PSIRT 工具比較

簡短的答案

• 以二進位檔形式取得的供應商韌體：ONEKEY、Finite State、NetRise 或 Cybellum。二進位分析是看清您從未執行過其建置之程式碼的方法。
• 需要法規範本的汽車、醫療或工業裝置：Cybellum，提供 FDA PMA、ISO 21434 與歐盟 CRA 的範本。
• 醫療裝置與 FDA 送審：Medcrypt，以 Helm 處理 SBOM 與漏洞。
• 將多種掃描工具整合成單一佇列，並具備 PSIRT 資安公告工作流程：DefectDojo，開源並提供 Pro 版本。
• 管理來自多家供應商 SBOM 的記錄系統：Cybeats SBOM Studio。
• 具備精選 CVE 資料的 Yocto 或 Buildroot 映像檔：Timesys Vigiles。
• 同時需要裝置端防護：Exein。
• 免費、自架的 SBOM 監控平台：OWASP Dependency-Track。
• 您在 GitHub Actions 中建置的軟體：CRACI，從每次建置記錄 SBOM、保存每個過往建置，並監控已出貨的內容。

本頁適合誰閱讀

您正在營運或建立產品資安職能，並為其挑選工具。如果您仍在定義這個角色，請先閱讀 PSIRT 做什麼。CRACI 是我們開發的產品，閱讀時請將這點納入考量。關於其他產品的每一項說法都來自其官網或文件，並於 2026 年 10 月查證，而此處大多數廠商都有更詳細的 CRACI vs X 頁面。

PSIRT 工具必須做到什麼

這項工作遵循漏洞管理生命週期，PSIRT 在每個步驟都需要支援：

1. 掌握出貨內容。每個產品版本都有一份 SBOM，包括遞移相依套件與供應商元件。之後的一切都仰賴它的完整性。
2. 發現新漏洞。持續監控，將新的資安公告與每個已發布版本比對，而不只是下一個版本。
3. 找出受影響的產品。哪些產品、版本與建置包含該元件，以及包含了多久。
4. 分級研判並轉交。判斷什麼重要，並轉交給負責修正的團隊。
5. 說明哪些未受影響。VEX 記錄某個漏洞影響哪些產品，以及其他產品為何未受影響。
6. 接收通報並通知相關人員。外部研究人員的通報管道、案件追蹤，以及資安公告，通常採用機器可讀的 CSAF 格式。

以下沒有任何工具能平均涵蓋全部六項。大多數工具在前兩三個步驟最強，而它們最大的差異在於資產清冊的來源。

如何選擇

• 軟體是您建置的，還是外部取得的？如果產品大多以二進位檔形式來自晶片廠商與供應商，二進位分析就是看清其內部的方法。如果是您自己建置，建置就是資產清冊最直接的來源。
• 產品是否受法規管制？醫療裝置、車輛與工業設備都有其送審格式與標準。部分工具提供相應範本；其他工具則留給您自己的流程處理。
• 您已經在執行多少掃描工具？如果發現來自許多工具，能去重複的彙整工具可能比再多一個發現來源更重要。
• 外部通報從哪裡進來？無論您選擇哪種資產清冊工具，研究人員的提交通常都需要獨立的管道（見下文）。
• 是否必須自架？DefectDojo、Dependency-Track 與 Medcrypt Enterprise 可以在您自己的基礎設施上執行，Cybellum 則可以在您自己的資料中心執行。

一覽

兩張表：先是以韌體與裝置為核心的工具，接著是漏洞管理與 SBOM 平台。「未說明」表示我們引用的廠商頁面並未說明。通報接收、案件管理與資安公告發布，則在下方內文中說明，不列入表格。

韌體與裝置

漏洞管理與 SBOM 平台

CRACI

CRACI 是 GitHub Actions 執行器。您將 runs-on 改為 craci，在每個作業執行時，一個能辨識套件的代理伺服器會記錄它擷取的內容，包括從 CI 快取還原的套件，以及任何 lockfile 都未列出的相依套件。CycloneDX 或 SPDX 格式的 SBOM 會依作業與快取標示完整性狀態。CRACI 會保存每個過往建置及其 SBOM，因此當資安公告出現時，您可以在保存期限內看到哪些建置包含有漏洞的相依套件（直接或遞移），以及包含了多久。其資產清冊檢視會精確顯示全球哪些軟體版本部署在哪些產品上。

