Die 13 besten Open-Source-SIEM-Tools

Es gibt kein einzelnes Open-Source-Tool, das ein vollständiges, produktionsreifes SIEM-System sofort einsatzbereit bietet. Jede Option birgt einen Kompromiss: Entweder erhält man ein speziell entwickeltes SIEM-System mit Lücken in der Analysefunktion oder einen leistungsstarken Protokollierungs- und Analyse-Stack, bei dem die Sicherheitserkennung manuell integriert werden muss.

Hier finden Sie kostenlose Open-Source-Tools aus dem Umfeld von SIEM, mit denen Sie Ihre eigene Lösung von Grund auf entwickeln können:

Open-Source-SIEM-Tools

Diese Tools speichern Protokolle typischerweise in Elasticsearch- Indizes für einen konfigurierbaren Aufbewahrungszeitraum, basierend auf Speicher- und Datenrichtlinien. Für die Langzeitspeicherung können zusätzliche Archivierungsverfahren oder Integrationen erforderlich sein.

SIEM-Funktionen

*❌: Erfordert die Integration von Drittanbieter-Agenten (z. B. Elastic Agent).

SIEM-Plattformen benötigen präzise Endpunktdaten. Erfahren Sie, wie Endpunktmanagement-Software die Erkennung und Reaktion verbessert, indem sie die ordnungsgemäße Verwaltung und Sicherheit der Geräte gewährleistet.

Zwei Arten von Open-Source-Tools

SIEM-basierte Tools bieten die meisten Kernfunktionen nativ: Logkorrelation, Alarmierung, Visualisierung und einige Compliance-Berichte. Sie sind vordefinierter und einfacher zu implementieren. Wazuh und SecurityOnion gehören in diese Kategorie.

Logging- und Analyseplattformen sind leistungsstarke Werkzeuge für die Dateninfrastruktur und eignen sich hervorragend zum Sammeln, Speichern und Visualisieren von Protokollen . Sie verfügen jedoch nicht über integrierte Sicherheitserkennungslogik. Man kann sie sich als Grundlage für ein SIEM-System vorstellen. Beispiele hierfür sind der ELK Stack, OpenSearch und Graylog Open.

Kommerzielle Alternativen

Open-Source-SIEM-Tools verfügen häufig nicht über die intuitiven Regelerstellungsschnittstellen kommerzieller Tools. Darüber hinaus sind ihre Korrelationsfunktionen grundlegender und bieten meist nicht die standardmäßigen Funktionen wie:

• Vorgefertigte Dashboards für die Protokollverwaltung
• Compliance-Berichte (z. B. PCI-DSS, HIPAA)
• Integrationen mit anderen Unternehmenstools, wie Firewalls und Endpoint-Protection-Systemen,

Kommerzielle SIEM-Tools bieten grundlegende SIEM-Funktionen, darunter:

• Ereigniskorrelation, Protokollanalyse
• Fähigkeit zur Risikobewertung
• Bereitstellung von Handlungsempfehlungen auf Basis von Risikobewertungen
• Langzeitbindung bis zu 12 Monate
• Verhaltensanalyse von Nutzern und Entitäten mit vorgefertigten Modellen für maschinelles Lernen

Kommerzielle SIEM-Tools bieten zudem verschiedene Orchestrierungs- und Reaktionsfunktionen sowie Möglichkeiten zur Automatisierung von SOC-Aufgaben. Einige SIEM-Anbieter haben SOAR-Funktionen integriert, um schneller reagieren zu können. Dies ist typisch, da immer mehr Sicherheitstools zusätzliche Automatisierungsfunktionen bieten, um die Benutzerfreundlichkeit und Produktivität zu steigern. In manchen Fällen fallen diese Produkte dadurch in die SOAR-Kategorie .

Open-Source-SIEM-Tools erklärt

Wazuh

Wazuh ist das derzeit umfassendste Open-Source-SIEM-System. Es wird als vollständige Plattform mit vier Komponenten ausgeliefert: einem Indexer (basierend auf OpenSearch, speichert und indiziert Warnmeldungen), einem Server (die Kern-Engine sammelt Protokolle von Agenten, analysiert Ereignisse und identifiziert Indikatoren für eine Kompromittierung), einem Dashboard (Web-UI zur Visualisierung von Ereignissen und Bedrohungen) und einem Agenten (läuft auf Endpunkten und leitet Ereignisse an den Server weiter).

