I 13 migliori strumenti SIEM open source

Non esiste un singolo strumento open source che fornisca un SIEM completo e pronto all'uso immediato. Ogni opzione comporta un compromesso: si ottiene un SIEM progettato ad hoc con lacune nell'analisi, oppure un potente stack di registrazione e analisi che richiede di configurare manualmente il rilevamento della sicurezza.

Ecco alcuni strumenti open source gratuito affini alla categoria SIEM per costruire la tua soluzione da zero:

Strumenti SIEM open source

Questi strumenti tipicamente archiviano i log in indici Elasticsearch per un periodo di conservazione configurabile, in base alle politiche di archiviazione e ai dati. Per l'archiviazione a lungo termine, potrebbero essere necessarie procedure di archiviazione aggiuntive o integrazioni.

Funzionalità SIEM

*❌: Richiede integrazioni di agenti di terze parti (ad es. Elastic Agent).

Le piattaforme SIEM si basano su dati accurati degli endpoint. Scopri come il software di gestione degli endpoint migliora il rilevamento e la risposta garantendo che i dispositivi siano ben gestiti e sicuri.

Due tipi di strumenti open source

Gli strumenti focalizzati su SIEM forniscono la maggior parte delle funzionalità principali in modo nativo: correlazione dei log, avvisi, visualizzazione e alcuni report di conformità. Sono più opiniati e più facili da mettere in funzione. Wazuh e SecurityOnion rientrano qui.

Le piattaforme di registrazione e analisi sono potenti strumenti di infrastruttura dati, eccellenti nella raccolta, archiviazione e visualizzazione dei log, ma non sono dotate di logica di rilevamento della sicurezza. Pensale come le fondamenta su cui costruire un SIEM. The ELK Stack, OpenSearch e Graylog Open rientrano qui.

Alternative commerciali

Gli strumenti SIEM open source spesso non dispongono delle interfacce intuitive di creazione delle regole presenti negli strumenti commerciali. Inoltre, le loro funzionalità di correlazione sono più basilari e per lo più non offrono le capacità pronte all'uso come:

• dashboard pronte per la gestione dei log
• report di conformità (ad es. PCI-DSS, HIPAA) 
• integrazioni con altri strumenti aziendali, come firewall, sistemi di protezione degli endpoint,

Gli strumenti SIEM commerciali forniscono funzionalità SIEM di base, tra cui:

• correlazione degli eventi, analisi dei log
• capacità di eseguire il punteggio del rischio 
• fornire azioni consigliate in base ai punteggi di rischio 
• conservazione a lungo termine fino a 12 mesi 
• analisi del comportamento di utenti ed entità con modelli di machine learning predefiniti

Gli strumenti SIEM commerciali offrono anche varie funzioni di orchestrazione e risposta, e modi per automatizzare le attività del SOC. Alcuni fornitori di SIEM hanno incorporato capacità SOAR per essere più reattivi. Questo è tipico poiché sempre più strumenti di sicurezza aggiungono funzionalità di automazione per renderli più facili da usare e più produttivi. In alcuni casi, questo sposta questi prodotti nella categoria SOAR.

Spiegazione degli strumenti SIEM open source

Wazuh

Wazuh è il SIEM open source più completo disponibile oggi. Viene fornito come piattaforma completa con quattro componenti: un Indexer (basato su OpenSearch, archivia e indicizza gli avvisi), un Server (il motore principale raccoglie i log dagli agenti, analizza gli eventi e identifica gli indicatori di compromissione), una Dashboard (interfaccia web per la visualizzazione di eventi e minacce) e un Agent(in esecuzione sugli endpoint e inoltra gli eventi al server).

Fornisce analisi dei log di sicurezza, rilevamento delle vulnerabilità, valutazione della configurazione di sicurezza e reportistica sulla conformità normativa in modo nativo, insieme ad avvisi e reportistica basata sugli eventi senza integrazioni significative di terze parti.