建置之後，CRACI 會持續重新評估受監控的 SBOM，讓資安團隊分級研判發現的問題，並將每一項轉交給負責修正的團隊，同時支援 VEX。政策關卡可以阻擋包含特定 CVE 的建置，對外連線政策則限制建置能連線到哪裡。您可以加入廠商 SBOM，讓外購元件與您自己的建置一起受到監控。對於遭積極利用的漏洞，CRACI 會備妥 CRA 通報的內容（早期預警、事件通報與最終報告）供您提交。在 Yocto 方面，一次core-image-sato 的並列建置所產生的 SBOM，包含 Yocto 自身 SBOM 中的每個元件，另外還有 88 個它遺漏的元件。價格僅依建置分鐘數計算：2 vCPU 每分鐘 $0.004，按秒計費，沒有月費，也不按 SBOM 收費。最適合：產品在 GitHub Actions 中建置的 PSIRT。注意：它不分析二進位檔，因此非您建置的韌體需要廠商 SBOM 或二進位分析工具；它沒有可達性分析，也沒有報告匯出；目前支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。請參閱 CRACI 與 PSIRT 團隊。

韌體與裝置平台

Cybellum

Cybellum 是為汽車、醫療與工業市場裝置製造商打造的產品資安平台，自 2021 年起由 LG Electronics 持有多數股權。其 Cyber Digital Twins 由韌體二進位檔建立，並與原始碼及 SPDX、CycloneDX 或 CPE CSV 格式的供應商 SBOM 合併。它會監控上市後的版本，以 AI 助理 VM CoPilot 進行分級研判，提供「建立與管理調查的工作台」並支援工單，且透過 VEX 與 CSAF 報告分享漏洞狀態。法規範本涵蓋 FDA PMA、ISO 21434、歐盟 CRA 以及 50 多項標準。它可在公有雲或您自己的資料中心執行。最適合：需要在單一平台中兼顧二進位分析與法規佐證資料的裝置製造商。注意：價格未公開，且它處理的是建置產物，而不是執行您的建置。CRACI vs Cybellum 與 Cybellum 替代方案

ONEKEY

ONEKEY 分析編譯後的韌體，「不需要原始碼或網路存取」。它從二進位檔產生 SBOM、匯入供應商 SBOM、尋找寫死憑證等可能的零時差漏洞，並每天重新分析韌體。其 Compliance Wizard 引導團隊逐步檢視 CRA、IEC 62443-4-2、ETSI EN 303 645 與無線電設備指令（Radio Equipment Directive）。最適合：整合大量供應商韌體的團隊。注意：它處理的是建置後的映像檔，因此不會記錄建置擷取了什麼。CRACI vs ONEKEY 與 ONEKEY 替代方案

Finite State

Finite State 分析韌體、二進位檔、原始碼與供應商 SBOM，支援 50 多種二進位指令集架構，並將它們整合成單一的出貨軟體紀錄，搭配上市後監控。它依可達性與漏洞利用情資排序發現、記錄 VEX 判定，並將控制項對應到 CRA 與 FDA 的要求。最適合：需要在眾多供應商之間排定大量發現優先順序的 PSIRT。注意：它從建置產物出發，因此控管您自己的建置能連線到哪裡不在其範圍內。CRACI vs Finite State 與 Finite State 替代方案

NetRise

NetRise Turbine 會「從軟體本身產生完整、源自二進位檔的 SBOM」，涵蓋靜態連結與嵌入的程式碼，適用於您建置、購買與執行的軟體。它匯入 SPDX 與 CycloneDX SBOM，持續檢查 NVD、CISA KEV 與威脅行為者資料，依執行路徑可達性排序發現，並回報建置產物內的機密、金鑰與錯誤設定，同時可連接 Jira 與 ServiceNow。Dragos 於 2026 年 9 月 21 日宣布已收購 NetRise。最適合：軟體來自眾多廠商的營運技術（OT）與裝置群。注意：其頁面並未描述 VEX、案件管理或資安公告發布，且價格未公開。CRACI vs NetRise 與 NetRise 替代方案

Exein

Exein 在版本發布前與裝置上都能運作。Exein Runtime 使用 eBPF 在嵌入式 Linux 上監控並阻擋惡意行為，開源的 meta-exein Yocto layer 則將其 Pulsar 代理程式放進您的映像檔。Exein Analyzer 掃描韌體，或在沒有二進位檔時掃描您的 SBOM，以可達性評分排定優先順序，並將發現對應到 CRA 要求。最適合：需要在現場提供防護的嵌入式 Linux 產品。注意：該 Yocto layer 會改變裝置上執行的內容；它不會執行或記錄您的建置。CRACI vs Exein

