I 6 migliori strumenti open source per l'analisi dei log: Wazuh, Graylog e altro

In qualità di CISO in un settore altamente regolamentato con circa 2 decenni di esperienza nella sicurezza informatica, ho lavorato con diverse piattaforme di analisi dei log simili a SIEM. Da queste, ho selezionato i 6 migliori strumenti open source per l'analisi dei log. Nella valutazione di questi strumenti, mi sono concentrato su fattori chiave come la flessibilità nella raccolta dei log, il rilevamento degli eventi in tempo reale, la scalabilità e il supporto per vari formati di log.

Funzionalità di gestione e rilevamento dei log

Funzionalità di integrità e non ripudio

Prezzi degli strumenti di analisi dei log

Wazuh

Wazuh è un SIEM open source che va oltre la maggior parte degli strumenti in questa categoria. Combina monitoraggio dei log, sicurezza degli endpoint, monitoraggio dell'integrità dei file, rilevamento delle vulnerabilità e rilevamento degli eventi di sicurezza in tempo reale in un'unica piattaforma basata su agenti.

Come funziona la gestione dei log in Wazuh

Un agente endpoint distribuito su ciascun sistema monitorato raccoglie i log localmente e li inoltra al server di gestione Wazuh per l'elaborazione e l'analisi. L'agente gestisce la raccolta dei log, il monitoraggio dell'integrità e la risposta attiva localmente; non è solo un semplice inoltro. Wazuh si integra nativamente con l'Elastic Stack, utilizzando Elasticsearch per l'archiviazione e la ricerca dei log, e Kibana (tramite il plugin Wazuh) per dashboard e indagini.

Il motore di regole viene eseguito sul manager e valuta gli eventi di log in arrivo rispetto a un set di regole che include regole predefinite, benchmark CIS, mappature MITRE ATT&CK e qualsiasi regola personalizzata scritta dall'utente. Quando una regola viene attivata, Wazuh genera un avviso e, se è configurata una risposta attiva, può intraprendere un'azione automatizzata sull'endpoint: bloccare un IP, terminare un processo o mettere in quarantena un file.

Opzioni di hosting:

• Self-hosted: La piattaforma è gratuita da scaricare e utilizzare. Il supporto annuale opzionale ha un prezzo basato sul numero di endpoint monitorati (server, workstation e dispositivi di rete). In questo modello, l'organizzazione è responsabile della gestione dell'hardware e delle risorse.
• Cloud-hosted: Il provider di hosting gestisce il server Wazuh e l'Elastic Stack; è sufficiente distribuire gli agenti. Il prezzo dipende dai dati indicizzati (precedentemente chiamati hot storage) e dal periodo di conservazione scelto.

Caratteristiche distintive:

• Raccolta flessibile dei log: Wazuh acquisisce log da Windows Event Viewer, messaggi di sistema Linux, log applicativi in formato JSON e un'ampia gamma di tipi di origine senza la necessità di plugin aggiuntivi. La copertura predefinita è più ampia rispetto a Graylog o Logstash, che richiedono una maggiore configurazione per raggiungere la stessa ampiezza.
• Mappatura MITRE ATT&CK: Le regole sono mappate alle tecniche MITRE ATT&CK per impostazione predefinita, quindi gli avvisi indicano non solo cosa è successo ma anche in quale punto della catena di attacco si inserisce. Questo è importante per il triage; è possibile distinguere tra un errore di autenticazione rumoroso e un tentativo di credential stuffing senza dover scrivere regole di correlazione personalizzate.
• Integrazioni di terze parti: Integrazioni native con Office 365, AWS, GCP, Azure e Rapid7. Una libreria Python integrata supporta integrazioni personalizzate senza la configurazione dei plugin richiesta da Syslog-ng o Fluentd.
• API e risposta attiva: Un'API RESTful copre query sui log, gestione delle regole e dei decoder, query sugli avvisi e interazioni con gli agenti. La funzionalità di risposta attiva esegue script sull'endpoint monitorato al momento dell'avviso, bloccando indirizzi IP, terminando processi e isolando gli host. Questo non è disponibile nell'Elastic Stack senza strumenti aggiuntivi.

Graylog

Graylog è una piattaforma di gestione dei log con un nucleo a codice sorgente disponibile (Graylog Open) ed edizioni a pagamento che si estendono alle operazioni di sicurezza. Questa distinzione è più importante di quanto la maggior parte delle descrizioni dei fornitori lasci intendere: Graylog Open offre raccolta dei log, ricerca, pipeline di elaborazione, dashboard e avvisi basati su stream, che sono sufficienti per i casi d'uso operativi. Le regole Sigma, l'allineamento MITRE ATT&CK, UEBA, il rilevamento delle anomalie e la gestione dei casi sono funzionalità a pagamento di Graylog Security ed Enterprise. Se il tuo caso d'uso principale sono le operazioni di sicurezza piuttosto che il monitoraggio dell'infrastruttura, tienilo in considerazione nel calcolo dei costi.