Consulta il concetto di Wazuh:

Gli aggiornamenti recenti hanno ampliato significativamente la visibilità degli endpoint. Wazuh 4.14.0 ha aggiunto dashboard di inventario unificate per estensioni del browser, servizi endpoint, utenti e gruppi, tutte accessibili dalla sezione IT Hygiene della dashboard. La stessa versione ha introdotto una dashboard Microsoft Graph API per il monitoraggio dell'attività e degli eventi di controllo di Microsoft 365, e ha aggiunto il supporto per il ricaricamento a caldo della configurazione dell'agente senza riavviare l'agente.

In precedenza, la versione 4.10.0 ha portato l'integrazione con Microsoft Intune, estraendo i log di controllo da tutti i dispositivi gestiti da Intune direttamente negli avvisi di Wazuh, e ha introdotto un campo di vulnerabilità under_evaluation che contrassegna i CVE ancora in attesa di analisi nel National Vulnerability Database, utile per filtrare il rumore causato da vulnerabilità contestate o prive di punteggio. La versione attuale è 4.14.5.¹

Graylog

Graylog centralizza i log e fornisce avvisi e dashboard attraverso un'interfaccia curata. Vale la pena sapere che Graylog è concesso in licenza sotto la Server Side Public License (SSPL), che non è una licenza open source approvata dall'OSI; è più correttamente descritta come open-core o a sorgente disponibile.

Il livello gratuito copre l'aggregazione di base dei log e gli avvisi. Le funzionalità più rilevanti per l'uso SIEM, come il filtraggio della ricerca nei log, l'archiviazione dei log, il rilevamento delle anomalie, le visualizzazioni predefinite e i report di conformità, sono disponibili nel livello a pagamento Graylog Security. Graylog 7.0 ha introdotto un endpoint sperimentale Model Context Protocol (MCP) che consente ai client LLM di connettersi direttamente a un'istanza Graylog per eseguire query in tempo reale utilizzando prompt in linguaggio naturale.

Graylog offre quattro prodotti: Graylog Open (SSPL, gratuito), Graylog Enterprise (gestione dei log su larga scala), Graylog Security (il livello SIEM) e Graylog API Security (rilevamento delle minacce API specifico). Il livello Open è ciò che la maggior parte delle distribuzioni auto-ospitate esegue. Il confronto dell'articolo si applica a questo livello.

OSSEC

OSSEC è un sistema di rilevamento delle intrusioni host (HIDS) open source. Raccoglie e analizza i dati di log e fornisce alcune capacità affini al SIEM, ma manca dei componenti di gestione e analisi dei log che ci si aspetta da un SIEM completo. È stato in gran parte soppiantato da Wazuh, che è stato derivato da OSSEC e continua a ricevere sviluppo attivo.

Componenti:

• Manager: Raccoglie i log dalle sorgenti dati.
• Agents: Raccolgono ed elaborano i log.

OpenSearch come soluzione SIEM: OSSEC fornisce funzionalità SIEM di base: raccoglie e analizza i dati; tuttavia, manca di alcuni componenti di base di gestione e analisi dei log necessari.

SecurityOnion

SecurityOnion funziona come SIEM e sistema di rilevamento delle intrusioni (IDS). Integra altri strumenti open source come Snort, Suricata e Wazuh per offrire funzionalità complete di monitoraggio e rilevamento per intrusioni di rete e basate su host.

SecurityOnion include strumenti utili per l'analisi approfondita, come Wireshark per l'analisi del traffico di rete e Network Miner per la cattura dei pacchetti e la forensic di rete.

SecurityOnion come soluzione SIEM:

• IDS basati su host e rete: Monitora e rileva attività sospette su host e reti.
• Acquisizione completa dei pacchetti (FPC): Cattura il traffico di rete con netsniff-ng per rilevare esfiltrazione di dati, malware, phishing e altri attacchi.
• Rilevamento delle minacce: Utilizza SGUIL in SecurityOnion per identificare attività dannose, inclusi tentativi di accesso falliti a firewall e controller di dominio, migliorando visibilità e approfondimenti.