Es bietet native Sicherheitslog-Analyse, Schwachstellenerkennung, Bewertung der Sicherheitskonfiguration und Berichterstattung zur Einhaltung gesetzlicher Vorschriften sowie Alarmierung und ereignisbasierte Berichterstattung ohne nennenswerte Integration von Drittanbietern.

Siehe Wazuhs Konzept:

Graylog

Graylog zentralisiert Protokolle und bietet Benachrichtigungen und Dashboards über eine benutzerfreundliche Oberfläche. Wichtig zu wissen ist, dass Graylog unter der Server Side Public License (SSPL) lizenziert ist. Diese ist keine OSI-konforme Open-Source-Lizenz, sondern lässt sich genauer als Open-Core- oder quellcodeverfügbar beschreiben.

Die kostenlose Version umfasst grundlegende Log-Aggregation und Alarmierung. Funktionen, die für SIEM-Systeme relevanter sind, wie Log-Suchfilterung, Log-Archivierung, Anomalieerkennung, vordefinierte Visualisierungen und Compliance-Berichte, sind in der kostenpflichtigen Graylog Security-Version enthalten. Mit Graylog 7.0 wurde ein experimenteller MCP-Endpunkt (Model Context Protocol) eingeführt, der es LLM-Clients ermöglicht, sich direkt mit einer Graylog-Instanz zu verbinden und Live-Abfragen über einfache englische Eingabeaufforderungen durchzuführen.

OSSEC

OSSEC ist ein Open-Source-Host-Intrusion-Detection-System (HIDS). Es sammelt und analysiert Protokolldaten und bietet einige SIEM-ähnliche Funktionen, jedoch fehlen ihm die von einem vollständigen SIEM erwarteten Komponenten für Protokollverwaltung und -analyse. Es wurde weitgehend von Wazuh abgelöst, das auf OSSEC basiert und weiterhin aktiv weiterentwickelt wird.

Komponenten:

• Manager: Sammelt Protokolle aus Datenquellen.
• Agenten: Protokolle sammeln und verarbeiten.

OpenSearch als SIEM-Lösung: OSSEC bietet grundlegende SIEM-Funktionen: Es sammelt und analysiert Daten; allerdings fehlen ihm einige der erforderlichen grundlegenden Komponenten für die Protokollverwaltung und -analyse.

SecurityOnion

SecurityOnion fungiert als SIEM- und Intrusion-Detection-System (IDS). Es integriert andere Open-Source-Tools wie Snort, Suricata und Wazuh, um umfassende Überwachungs- und Erkennungsfunktionen für netzwerk- und hostbasierte Angriffe zu bieten.

SecurityOnion beinhaltet nützliche Tools für die detaillierte Analyse, wie beispielsweise Wireshark für die Netzwerkverkehrsanalyse und Network Miner für die Paketerfassung und Netzwerkforensik.

SecurityOnion als SIEM-Lösung:

• Hostbasierte und netzwerkbasierte IDS : Überwacht und erkennt verdächtige Aktivitäten auf Hosts und in Netzwerken.
• Vollständige Paketerfassung (FPC) : Erfasst den Netzwerkverkehr mit netsniff-ng, um Datenexfiltration, Malware, Phishing und andere Angriffe zu erkennen.
• Bedrohungserkennung : Nutzt SGUIL in SecurityOnion, um schädliche Aktivitäten zu erkennen, einschließlich fehlgeschlagener Anmeldeversuche an Firewalls und Domänencontrollern, wodurch Transparenz und Erkenntnisse verbessert werden.

AlienVault OSSIM

OSSIM ist die Open-Source-Version der Unified Security Management-Plattform von AlienVault. Ihre besondere Stärke liegt in der Integration von OpenVAS, einem Open-Source-Schwachstellenscanner. Dadurch kann OSSIM IDS-Warnmeldungen von Snort und Suricata mit den Ergebnissen von Schwachstellenscans korrelieren – eine äußerst nützliche Funktion.