Come funziona Graylog

Graylog riceve i dati di log tramite ingressi GELF (Graylog Extended Log Format), syslog, Beats o HTTP, li archivia in Elasticsearch o OpenSearch (tramite il Graylog Data Node) e li rende ricercabili tramite un'interfaccia web. Il sistema di stream è fondamentale per il funzionamento di Graylog: i messaggi in arrivo vengono instradati a stream in base a regole, e avvisi, pipeline e controlli di accesso sono tutti collegati agli stream piuttosto che al livello di archiviazione. Ciò significa che è possibile avere uno stream per gli errori applicativi instradato a un team e uno stream separato per gli eventi di autenticazione instradato alla sicurezza, con criteri di conservazione e autorizzazioni diversi su ciascuno.

Le pipeline di elaborazione consentono di analizzare, arricchire, scartare o riscrivere i messaggi prima dell'archiviazione. Se i log dell'applicazione arrivano come testo non strutturato, è possibile scrivere una regola di pipeline per estrarre i campi in dati strutturati. Graylog Illuminate (incluso nelle edizioni a pagamento, disponibile per Open con limitazioni) fornisce parser e dashboard predefiniti per origini comuni: Windows Event Logs, Cisco, Palo Alto, AWS CloudTrail e altri.

• La versione minima del broker Kafka è 2.1. Qualsiasi input Kafka connesso a un broker più vecchio non funzionerà dopo l'aggiornamento.
• I token API scadono ora dopo 30 giorni per impostazione predefinita. Qualsiasi automazione, integrazione di monitoraggio o script che utilizzi un token API di lunga durata smetterà di funzionare a meno che non si disponga di una politica di rotazione dei token. Questo tende a manifestarsi come un incidente notturno quando qualcosa smette di funzionare, piuttosto che durante l'aggiornamento stesso.

Caratteristiche distintive:

• Instradamento ed elaborazione basati su stream: Il modello a stream consente di segmentare i dati di log per origine, applicazione o livello di sensibilità al momento dell'acquisizione, per poi applicare pipeline, criteri di conservazione e controlli di accesso diversi per ciascuno stream. Questo è più flessibile dal punto di vista operativo rispetto ai modelli indice-per-origine di Elasticsearch.
• Estrazione e analisi dei log: Gli estrattori estraggono campi specifici dai messaggi di log al momento dell'acquisizione. Le pipeline di elaborazione gestiscono trasformazioni più complesse, logica condizionale, ricerche, ridenominazione dei campi ed eliminazione dei messaggi. Insieme, offrono un controllo granulare su ciò che finisce in archivio. Graylog Illuminate ha anche fornito correzioni al parser nella versione 7.0.3, inclusa una correzione all'analisi dei timestamp di Apache HTTPD che produceva valori di tempo errati.
• Ricerca e indagine: La sintassi di ricerca di Graylog è più semplice di Lucene/KQL per le query di base, il che è importante quando un ingegnere di turno deve cercare nei log di notte senza documentazione di riferimento. Ricerche salvate, intervalli di tempo relativi e sovrapposizioni di istogrammi sono tutti disponibili senza componenti aggiuntivi a pagamento.
• Gestione utenti con integrazione AD/LDAP: L'autenticazione Active Directory e LDAP è supportata in Graylog Open. I controlli di accesso basati sui ruoli consentono di limitare quali stream e dashboard ciascun team può visualizzare.

Dove Graylog incontra difficoltà

La versione gratuita di Graylog presenta lacune significative se il caso d'uso è la sicurezza operativa: il supporto per le regole Sigma, il rilevamento delle anomalie e la gestione dei casi sono tutti a pagamento. La dipendenza da Elasticsearch/OpenSearch aggiunge complessità operativa simile a quella dell'ELK Stack. Su larga scala, l'elaborazione delle pipeline può creare colli di bottiglia prestazionali che richiedono un'attenta messa a punto dell'ordine delle fasi della pipeline e dell'allocazione dei thread di lavoro.

Elastic Stack (ELK Stack) – Logstash

Elastic Stack è un insieme di prodotti open source; i suoi componenti principali sono Elasticsearch, Kibana e Logstash.