AlienVault OSSIM

OSSIM è la versione open source della piattaforma Unified Security Management di AlienVault. Il suo punto di forza notevole è l'inclusione di OpenVAS, uno scanner di vulnerabilità open source, che gli consente di correlare gli avvisi IDS da Snort e Suricata con i risultati delle scansioni di vulnerabilità, una capacità genuinamente utile.

AlienVault OSSIM come soluzione SIEM: Un punto di forza chiave di OSSIM è l'inclusione di OpenVAS (uno scanner di vulnerabilità open source). Ciò consente a OSSIM di correlare i log IDS (da strumenti come Snort e Suricata) con i risultati dello scanner di vulnerabilità.

OSSIM offre:

• Raccolta ed elaborazione degli eventi.
• Correlazione dei dati di sicurezza da più fonti.
• Valutazione delle vulnerabilità con integrazione OpenVAS.
• Avvisi basati su eventi di sicurezza.

Funzionalità chiave mancanti:

La versione open source di OSSIM manca di alcune funzionalità SIEM disponibili nella versione commerciale, come:

• Reportistica
• Console di risposta agli eventi in tempo reale o di avviso
• Capacità di taggare e separare i log

ELK Stack

Lo stack ELK è un'infrastruttura per l'archiviazione, l'elaborazione e la visualizzazione dei log. Non è un SIEM; è la piattaforma su cui si costruiscono funzionalità simili al SIEM. Le regole di rilevamento, la logica di correlazione e gli avvisi sono da creare a cura dell'utente.

Elastic ha ri-concesso in licenza Elasticsearch e Kibana all'open source nel 2024, con una doppia licenza: AGPL-3.0 o Elastic License 2.0. Il core dello stack è ora liberamente disponibile sotto AGPL. Alcune funzionalità (quelle rilevanti per il SIEM come l'apprendimento automatico, gli avvisi e Elastic Security) richiedono ancora un abbonamento per l'uso in produzione.

Componenti: Elasticsearch (archiviazione e indicizzazione), Logstash (aggregazione e normalizzazione dei log), Kibana (visualizzazione) e Beats (spedizionieri di log leggeri). Cosa manca per l'uso SIEM: nessun motore di correlazione integrato nella versione gratuito (lo strumento open source Elastalert colma parzialmente questa lacuna), nessuna regola di sicurezza integrata e nessun avviso o reportistica nativi.

ELK Stack come soluzione SIEM: Lo stack ELK fornisce aggregazione, elaborazione e visualizzazione dei log; tuttavia, non è un sistema SIEM completo. 

• Funzionalità chiave mancanti:
  • Motore di correlazione: La versione gratuito dell'ELK Stack non include una funzionalità di correlazione integrata. Tuttavia, esistono alternative open source, come Yelp/Elastalert, utilizzabili per la correlazione.
  • Reportistica o avvisi integrati: Questo è un inconveniente significativo per l'uso SIEM e per le operazioni IT generali.
  • Regole di sicurezza integrate: Ciò aumenta i requisiti di risorse e operativi dello stack.

Non perderti i nostri benchmark e approfondimenti basati sui dati. Il pulsante apre Google; selezionare AIMultiple conferma che desideri vedere AIMultiple più spesso nei risultati di ricerca di Google.

Aggiungi come fonte preferita

Fluentd

Fluentd è un raccoglitore e inoltratore di log, non un SIEM. Raccoglie log da molte sorgenti e li indirizza ad altri sistemi per l'elaborazione. Si integra perfettamente con Elasticsearch, OpenSearch, Splunk e Snowflake, ma non esegue rilevamento delle minacce, correlazione o avvisi e non ha un livello di archiviazione.