Timesys Vigiles

Vigiles 現由 Lynx Software Technologies 銷售，它將 Yocto、Buildroot 或 OpenWrt 建置的中繼資料轉換成 SBOM，並與精選的 CVE 資料庫比對。Kernel 與 U-Boot 設定過濾器會移除您未建置之功能中的 CVE，分級研判判定（受影響、已修正、延後、無法利用）依版本保存，CISA KEV 項目會被標示，並可匯出 SBOM、VEX 與漏洞報告。最適合：希望減少 CVE 雜訊的嵌入式 Linux 團隊。注意：其 SBOM 反映的是 BitBake 中繼資料所說會放進映像檔的內容，而不是建置擷取的所有內容。CRACI vs Timesys Vigiles

漏洞管理與 SBOM 平台

DefectDojo

DefectDojo 是 OWASP 旗艦專案，並有商業版 Pro。免費的 Community Edition 會將您已在執行的掃描工具（依其自身統計支援 500 多種工具）的發現去重複，整合成具備負責人、SLA 與 Jira 工單的單一佇列。Pro 新增 CycloneDX 與 SPDX 的 SBOM 匯入、CycloneDX VEX 匯出，以及 PSIRT Advisory Engine：從 20 多個來源接收資安公告，與 SBOM 資料比對，將它們分組為具負責人的案件，並發布具品牌識別的 PDF 資安公告。其 2026 年 9 月的版本新增了 CSAF 2.0 與 VEX 資安公告匯出，以及 CRA 第 14 條通報介面。Pro 每月 $100 起，另加每項處理的發現 $0.15。最適合：想要開源基礎與資安公告工作流程的 PSIRT。注意：它本身不產生 SBOM，因此資產清冊的完整程度取決於您上傳的內容。CRACI vs DefectDojo 與 DefectDojo 替代方案

Medcrypt

Medcrypt 協助醫療裝置製造商讓網路安全送審資料通過 FDA 審查，其團隊包括前 FDA 審查員。其 Helm 產品可透過 API、GitHub Action 或 Azure DevOps 匯入 CycloneDX 或 SPDX SBOM，持續監控，以 EPSS、CISA KEV 與漏洞利用資料排序發現，並匯出 CycloneDX VEX 與 VDR 報告。包含 Helm 的 MSI 每條產品線每年 $35,000，其 MedISAO 會員資格則附帶協同漏洞揭露計畫。最適合：正在準備或維護 FDA 送審資料的醫療裝置製造商。注意：它匯入 SBOM 而非產生 SBOM（產生工具可應要求提供），且其價格頁面表示該平台目前涵蓋的是 FDA。CRACI vs Medcrypt

Cybeats

Cybeats SBOM Studio 自稱為「SBOM 記錄系統」。它儲存來自您的產品與供應商、格式為 SPDX 2.2 至 3.0.1 與 CycloneDX 1.2 至 1.7 的 SBOM，在匯入前為其品質評分，持續將每個元件與漏洞情資比對，發布 VEX，並與客戶分享 SBOM，包括透過 Transparency Exchange API。最適合：在 ICS、醫療裝置、電信與汽車領域，跨眾多供應商推動 SBOM 計畫的產品資安團隊。注意：在 SBOM 產生方面，它引導使用者使用其 Marketplace 中的廠商，因此 SBOM 本身來自其他工具。CRACI vs Cybeats 與 Cybeats 替代方案

開源選項：Dependency-Track

OWASP Dependency-Track 是以 Apache 2.0 授權的平台，追蹤每個應用程式每個版本中的元件，從 NVD 與 GitHub Advisories 等來源擷取漏洞資料，套用資安、授權與營運政策，並能讀取與產生 CycloneDX VEX。管線透過其 API 上傳 SBOM。它是免費的，由您自行託管與營運。最適合：想要透明、自架分析平台的團隊。注意：它不產生 SBOM，因此其結果取決於您在上游執行的產生工具。CRACI vs Dependency-Track 與 Dependency-Track 替代方案

通報接收、案件與資安公告

上方表格只涵蓋到分級研判與 VEX。PSIRT 其餘的工作，也就是接收通報與通知相關人員，各工具的涵蓋程度並不一致：

• 外部研究人員的通報。這類通報通常透過漏洞揭露計畫送達。許多公司在 HackerOne Response 或 Bugcrowd 的 VDP 等平台上運作這類計畫，為研究人員提供提交通報的管道，並協助分級研判。也有公司自行公布政策與資安聯絡窗口。我們的協同漏洞揭露指南涵蓋政策、security.txt 與時程。
• 案件管理。Cybellum 提供具工單功能的調查工作台。DefectDojo Pro 將比對到的資安公告分組為具負責人與 SLA 追蹤的案件。兩者都沒有表示會代管研究人員的提交。
• 資安公告。DefectDojo Pro 發布具品牌識別的 PDF 資安公告並匯出 CSAF 2.0。Cybellum 透過 VEX 與 CSAF 報告分享漏洞狀態。Medcrypt 的 MedISAO 會員資格包含協同漏洞揭露計畫。

