OpenCVE-alternatief
OpenCVE is een kwetsbaarheidsmonitoringplatform met gepubliceerde broncode, dat u op uw eigen server installeert of vanuit de cloud gebruikt. TechWatchAlert is een service die wordt gehost in Frankrijk en die vertrekt van uw inventaris in plaats van handmatige abonnementen. De keuze komt neer op één vraag: wil je een platform exploiteren of alerts ontvangen?
Wat OpenCVE precies is
OpenCVE verzamelt gegevens over openbare kwetsbaarheden en stelt u in staat zich te abonneren op leveranciers en producten om waarschuwingen te ontvangen per e-mail, Slack, Jira of webhook, met regels en het volgen van herstelmaatregelen. Het komt in twee vormen: Gemeenschap, die u installeert vanaf GitHub, en Wolk, beheerd door de verkoper. Versie 2 is een volledige herschrijving van het project.
Het is een serieuze tool, die dicht bij de onze ligt qua leveranciers-/productabonnementsmodel. Wij presenteren het niet als een zwakke concurrent, want dat is het niet.
“Open source”: de licentienuance die er toe doet
Een vaak verkeerd begrepen punt: OpenCVE is geen open source in de klassieke zin van het woord. De code wordt gepubliceerd onder de Business-bronlicentie 1.1, een zogenaamde bron beschikbaarlicentie. Tot een geplande overstap 2030 ten opzichte van Apache 2.0 verbiedt het met name het gebruik van de code voor het exploiteren van een commerciële beveiligingsmonitoring- en waarschuwingsdienst.
In de praktijk: u kunt de code lezen en deze zelf hosten voor eigen gebruik. U kunt het niet als service aan uw klanten verkopen. Als u een bureau of een beheerde serviceprovider bent, lees dan de licentie voordat u er een dienst op bouwt.
De echte verschillen
| Criterium | TechWatchAlert | OpenCVE |
|---|---|---|
| Gehost (niets te bedienen) | Ja | Beheerde cloud of zelfhosting |
| De code zelf hosten | Nee (gehoste service) | Ja, onder de BSL 1.1-licentie |
| Code-licentie | Eigendom | Bron beschikbaar (schakelt over naar Apache 2.0 in 2030) |
| Stapeltargeting (CPE, SBOM) | Ja | Handmatig leverancier-/productabonnement |
| Tracking van het einde van de levensduur (EOL). | Ja | Nee |
| KEV + EPSS-prioriteit in de waarschuwing | Ja | Gegevens beschikbaar, triage aan u |
| E-mail, Slack, webhookwaarschuwingen | Ja | Ja |
| REST API | Ja | Ja |
| Interface in het Frans | Frans en Engels | English |
| Free-abonnement | Ja | Ja (cloud, gratis laag) |
| Datahosting | Frankrijk | Op uw locatie of in de cloud van de leverancier |
Kortom: OpenCVE wint bij toegang tot de code en controle over hosting. TechWatchAlert wint op het gebied van insteltijd, automatische targeting, tracking van einde levensduur en taal.
Wat OpenCVE beter doet dan wij
U kunt de code lezen en op uw eigen infrastructuur uitvoeren. Dat is een garantie die wij niet kunnen bieden. Als uw interne beleid vereist dat inventarisgegevens binnen uw netwerk blijven, voldoet OpenCVE hieraan en wij niet.
Het project is ouder en volwassen binnen de reikwijdte ervan. Het beheer van leveranciers-/productabonnementen is bewezen en de community publiceert feedback die we nog niet hebben verzameld.
De instapkosten kunnen voorgoed op nul blijven. Zelf gehost, zonder licentiekosten, kost OpenCVE u alleen infrastructuur en bedrijfstijd. Voor een team dat al een Docker-platform en een rotatie op afroep draait, is dat een echt argument.
Wat wij anders doen
Het bereik wordt afgeleid, niet getypt. Met OpenCVE abonneert u zich per product. TechWatchAlert begint vanaf uw aangegeven stapel, handmatig ingevoerd, geïmporteerd uit een SBOM (Softwarestuklijst, de inventaris van uw componenten) of gedetecteerd vanaf een openbare URL. Alleen CVEs die invloed heeft jouw versies komen dan door, met een ernstdrempel per component.
Het einde van de ondersteuning wordt gezien als een risico. Een end-of-life versie krijgt nooit meer een patch: het is een permanente kwetsbaarheid. We koppelen uw producten aan de datums waarop de ondersteuning eindigt en waarschuwen u vóór de deadline. OpenCVE benadrukt deze functie niet.
Negen kwetsbaarheidsfeeds worden aan een kruiscontrole onderworpen: CVE Lijst, NVD, KEV, EPSS, gepubliceerde proofs of concept, GitHub-adviezen, OSV, CERT-FR en EUVD. De kruiscontrole houdt stand als een van hen achterop raakt. Voor details, zie gegevensbronnen. Twee vertragingen die niet moeten worden verward: synchronisatie, waarbij de feeds opnieuw worden gelezen, en vervolgens verwerking, wat minder dan 30 seconden duurt vanaf het lezen van de CVE tot het verzenden van de melding.
Alles is in het Frans, inclusief ondersteuning en bulletins. De interface is ook beschikbaar in het Engels.
Voor wie is het bedoeld, in de praktijk
Freelance ontwikkelaar, vier clientstacks. Het gratis abonnement is voldoende: 3 componenten in de stack, 1 alertwebhook, 1 SBOM-applicatie, een paar waarschuwingen per maand en e-mailmeldingen. Wat het voorkomt: het ontdekken van een kritieke fout in een project dat zes maanden eerder is opgeleverd. Zelf-gehoste OpenCVE zou voor hetzelfde resultaat een server en het onderhoud ervan vereisen.
Agentschap van acht personen. Het delen van Team opent een gedeeld Slack-kanaal: iedereen pikt de waarschuwingen op die hen aanbelangen, en het volgen van cases houdt de gegevens bij. Een echte beperking: de API is op dit planniveau alleen-lezen.
Beveiligingsteam bij een middelgroot bedrijf. Als de vereiste is dat “niets het netwerk verlaat”, kies dan voor OpenCVE. Als de vereiste is “we hebben niemand om nog een ander platform te runnen”, kies dan de gehoste service en sluit de API aan op uw monitoringtool.
Methode en verificatiedatum
Feiten gecontroleerd op de openbare pagina's van de leveranciers, zonder bevoorrechte toegang of het in de praktijk testen van hun product. Licentie-informatie is afkomstig uit het LICENSE-bestand in de OpenCVE-repository; functies komen uit de documentatie en blog. Heeft u een fout of een wijziging in het aanbod opgemerkt? Meld het via onze contactpagina: we corrigeren de rij en herdateren de pagina.