Fluentd come soluzione SIEM

• Raccolta e inoltro dei log: Fluentd è altamente efficiente nel raccogliere log da diverse sorgenti e inoltrarli alle piattaforme SIEM per ulteriori analisi.
• Integrazione: Fluentd si integra perfettamente con strumenti popolari come Elasticsearch, Splunk e Snowflake come componente essenziale per l'ingestione dei log.
• Elaborazione dati in tempo reale: Fluentd elabora i log in tempo reale, consentendo l'inoltro immediato dei dati di log. 

Funzionalità chiave mancanti:

• Rilevamento delle minacce: Fluentd non esegue il rilevamento o l'analisi delle minacce, una capacità fondamentale dei sistemi SIEM.
• Correlazione dei log: Non può correlare eventi tra più sorgenti dati per identificare incidenti di sicurezza complessi.
• Avvisi e reportistica: Fluentd non include funzionalità integrate di avviso o reportistica tipiche delle soluzioni SIEM.
• Archiviazione a lungo termine: Fluentd non offre soluzioni di archiviazione per i log; inoltra semplicemente i dati a sistemi esterni.

OpenSearch

OpenSearch, lanciato nel 2021 come fork di Elasticsearch e Kibana, è un progetto software open source guidato da AWS. Include OpenSearch (il database) e OpenSearch Dashboards (per visualizzazione e analisi).

Suricata

Suricata è un sistema di rilevamento e prevenzione delle intrusioni di rete (IDS/IPS) che fornisce ispezione approfondita dei pacchetti e monitoraggio della rete. Suricata non è una soluzione SIEM completa.

Suricata si integra con lo Elastic Stack per il SIEM utilizzando Elasticsearch per l'archiviazione e l'interrogazione dei log, Filebeat per l'inoltro dei dati e Kibana per la visualizzazione e l'analisi degli eventi di sicurezza di rete. Questa configurazione aiuta le organizzazioni a monitorare e rispondere proattivamente alle minacce alla sicurezza in tempo reale.

Suricata come soluzione SIEM:

• Funzione primaria: Suricata analizza il traffico di rete alla ricerca di attacchi (simile a Snort), inclusa l'analisi specifica del protocollo (ad es. HTTP, DNS, SSH) e il rilevamento a livello applicativo.
• Avvisi: Suricata genera avvisi in tempo reale in base ad anomalie o minacce rilevate, che possono essere inoltrati alle piattaforme SIEM per ulteriori elaborazioni.
• Punti di forza: Fornisce approfondimenti più dettagliati a livello applicativo, come il rilevamento del traffico HTTP e SSH.

Snort

Snort è un sistema di rilevamento delle intrusioni di rete ampiamente diffuso, focalizzato sugli attacchi di rete: DDoS, scansioni di porte stealth e fingerprinting del sistema operativo. Come Suricata, non è un SIEM completo. Genera avvisi per l'elaborazione successiva e si integra con Elasticsearch, Logstash e Splunk per la correlazione. Come strumento autonomo, manca della normalizzazione dei log, dell'archiviazione centralizzata e della risposta agli incidenti.

Snort come soluzione SIEM:

• La funzione primaria: Rileva gli attacchi di rete come DDoS, scansioni di porte stealth e fingerprinting del sistema operativo.
• Avvisi: Snort genera avvisi in base alle minacce rilevate e li invia a syslog o ad altri sistemi di registrazione, che possono poi essere elaborati e analizzati da una piattaforma SIEM.
• Integrazione: Snort può integrarsi con altri strumenti SIEM come Elasticsearch, Logstash o Splunk per una correlazione e un'analisi migliorate degli eventi di sicurezza di rete.
• Limitazioni: Come soluzione autonoma, Snort manca di funzionalità SIEM essenziali come la normalizzazione dei log, l'archiviazione centralizzata e la gestione completa della risposta agli incidenti. Si concentra esclusivamente sul rilevamento delle intrusioni di rete.