CRACI 的定位

每個 PSIRT 案件的第一個問題，都是哪些產品與版本包含有漏洞的元件。二進位分析從已出貨的內容回答，SBOM 平台從您提供的 SBOM 回答，彙整工具則從其他掃描工具的回報回答。CRACI 則從您自己的建置實際擷取內容的紀錄回答，並為每個過往建置保存這份紀錄。對於您在 GitHub Actions 中建置的軟體，這在單一產品中涵蓋了資產清冊、監控、分級研判與 VEX，因此這些建置不需要另外使用 Dependency-Track 或 Cybeats 等 SBOM 管理工具。

其他工具在其他方面勝出。Cybellum、ONEKEY、Finite State 或 NetRise 的二進位分析能看清您未建置的韌體內部。Cybellum 與 Medcrypt 帶來法規範本與送審專業。DefectDojo 彙整數百種掃描工具的發現並發布資安公告。Finite State、NetRise 與 Exein 依可達性排序發現，這是 CRACI 未提供的功能。請閱讀 PSIRT 做什麼與 CRACI 與 PSIRT 團隊，或比較 CRA 法規遵循工具與 SBOM 工具。

PSIRT 工具：常見問題

什麼是 PSIRT 工具？

協助產品資安事件應變小組（PSIRT）完成工作的軟體：掌握每個產品版本出貨了哪些元件、發現新漏洞何時影響它們、進行分級研判、轉交修正、記錄哪些產品未受影響，並通知客戶與主管機關。很少有產品能涵蓋全部。大多數 PSIRT 會結合資產清冊與監控工具、接收外部通報的管道，以及發布資安公告的方式。

對於以二進位檔形式取得的韌體，哪個 PSIRT 工具最好？

二進位分析工具。Cybellum、ONEKEY、Finite State 與 NetRise 直接從編譯後的韌體建立 SBOM，因此能看清您從未執行過其建置的供應商程式碼。Exein Analyzer 也會在版本發布前掃描韌體。CRACI 不分析二進位檔；對於供應商韌體，若廠商提供 SBOM，CRACI 可以監控它。

哪個 PSIRT 工具適合我們自己建置的軟體？

如果您的建置在 GitHub Actions 中執行，CRACI 會在每次建置執行時記錄 SBOM、保存每個過往建置及其 SBOM、在資安公告出現時重新評估受監控的 SBOM，並顯示哪些建置包含有漏洞的相依套件，以及哪些軟體版本部署在哪些產品上。GitLab CI 與 Jenkins 已列入其產品藍圖。對於 Yocto 映像檔，Timesys Vigiles 則是從 BitBake 中繼資料建立 SBOM，而不是記錄建置。

有免費或開源的 PSIRT 工具嗎？

這裡有兩個工具提供免費版本。DefectDojo Community Edition 以 BSD 3-Clause 授權免費提供，能將數百種掃描工具的發現去重複後整合成單一佇列；其 PSIRT Advisory Engine、SBOM 匯入與 CSAF 匯出則屬於 DefectDojo Pro。OWASP Dependency-Track 以 Apache 2.0 授權免費提供，會監控您上傳的 SBOM。兩者都需要您自行託管與營運。

PSIRT 工具會接收外部研究人員的通報嗎？

研究人員的通報通常透過漏洞揭露計畫送達，這類計畫常在 HackerOne 或 Bugcrowd 等平台上運作，或透過公開的資安聯絡窗口提交。DefectDojo Pro 會從公開來源接收資安公告，Cybellum 則提供調查用的工作台，但兩者都沒有表示會代管研究人員的提交。

哪些工具能發布 CSAF 資安公告？

DefectDojo Pro 於 2026 年 9 月新增 CSAF 2.0 與 VEX 資安公告匯出功能，並可發布具品牌識別的 PDF 資安公告。Cybellum 透過 VEX 與 CSAF 報告分享漏洞狀態。本頁其他廠商在我們引用的頁面上，並未描述 CSAF 資安公告發布功能。

CRA 是否要求使用 PSIRT 工具？

並未要求使用任何工具。Cyber Resilience Act（CRA）要求製造商在支援期間處理漏洞、維持協同漏洞揭露政策與通報聯絡窗口，並自 2026 年 9 月 11 日起，在 24 小時、72 小時與 14 天內通報遭積極利用的漏洞。CRACI 會備妥這些通報的內容，再由製造商的人員透過 Single Reporting Platform 提交；DefectDojo Pro 則有 CRA 第 14 條通報介面。義務仍由製造商承擔。