AlienVault OSSIM als SIEM-Lösung: Eine wesentliche Stärke von OSSIM ist die Integration von OpenVAS (einem Open-Source-Schwachstellenscanner). Dadurch kann OSSIM IDS-Protokolle (von Tools wie Snort und Suricata) mit den Ergebnissen des Schwachstellenscanners korrelieren.

OSSIM bietet:

• Erfassung und Verarbeitung von Ereignissen.
• Korrelation von Sicherheitsdaten aus mehreren Quellen.
• Schwachstellenanalyse mit OpenVAS-Integration.
• Benachrichtigungen basierend auf Sicherheitsereignissen.

Fehlende Schlüsselfunktionen :

Die Open-Source-Version von OSSIM bietet nicht alle SIEM-Funktionen der kommerziellen Version, wie zum Beispiel:

• Berichterstattung
• Echtzeit-Ereignisreaktions- oder Alarmierungskonsole
• Fähigkeit zum Taggen und Trennen von Protokollen

ELK-Stack

Der ELK-Stack ist eine Infrastruktur für die Speicherung, Verarbeitung und Visualisierung von Protokollen. Er ist kein SIEM-System, sondern die Plattform, auf der Sie SIEM-ähnliche Funktionen entwickeln können. Erkennungsregeln, Korrelationslogik und Alarmierung können Sie selbst erstellen. Der Stack ist nicht mehr vollständig Open Source; eine kostenlose Version ist weiterhin unter der proprietären Lizenz von Elastic verfügbar.

Komponenten: Elasticsearch (Speicherung und Indizierung), Logstash (Logaggregation und -normalisierung), Kibana (Visualisierung) und Beats (schlanke Log-Shipper). Was für den SIEM-Einsatz fehlt: keine integrierte Korrelations-Engine in der kostenlosen Version (das Open-Source-Tool Elastalert schließt diese Lücke teilweise), keine integrierten Sicherheitsregeln und keine nativen Alarmierungs- oder Berichtsfunktionen.

ELK Stack als SIEM-Lösung: ELK Stack bietet Log-Aggregation, -Verarbeitung und -Visualisierung; es handelt sich jedoch nicht um ein vollständiges SIEM-System.

• Fehlende Schlüsselfunktionen :
  • Korrelations-Engine: Die kostenlose Version von ELK Stack verfügt über keine integrierte Korrelationsfunktion. Es gibt jedoch Open-Source-Alternativen wie Yelp/Elastalert, die für Korrelationsanalysen genutzt werden können.
  • Integrierte Berichts- oder Alarmierungsfunktionen : Dies ist ein erheblicher Nachteil für den Einsatz von SIEM-Systemen und den allgemeinen IT-Betrieb.
  • Integrierte Sicherheitsregeln : Dies erhöht den Ressourcen- und Betriebsaufwand des Stacks.

Fluentd

Fluentd ist ein Log-Collector und -Forwarder, kein SIEM-System. Es sammelt Logs aus verschiedenen Quellen und leitet sie zur Verarbeitung an andere Systeme weiter. Es lässt sich nahtlos in OpenSearch, Splunk und Fluentd integrieren, bietet jedoch keine Bedrohungserkennung, Korrelation oder Alarmierung und verfügt über keine Speicherschicht.

Fluentd als SIEM-Lösung

• Protokollerfassung und -weiterleitung : Fluentd ist hocheffizient beim Sammeln von Protokollen aus verschiedenen Quellen und deren Weiterleitung an SIEM-Plattformen zur weiteren Analyse.
• Integration : Fluentd integriert sich nahtlos mit gängigen Tools wie Elasticsearch, Splunk und Snowflake als essentielle Komponente für die Protokollerfassung.
• Echtzeit-Datenverarbeitung : Fluentd verarbeitet Protokolle in Echtzeit und ermöglicht so die sofortige Weiterleitung von Protokolldaten.