Come funziona l'analisi dei log di ELK

Logstash è una pipeline di elaborazione dati lato server. Riceve i dati di log da input (file, Beats, syslog, Kafka, HTTP e dozzine di altri), applica plugin di filtro per analizzare e arricchire i dati e instrada l'output verso una o più destinazioni. La maggior parte delle distribuzioni invia l'output a Elasticsearch, ma Logstash può scrivere simultaneamente su S3, un SIEM, una coda di messaggi o un altro cluster Elasticsearch.

Elasticsearch archivia i dati di log elaborati e li rende ricercabili utilizzando un indice invertito. È il motivo per cui ELK è scalabile fino a petabyte pur restituendo risultati di ricerca inferiori al secondo su query mirate, ma queste prestazioni derivano dalla struttura dell'indice, il che significa che carichi di lavoro con scritture intensive richiedono un'attenta gestione del ciclo di vita dell'indice. Kibana si trova al di sopra di Elasticsearch e fornisce il livello visivo: dashboard, la vista Discover per ricerche ad-hoc sui log, Canvas per report personalizzati e Lens per visualizzazioni drag-and-drop.

• Ricerca full-text su larga scala: L'architettura a indice invertito di Elasticsearch supporta ricerche sub-secondo su miliardi di voci di log. KQL (Kibana Query Language) e ES|QL (il nuovo linguaggio di query basato su pipe in 9.x) offrono agli analisti due diverse interfacce di interrogazione a seconda delle loro preferenze di lavoro. Per indagini complesse sui log su grandi set di dati, nulla nell'ambito open source eguaglia la profondità di ricerca di ELK.
• Acquisizione e filtraggio da più origini: Logstash dispone di circa 200 plugin di input e 200 plugin di filtro. Il filtro grok gestisce il testo non strutturato utilizzando modelli di cattura con nome; il filtro json gestisce i log JSON strutturati; il filtro csv gestisce i dati tabulari. Più fasi di filtro vengono eseguite in sequenza, quindi è possibile analizzare una riga syslog grezza, estrarre campi, cercare un IP in un database GeoIP ed eliminare i messaggi di livello debug prima che l'evento raggiunga Elasticsearch, tutto in un'unica pipeline.
• Rilevamento delle anomalie tramite machine learning: Le funzionalità ML di Kibana (a pagamento) identificano modelli insoliti nei dati di log senza richiedere la definizione di soglie. Utile per rilevare attacchi lenti o degrado graduale delle prestazioni che gli avvisi a soglia fissa non rilevano.
• Dashboard Kibana: Le opzioni di visualizzazione di Kibana sono ampie: serie temporali, mappe, mappe di calore, tabelle di dati, indicatori e altro. Le ricerche salvate e i modelli di indice consentono agli analisti di condividere i contesti di indagine tra i team.
• Instradamento dell'output estensibile: Una singola pipeline Logstash può scrivere simultaneamente su Elasticsearch, un bucket S3, un secondo cluster Elasticsearch per il disaster recovery e un topic Kafka per l'elaborazione a valle.

Dove ELK incontra difficoltà

Il sovraccarico operativo è reale. I cluster Elasticsearch richiedono una pianificazione della memoria (l'heap JVM necessita di un dimensionamento attento), la gestione degli shard (troppi shard piccoli o troppo pochi grandi danneggiano entrambi le prestazioni) e la configurazione delle politiche del ciclo di vita degli indici per controllare i costi di conservazione.

La maggior parte dei team che eseguono ELK su larga scala finisce per avere un ingegnere di piattaforma dedicato la cui responsabilità principale è Elasticsearch. Vale anche la pena di comprendere la situazione delle licenze: i componenti dell'Elastic Stack sono sotto la Elastic License 2.0, non open source approvata da OSI. L'uso self-hosted è gratuito, ma offrire Elasticsearch come servizio gestito a terzi non è consentito nella versione gratuita.

Fluentd

Fluentd è un raccoglitore di dati open source con licenza Apache 2.0, progettato per unificare l'acquisizione e l'instradamento dei log in infrastrutture eterogenee. Il compito principale è semplice: accettare eventi di log dalle origini, applicare un'elaborazione opzionale e instradarli verso le destinazioni. Fluentd non archivia né analizza i log; è un raccoglitore e un router, non una piattaforma di analisi dei log¹

Questa distinzione è importante quando lo si valuta rispetto a Wazuh o Graylog. Fluentd è tipicamente il primo livello in una pipeline più ampia. Un'architettura comune: gli agenti Fluentd su ciascun server raccolgono i log applicativi, i log di sistema e i log dei container, li memorizzano localmente in un buffer (in modo che nulla vada perso se la destinazione a valle è temporaneamente non disponibile), applicano l'analisi e il filtraggio e inoltrano il risultato a Elasticsearch, Splunk, un SIEM cloud o un altro backend di archiviazione. L'analisi avviene in qualunque sistema riceva i dati.