Zabbix

Zabbix è uno strumento di monitoraggio di rete e infrastruttura, non un SIEM. Può analizzare i log dai sistemi Windows e Linux ed è utile per raccogliere dati storici sulle prestazioni. Alcune organizzazioni lo eseguono insieme a un SIEM: Zabbix gestisce il monitoraggio dello stato dell'infrastruttura e invia avvisi tramite webhook, mentre il SIEM si occupa della correlazione dei log e dell'analisi della sicurezza.

Nagios

Nagios monitora lo stato di host, servizi e reti, tenendo traccia dei servizi di rete (SMTP, HTTP, PING) e delle risorse host (CPU, disco) con supporto per plugin di monitoraggio creati dall'utente. Il suo motore di log server raccoglie i dati in tempo reale, alimenta un'interfaccia di ricerca e gestisce la rotazione e l'archiviazione automatica dei log. Non è progettato per la correlazione di eventi di sicurezza o il rilevamento delle minacce.

Caratteristiche principali:

• Monitoraggio:
  • Monitora i servizi di rete (ad es. SMTP, HTTP, PING) e le risorse host (ad es. CPU, utilizzo del disco).
  • Monitoraggio dei servizi creato dall'utente tramite plugin.
• Gestione dei log:
  • Rotazione e archiviazione automatica dei log.
  • Filtra i dati di log per origine geografica.
  • Interfaccia online per lo stato della rete e la visualizzazione dei log.

FAQ

Per maggiori dettagli: 

• I migliori 10+ sistemi SIEM: come scegliere la soluzione migliore
• I migliori 10+ software SOAR e alternative open source

Cita questa ricerca

Scegli il formato adatto a dove pubblicherai. Incollare la versione con link nel tuo CMS preserva il backlink.

@misc{dilmegani2026,
  author = {Dilmegani, Cem},
  title  = {{I 13 migliori strumenti SIEM open source}},
  year   = {2026},
  month  = jun,
  howpublished    = {\url{https://aimultiple.com/open-source-siem}},
  note   = {AIMultiple. Consultato il 25 Giugno 2026}
}

Collegamenti di riferimento

1.

Introducing Wazuh 4.14.0 | Wazuh

Wazuh Inc.

2.

Graylog Pricing

Graylog

Cem Dilmegani

Analista principale

Segui

Cem è l'analista principale di AIMultiple dal 2017. AIMultiple informa centinaia di migliaia di aziende (secondo SimilarWeb) compreso il 60% delle Fortune 500 ogni mese.

Il lavoro di Cem è stato citato da importanti pubblicazioni globali tra cui Business Insider, Forbes, Washington Post, aziende globali come Deloitte, HPE e ONG come il World Economic Forum e organizzazioni sovranazionali come la Commissione europea.

Nel corso della sua carriera, Cem ha lavorato come consulente tecnologico, acquirente di tecnologia e imprenditore tecnologico. Ha consigliato aziende sulle loro decisioni tecnologiche presso McKinsey & Company e Altman Solon per oltre un decennio. Ha anche pubblicato un rapporto McKinsey sulla digitalizzazione.

Ha guidato la strategia tecnologica e gli approvvigionamenti di una società di telecomunicazioni rispondendo direttamente al CEO. Ha anche guidato la crescita commerciale dell'azienda deep tech Hypatos che ha raggiunto un fatturato annuo ricorrente a 7 cifre e una valutazione a 9 cifre partendo da 0 in 2 anni. Il lavoro di Cem in Hypatos è stato trattato da importanti pubblicazioni tecnologiche come TechCrunch e Business Insider.

Cem interviene regolarmente a conferenze tecnologiche internazionali. Si è laureato in ingegneria informatica all'Università Bogazici e ha conseguito un MBA presso la Columbia Business School.

Visualizza il profilo completo

Sii il primo a commentare

Il tuo indirizzo email non verrà pubblicato. Tutti i campi sono obbligatori. I commenti vengono lasciati nella loro lingua originale.

Nome

Indirizzo e-mail

Commento

0/450

Pubblica un commento