Fehlende Schlüsselfunktionen :

• Bedrohungserkennung : Fluentd führt keine Bedrohungserkennung oder -analyse durch, eine Kernfunktion von SIEM-Systemen.
• Log-Korrelation : Sie kann keine Ereignisse aus verschiedenen Datenquellen korrelieren, um komplexe Sicherheitsvorfälle zu identifizieren.
• Alarmierung und Berichtswesen : Fluentd verfügt nicht über die in SIEM-Lösungen üblicherweise vorhandenen integrierten Alarmierungs- oder Berichtsfunktionen.
• Langzeit-Datenspeicherung : Fluentd bietet keine Speicherlösungen für Protokolle an; die Daten werden einfach an externe Systeme weitergeleitet.

OpenSearch

OpenSearch, 2021 als Fork von Elasticsearch und Kibana ins Leben gerufen, ist ein von AWS geleitetes Open-Source-Softwareprojekt. Es umfasst OpenSearch (die Datenbank) und OpenSearch Dashboards (zur Visualisierung und Analyse).

OpenSearch als SIEM-Lösung: OpenSearch ist zwar kein vollständiges SIEM-System, kann aber von Unternehmen zur Speicherung und Analyse von Sicherheitsdaten eingesetzt werden. Wie beim ELK-Stack müssen jedoch zentrale SIEM-Funktionen wie Sicherheitserkennung und -analyse manuell implementiert werden.

Suricata

Suricata ist ein System zur Erkennung und Abwehr von Netzwerkangriffen (IDS/IPS), das eine detaillierte Paketprüfung und Netzwerküberwachung ermöglicht. Suricata ist keine vollständige SIEM-Lösung.

Suricata integriert sich in den Elastic Stack für SIEM, indem es Elasticsearch zum Speichern und Abfragen von Protokollen, Filebeat zum Weiterleiten von Daten und Kibana zur Visualisierung und Analyse von Netzwerksicherheitsereignissen nutzt. Diese Konfiguration unterstützt Unternehmen bei der proaktiven Überwachung und Reaktion auf Sicherheitsbedrohungen in Echtzeit.

Suricata als SIEM-Lösung:

• Hauptfunktion : Suricata analysiert den Netzwerkverkehr auf Angriffe (ähnlich wie Snort), einschließlich protokollspezifischer Analysen (z. B. HTTP, DNS, SSH) und Erkennung auf Anwendungsebene.
• Alarmierung : Suricata generiert Echtzeit-Warnmeldungen auf Basis erkannter Anomalien oder Bedrohungen, die zur weiteren Verarbeitung an SIEM-Plattformen weitergeleitet werden können.
• Stärken : Bietet detailliertere Einblicke in die Anwendungsschicht, wie z. B. die Erkennung von HTTP- und SSH-Datenverkehr.

Schnauben

Snort ist ein weit verbreitetes Netzwerk-Intrusion-Detection-System (SIEM) mit Fokus auf netzwerkbasierte Angriffe wie DDoS, Stealth-Port-Scans und OS-Fingerprinting. Wie Suricata ist es kein vollständiges SIEM-System. Es generiert Warnmeldungen zur Weiterverarbeitung und lässt sich zur Korrelation mit Logstash, Splunk und anderen Diensten integrieren. Als eigenständiges Tool bietet es jedoch keine Log-Normalisierung, zentrale Speicherung oder Incident-Response-Funktionen.

Snort als SIEM-Lösung:

• Die Hauptfunktion : Erkennung netzwerkbasierter Angriffe wie DDoS, heimliche Portscans und OS-Fingerprinting.
• Alarmierung : Snort generiert Warnmeldungen auf Basis erkannter Bedrohungen und sendet diese an Syslog oder andere Protokollierungssysteme, die dann von einer SIEM-Plattform verarbeitet und analysiert werden können.
• Integration : Snort kann mit anderen SIEM-Tools wie Elasticsearch, Logstash oder Splunk integriert werden, um eine verbesserte Korrelation und Analyse von Netzwerksicherheitsereignissen zu ermöglichen.
• Einschränkungen : Als eigenständige Lösung mangelt es Snort an wesentlichen SIEM-Funktionen wie Log-Normalisierung, zentralisierter Speicherung und umfassendem Incident-Response-Management. Es konzentriert sich ausschließlich auf die Erkennung von Netzwerkangriffen.