Fluentd vs. Fluent Bit

I team che valutano Fluentd per ambienti Kubernetes spesso finiscono per scegliere Fluent Bit, ed è bene capirne il motivo. Fluent Bit è un forwarder leggero nello stesso ecosistema CNCF, un binario di circa 4 MB rispetto al processo basato su Ruby di Fluentd che è notevolmente più pesante. Per le distribuzioni Kubernetes in cui si desidera un raccoglitore di log in esecuzione come DaemonSet su ogni nodo, la differenza nell'impronta delle risorse è significativa su larga scala. Fluent Bit supporta anche l'analisi di log multilinea, l'iniezione dinamica di metadati dalle etichette e annotazioni dei pod Kubernetes e la gestione integrata della contropressione per prevenire la perdita di dati quando le destinazioni a valle rallentano.

Fluentd è la scelta migliore quando si ha bisogno del ricco ecosistema di 500+ plugin o di una logica di instradamento complessa che la libreria di plugin più ridotta di Fluent Bit non può coprire. Per la maggior parte delle distribuzioni native Kubernetes che eseguono un semplice invio di log, Fluent Bit è la scelta pratica. I progetti condividono concetti di configurazione, quindi il passaggio dall'uno all'altro non è una riscrittura completa.

Come Fluentd gestisce i dati di log

Fluentd modella i dati di log come un flusso di eventi con tag. Ogni evento ha un tag (una stringa separata da punti come app.web o system.syslog), un timestamp e un record. I tag guidano l'instradamento: le direttive match nella configurazione specificano quali tag vengono inviati dove, quali filtri si applicano e in quale ordine. Più output possono corrispondere allo stesso tag, quindi è possibile inviare gli stessi eventi contemporaneamente sia a Elasticsearch che a un archivio S3.

Il sistema di buffer è ciò che rende Fluentd affidabile in produzione. Invece di scrivere direttamente sulla destinazione, gli eventi si accumulano in un buffer e vengono scaricati in blocchi a intervalli configurabili o quando il buffer raggiunge una soglia di dimensione. Se la destinazione non è raggiungibile, gli eventi rimangono nel buffer e vengono ritentati con backoff esponenziale.

Caratteristiche distintive:

• Oltre 500 plugin della community: Copre integrazioni con la maggior parte delle principali destinazioni di log e origini dati senza sviluppo personalizzato.
• Instradamento flessibile dei dati: Gli eventi possono essere instradati a più destinazioni simultanee, come file, RDBMS, NoSQL, IaaS, SaaS e Hadoop, in base a regole di instradamento basate su tag.
• Focus sull'elaborazione dei log: Fluentd è ottimizzato per l'elaborazione e l'inoltro dei log su larga scala, rendendolo adatto come livello di raccolta e instradamento di fronte a Elasticsearch o ad altri backend di archiviazione, piuttosto che come piattaforma di analisi autonoma.

Non perderti i nostri benchmark e approfondimenti basati sui dati. Il pulsante apre Google; selezionare AIMultiple conferma che desideri vedere AIMultiple più spesso nei risultati di ricerca di Google.

Aggiungi come fonte preferita

Syslog-ng

Syslog-ng è un programma di gestione dei log open source che raccoglie, classifica, trasforma e instrada i dati di log da più origini verso archivi o piattaforme a valle. La sua capacità distintiva è l'elaborazione strutturata: i log possono essere normalizzati in un formato coerente prima di essere inoltrati a sistemi come Apache Kafka o Elasticsearch.

Capacità:

• Classificare e strutturare i log utilizzando parser integrati come csv-parser
• Archiviare i log in file, code di messaggi (AMQP) o database (PostgreSQL, MongoDB)
• Inoltrare a piattaforme di big data, tra cui Elasticsearch, Apache Kafka o Hadoop

Caratteristiche distintive:

• Archiviazione automatica dei log: Syslog-ng gestisce la rotazione e l'archiviazione dei log in modo nativo, inclusa la compressione e la denominazione dei file con timestamp. Per gli ambienti con requisiti di conformità sulla conservazione, questo riduce la necessità di strumenti esterni come logrotate sovrapposti.
• Supporto di più formati di messaggio: RFC3164 (syslog tradizionale), RFC5424 (syslog strutturato), JSON e formati chiave-valore vengono tutti analizzati nativamente. Syslog-ng può ricevere un messaggio RFC3164 e restituirlo come RFC5424 con campi di dati strutturati aggiuntivi, utile quando si alimentano sistemi che richiedono il formato syslog moderno.
• Trasporto crittografato: Il trasporto syslog crittografato TLS è supportato nativamente sia per la ricezione che per l'inoltro. Questo è importante in ambienti in cui i dati di log transitano su segmenti di rete non attendibili.
• Instradamento condizionale: Le espressioni di filtro consentono l'instradamento in base a qualsiasi campo analizzato: gravità, facility, host o campi personalizzati estratti dai parser. Una singola istanza di syslog-ng può instradare gli errori di autenticazione allo stream del team di sicurezza, gli errori applicativi allo stream del team di sviluppo e i messaggi di debug a /dev/null.

Dove syslog-ng è adatto (e dove non lo è)

Syslog-ng è la scelta giusta quando le origini dei log sono principalmente dispositivi di rete e server che parlano syslog, e quando si necessita di una raccolta affidabile e ad alta velocità con estrazione strutturata dei campi prima dell'inoltro a un backend di archiviazione. Non è una piattaforma di analisi dei log; non dispone di interfaccia di query, dashboard o avvisi integrati. Funziona come livello di raccolta e instradamento di fronte a Elasticsearch o Graylog, non come strumento autonomo.

Nagios

Una precisazione necessaria prima di proseguire: Nagios Core è il progetto di monitoraggio open source con licenza GPL e si concentra sul monitoraggio di host, servizi e rete piuttosto che sull'analisi dei log.[15] Il prodotto descritto qui è Nagios Log Server, un prodotto commerciale separato di Nagios Enterprises. Se si cerca specificamente uno strumento di analisi dei log open source e gratuito, Nagios Log Server non lo è. Ciò che offre è una piattaforma di gestione dei log con supporto commerciale da parte di un fornitore con una lunga esperienza nel monitoraggio delle infrastrutture.

Nagios Log Server raccoglie i dati di log in tempo reale e li inserisce in un'interfaccia di ricerca. È compatibile con server Windows, Linux e Unix e include una procedura guidata di configurazione per integrare nuovi endpoint o applicazioni.²

Caratteristiche distintive:

• Monitoraggio dei servizi di rete: Copre SMTP, POP3, HTTP, PING e altri servizi di rete con particolare attenzione allo stato dell'infrastruttura.
• Monitoraggio delle risorse host: Tiene traccia del carico del processore, dell'utilizzo del disco e dello stato del sistema su tutti gli host monitorati.
• Rotazione e archiviazione dei file di log: Rotazione automatica e archiviazione a lungo termine senza intervento manuale.
• Filtraggio geografico dei log: Filtra i dati di log in base all'origine geografica e genera mappe del flusso di traffico.
• Interfaccia web: Interfaccia opzionale per visualizzare lo stato attuale della rete e i file di log.

Per una guida sulla scelta dello strumento o servizio giusto, consulta le nostre fonti basate sui dati: software di analisi dei log.

FAQ

Cita questa ricerca

Scegli il formato adatto a dove pubblicherai. Incollare la versione con link nel tuo CMS preserva il backlink.

@misc{hafa2026,
  author = {Hafa, Adil and Sezer, Sena},
  title  = {{I 6 migliori strumenti open source per l'analisi dei log: Wazuh, Graylog e altro}},
  year   = {2026},
  month  = jun,
  howpublished    = {\url{https://aimultiple.com/open-source-log-analysis-tools}},
  note   = {AIMultiple. Consultato il 23 Giugno 2026}
}

Collegamenti di riferimento

1.

Fluentd | Open Source Data Collector | Unified Logging Layer

2.

Nagios Log Server | Nagios Enterprises

Nagios Enterprises

Adil Hafa

Consulente Tecnico

Segui

Adil è un esperto di sicurezza con oltre 16 anni di esperienza nei settori della difesa, vendita al dettaglio, finanza, borsa, ordinazione di cibo e governo.

Visualizza il profilo completo

Ricercato da

Sena Sezer

Analista di settore

Segui

Sena è un'analista di settore presso AIMultiple. Ha conseguito la laurea triennale presso l'Università di Bogazici.

Visualizza il profilo completo

Sii il primo a commentare

Il tuo indirizzo email non verrà pubblicato. Tutti i campi sono obbligatori. I commenti vengono lasciati nella loro lingua originale.

Nome

Indirizzo e-mail

Commento

0/450

Pubblica un commento