Alternativa OpenCVE
OpenCVE è una piattaforma di monitoraggio delle vulnerabilità con codice sorgente pubblicato, che installi sul tuo server o utilizzi dal suo cloud. TechWatchAlert è un servizio ospitato in Francia che parte dal tuo inventario anziché dagli abbonamenti manuali. La scelta si riduce a una domanda: vuoi gestire una piattaforma o ricevere avvisi?
Cos'è OpenCVE, esattamente
OpenCVE aggrega i dati pubblici sulle vulnerabilità e ti consente di iscriverti a fornitori e prodotti per ricevere avvisi tramite e-mail, Slack, Jira o webhook, con regole e monitoraggio delle soluzioni. Si presenta in due forme: Comunità, che installi da GitHub e Nuvola, gestito dal venditore. La versione 2 è una riscrittura completa del progetto.
È uno strumento serio, vicino al nostro nel modello di abbonamento fornitore/prodotto. Non lo presentiamo come un concorrente debole, perché non lo è.
“Open source”: la sfumatura della licenza che conta
Un punto spesso frainteso: OpenCVE non è open source nel senso classico. Il suo codice è pubblicato sotto il Licenza sorgente Business 1.1, un cosiddetto disponibile in sorgentelicenza. Fino allo switch-in programmato 2030 ad Apache 2.0, vieta in particolare l'utilizzo del codice per gestire un servizio di monitoraggio e avviso di sicurezza commerciale.
In pratica: puoi leggere il codice e ospitarlo autonomamente per uso personale. Non puoi rivenderlo come servizio ai tuoi clienti. Se sei un'agenzia o un fornitore di servizi gestiti, leggi la licenza prima di creare un servizio su di essa.
Le vere differenze
| Criterio | TechWatchAlert | OpenCVE |
|---|---|---|
| Ospitato (niente da operare) | Sì | Cloud gestito o self-hosting |
| Ospitare autonomamente il codice | No (servizio ospitato) | Sì, con la licenza BSL 1.1 |
| Licenza del codice | Proprietario | Disponibile dal codice sorgente (passa ad Apache 2.0 nel 2030) |
| Targeting per stack (CPE, SBOM) | Sì | Abbonamento manuale al fornitore/prodotto |
| Monitoraggio della fine del ciclo di vita (EOL). | Sì | No |
| Priorità KEV + EPSS nell'avviso | Sì | Dati disponibili, il triage dipende da te |
| E-mail, Slack, avvisi webhook | Sì | Sì |
| API REST | Sì | Sì |
| Interfaccia in francese | Francese e inglese | Inglese |
| Piano Free | Sì | Sì (cloud, livello gratuito) |
| Hosting dei dati | Francia | Presso la tua sede o nel cloud del fornitore |
In breve: OpenCVE vince sull'accesso al codice e sul controllo sull'hosting. TechWatchAlert vince in termini di tempi di configurazione, targeting automatico, monitoraggio della fine del ciclo di vita e lingua.
Cosa OpenCVE fa meglio di noi
Puoi leggere il codice ed eseguirlo sulla tua infrastruttura. Questa è una garanzia che non possiamo offrire. Se la tua politica interna richiede che i dati di inventario rimangano all'interno della tua rete, OpenCVE la soddisfa e noi no.
Il progetto è più vecchio e maturo nel suo ambito. La sua gestione degli abbonamenti a fornitori/prodotti è comprovata e la sua comunità pubblica feedback che non abbiamo ancora accumulato.
Il costo di ingresso può rimanere pari a zero per sempre. Self-hosted, senza costi di licenza, OpenCVE ti costa solo l'infrastruttura e il tempo operativo. Per un team che già gestisce una piattaforma Docker e una rotazione di guardia, questo è un vero argomento.
Cosa facciamo di diverso
L'ambito viene dedotto, non digitato. Con OpenCVE ti abboni prodotto per prodotto. TechWatchAlert parte dal tuo stack dichiarato, inserito a mano, importato da un file SBOM (Distinta materiali del software, l'inventario dei tuoi componenti) o rilevati da un URL pubblico. Solo CVEs che interessa tuo poi arrivano le versioni, con una soglia di gravità per componente.
La fine del supporto viene considerata un rischio. Una versione di fine vita non riceverà mai un'altra patch: è una vulnerabilità permanente. Colleghiamo i tuoi prodotti alle date di fine del supporto e ti avvisiamo prima della scadenza. OpenCVE non evidenzia questa funzionalità.
Nove feed di vulnerabilità vengono sottoposti a controllo incrociato: Elenco CVE, NVD, KEV, EPSS, prove di concetto pubblicate, avvisi GitHub, OSV, CERT-FR e EUVD. Il controllo incrociato regge quando uno di loro resta indietro. Per i dettagli, vedere fonti di dati. Due ritardi da non confondere: la sincronizzazione, che rilegge i feed, quindi l'elaborazione, che impiega meno di 30 secondi dalla lettura dell'CVE all'invio della notifica.
Tutto è in francese, incluso supporto e bollettini. L'interfaccia è disponibile anche in inglese.
A chi è rivolto, in pratica
Sviluppatore freelance, quattro stack di client. Basta il piano gratuito: 3 elementi di stack, 1 webhook di avvisi, 1 applicazione SBOM, qualche avviso al mese, notifiche via email. Quello che evita: scoprire una falla critica in un progetto consegnato sei mesi prima. OpenCVE self-hosted richiederebbe un server e la sua manutenzione per lo stesso risultato.
Agenzia di otto persone. La condivisione Team apre un canale Slack condiviso: ognuno raccoglie le segnalazioni che lo riguardano e il tracciamento dei casi ne conserva la traccia. Una vera limitazione: l'API è di sola lettura a questo livello di piano.
Team di sicurezza presso un'azienda di medie dimensioni. Se il requisito è "niente lascia la rete", scegli OpenCVE. Se il requisito è "non abbiamo nessuno che esegua un'altra piattaforma", scegli il servizio in hosting e collega l'API al tuo strumento di monitoraggio.
Metodo e data di verifica
Fatti verificati sulle pagine pubbliche dei fornitori, senza accesso privilegiato o test nel mondo reale del loro prodotto. Le informazioni sulla licenza provengono dal file LICENSE nel repository OpenCVE; le funzionalità provengono dalla sua documentazione e dal blog. Hai notato un errore o un cambiamento nell'offerta? Segnalatelo tramite il ns pagina dei contatti: correggiamo la riga e risiamo la pagina.