Zabbix

Zabbix ist ein Netzwerk- und Infrastrukturüberwachungstool, kein SIEM-System. Es kann Protokolle von Windows- und Linux-Systemen analysieren und eignet sich zur Erfassung historischer Leistungsdaten. Einige Unternehmen setzen es parallel zu einem SIEM-System ein: Zabbix überwacht den Zustand der Infrastruktur und sendet Warnmeldungen über Webhooks, während das SIEM-System die Protokollkorrelation und Sicherheitsanalyse übernimmt.

Nagios

Nagios überwacht den Status von Hosts, Diensten und Netzwerken und verfolgt Netzwerkdienste (SMTP, HTTP, PING) sowie Hostressourcen (CPU, Festplatte). Benutzerdefinierte Überwachungs-Plugins werden unterstützt. Die Log-Server-Engine erfasst Daten in Echtzeit, speist eine Suchoberfläche und übernimmt die automatische Logrotation und -archivierung. Nagios ist nicht für die Korrelation von Sicherheitsereignissen oder die Bedrohungserkennung ausgelegt.

Hauptmerkmale:

• Überwachung:
  • Überwacht Netzwerkdienste (z. B. SMTP, HTTP, PING) und Host-Ressourcen (z. B. CPU- und Festplattennutzung).
  • Benutzererstellte Dienstüberwachung über Plugins.
• Protokollverwaltung:
  • Automatisierte Protokollrotation und Archivierung.
  • Filtert Protokolldaten nach geografischer Herkunft.
  • Online-Schnittstelle zur Anzeige des Netzwerkstatus und der Protokolle.

FAQs

Weitere Details:

• Top 10+ SIEM-Systeme: So wählen Sie die beste Lösung
• Top 10+ SOAR-Software- und Open-Source-Alternativen

Referenzlinks

1.

Graylog Pricing

Graylog

Cem Dilmegani

Leitender Analyst

Folgen auf

Cem ist seit 2017 leitender Analyst bei AIMultiple. AIMultiple informiert monatlich Hunderttausende von Unternehmen (laut similarWeb), darunter 55 % der Fortune 500. Cems Arbeit wurde von führenden globalen Publikationen wie Business Insider, Forbes und der Washington Post, von globalen Unternehmen wie Deloitte und HPE sowie von NGOs wie dem Weltwirtschaftsforum und supranationalen Organisationen wie der Europäischen Kommission zitiert. Weitere namhafte Unternehmen und Ressourcen, die AIMultiple referenziert haben, finden Sie hier. Im Laufe seiner Karriere war Cem als Technologieberater, Technologieeinkäufer und Technologieunternehmer tätig. Über ein Jahrzehnt lang beriet er Unternehmen bei McKinsey & Company und Altman Solon in ihren Technologieentscheidungen. Er veröffentlichte außerdem einen McKinsey-Bericht zur Digitalisierung. Bei einem Telekommunikationsunternehmen leitete er die Technologiestrategie und -beschaffung und berichtete direkt an den CEO. Darüber hinaus verantwortete er das kommerzielle Wachstum des Deep-Tech-Unternehmens Hypatos, das innerhalb von zwei Jahren von null auf einen siebenstelligen jährlichen wiederkehrenden Umsatz und eine neunstellige Unternehmensbewertung kam. Cems Arbeit bei Hypatos wurde von führenden Technologiepublikationen wie TechCrunch und Business Insider gewürdigt. Er ist ein gefragter Redner auf internationalen Technologiekonferenzen. Cem absolvierte sein Studium der Informatik an der Bogazici-Universität und besitzt einen MBA der Columbia Business School.

Vollständiges Profil anzeigen

Seien Sie der Erste, der kommentiert

Ihre E-Mail-Adresse wird nicht veröffentlicht. Alle Felder sind erforderlich.

Name

E-Mail-Adresse

Kommentar

0/450

Kommentar posten