CRACI 在每次建置執行時加以記錄，並保留哪些建置包含某個元件的歷史。
• 為一長串發現結果排定優先順序。NetRise 的可達性與可利用性訊號。CRACI 顯示的是有漏洞的套件存在於建置中，而不是您的程式碼是否會呼叫它。
• 將發現結果分派給負責修正的團隊。CRACI 的分級研判與分派功能作用於它所記錄的建置；NetRise 則串接 Jira 與 ServiceNow。

請參閱 適用於 PSIRT 團隊的 CRACI 與 PSIRT 工具比較。

何時使用哪一個，何時兩者並用

• 您交付的大部分內容來自供應商。選擇 NetRise。它既能分析您建置的軟體，也能分析您採購的軟體。
• 您在 GitHub Actions 中建置自己的 Linux 映像檔或應用程式。CRACI 執行建置並記錄其輸入。在 NetRise 中分析同一個映像檔，能為已交付的內容提供第二個獨立的觀點。
• 您管理營運技術（OT）裝置群。NetRise 現已納入 Dragos，鎖定這些裝置上執行的韌體與軟體。CRACI 則適合自行建置軟體的團隊。
• 您想限制建置能下載的內容。選擇 CRACI。這種控管只存在於建置執行的地方。

關於 CRA

Cyber Resilience Act（CRA）要求製造商記錄產品中的元件（包含 SBOM），在支援期間持續處理漏洞，並自 2026 年 9 月 11 日起通報遭積極利用的漏洞。NetRise 針對 CRA 提供從編譯後建置產物產生的發布版建置 SBOM、漏洞處理與跨版本的修補程式驗證，以及作為符合性佐證資料的報告輸出。CRACI 則針對您建置的軟體，產生每次建置包含哪些內容的佐證資料，持續加以監控，並準備 CRA 通報內容供您提交。CRACI 能自動化製造商在更廣泛的 CRA 法規遵循流程中所需的相當大一部分軟體供應鏈可視性與佐證資料；它無法單獨讓產品達到合規。請參閱CRA 的要求。

在 NetRise 之外加入 CRACI

不需要將任何東西移出 NetRise。設定 runs-on: craci，將建置作業移到 CRACI 執行器，同一個工作流程會繼續在 GitHub Actions 中執行，同時由 CRACI 記錄建置。CRACI 文件中的 Yocto 範例展示了完整的 BitBake 工作流程。CRACI 目前僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。了解 CRACI 如何服務工業物聯網產業。

正在評估兩種以上的工具嗎？NetRise 替代方案並排比較了七種選項。