As 13 principais ferramentas SIEM de código aberto
Não existe uma única ferramenta de código aberto que ofereça um SIEM completo e pronto para produção imediatamente. Cada opção envolve uma compensação: ou você obtém um SIEM desenvolvido especificamente para esse fim, mas com lacunas na análise de dados, ou uma poderosa plataforma de registro e análise que exige que você implemente a detecção de segurança por conta própria.
Aqui estão algumas ferramentas gratuitas de código aberto relacionadas à categoria SIEM para você construir sua própria solução do zero:
Ferramentas SIEM de código aberto
Ferramenta | Estrelas do GitHub | Caso de uso principal | Preços |
|---|---|---|---|
Wazuh | Mais de 11.000 | SIEM | ✅ Gratuito (versão local) |
Graylog | Mais de 7.600 | SIEM | ➕ Freemium |
OSSEC | Mais de 4.600 | SIEM | ➕ Freemium |
SecurityOnion | Mais de 3.600 | SIEM | ✅ Grátis |
AlienVault OSSIM | 120+ | SIEM | ✅ Grátis |
A pilha ELK | Mais de 17.000 | Repositório de logs e análises | ➕ Freemium |
Fluente | Mais de 13.000 | Repositório de logs e análises | ➕ Freemium |
OpenSearch | Mais de 10.000 | Repositório de logs e análises | ➕ Freemium |
Suricata | Mais de 5.000 | Detecção de intrusão | ➕ Freemium |
Ronco3 | Mais de 2.800 | Detecção de intrusão | ➕ Freemium |
Essas ferramentas normalmente armazenam registros em índices Elasticsearch por um período de retenção configurável, com base em políticas de armazenamento e dados. Para armazenamento de longo prazo, podem ser necessários procedimentos de arquivamento ou integrações adicionais.
capacidades SIEM
*❌: Requer integrações com agentes de terceiros (por exemplo, Elastic Agent).
As plataformas SIEM dependem de dados precisos dos endpoints. Descubra como o software de gerenciamento de endpoints aprimora a detecção e a resposta, garantindo que os dispositivos sejam bem gerenciados e seguros.
Dois tipos de ferramentas de código aberto
As ferramentas focadas em SIEM oferecem a maioria das funcionalidades principais nativamente: correlação de logs, alertas, visualização e alguns relatórios de conformidade. Elas são mais opinativas e mais fáceis de configurar. Wazuh e SecurityOnion se enquadram nessa categoria.
Plataformas de registro e análise são ferramentas poderosas de infraestrutura de dados, excelentes para coletar, armazenar e visualizar logs , mas não incluem lógica de detecção de segurança. Pense nelas como a base sobre a qual você constrói um SIEM. O ELK Stack, o OpenSearch e o Graylog Open se encaixam nessa categoria.
Alternativas comerciais
As ferramentas SIEM de código aberto geralmente não possuem as interfaces intuitivas de criação de regras encontradas em ferramentas comerciais. Além disso, suas funcionalidades de correlação são mais básicas e, em sua maioria, não oferecem recursos prontos para uso, como:
- Painéis de controle prontos para uso para gerenciamento de logs
- relatórios de conformidade (ex: PCI-DSS, HIPAA)
- integrações com outras ferramentas empresariais, como firewalls, sistemas de proteção de endpoints,
As ferramentas SIEM comerciais oferecem funcionalidades essenciais de SIEM, incluindo:
- Correlação de eventos, análise de logs
- capacidade de realizar avaliações de risco
- Fornecer ações recomendadas com base em pontuações de risco.
- retenção de longo prazo de até 12 meses
- Análise do comportamento de usuários e entidades com modelos de aprendizado de máquina pré-construídos
As ferramentas SIEM comerciais também oferecem diversas funções de orquestração e resposta, além de maneiras de automatizar tarefas do SOC. Alguns fornecedores de SIEM incorporaram recursos de SOAR para serem mais responsivos. Isso é comum, visto que mais ferramentas de segurança adicionam recursos de automação para torná-las mais fáceis de usar e mais produtivas. Em alguns casos, isso classifica esses produtos na categoria SOAR .
Ferramentas SIEM de código aberto explicadas
Wazuh
O Wazuh é o SIEM de código aberto mais completo disponível atualmente. Ele é distribuído como uma plataforma completa com quatro componentes: um Indexador (construído sobre o OpenSearch, armazena e indexa alertas), um Servidor (o mecanismo principal coleta logs de agentes, analisa eventos e identifica indicadores de comprometimento), um Painel (interface web para visualizar eventos e ameaças) e um Agente (executado nos endpoints e encaminha eventos para o servidor).
Ele oferece análise de logs de segurança, detecção de vulnerabilidades, avaliação de configuração de segurança e relatórios de conformidade regulatória nativamente, juntamente com alertas e relatórios baseados em eventos, sem integração significativa com terceiros.
Veja o conceito de Wazuh:
Graylog
O Graylog centraliza logs e fornece alertas e painéis de controle por meio de uma interface refinada. Vale ressaltar que o Graylog é licenciado sob a Server Side Public License (SSPL), que não é uma licença de código aberto aprovada pela OSI, sendo mais precisamente descrita como open-core ou de código aberto.
1O plano gratuito abrange agregação básica de logs e alertas. Recursos mais relevantes para uso em SIEM, como filtragem de pesquisa de logs, arquivamento de logs, detecção de anomalias, visualizações pré-configuradas e relatórios de conformidade, estão disponíveis no plano pago Graylog Security. O Graylog 7.0 introduziu um endpoint experimental do Protocolo de Contexto de Modelo (MCP) que permite que clientes LLM se conectem diretamente a uma instância do Graylog para consultas em tempo real usando prompts em linguagem natural.
OSSEC
O OSSEC é um Sistema de Detecção de Intrusão em Hosts (HIDS) de código aberto. Ele coleta e analisa dados de logs e oferece algumas funcionalidades semelhantes às de um SIEM, mas não possui os componentes de gerenciamento e análise de logs esperados de um SIEM completo. Ele foi amplamente substituído pelo Wazuh, que foi derivado do OSSEC e continua recebendo desenvolvimento ativo.
Componentes:
- Gerente: Coleta registros de fontes de dados.
- Agentes: Coletar e processar registros.
OpenSearch como solução SIEM: O OSSEC oferece funcionalidades essenciais de SIEM: coleta e analisa dados; no entanto, carece de alguns componentes básicos de gerenciamento e análise de logs necessários.
SecurityOnion
O SecurityOnion funciona como um SIEM (Sistema Integrado de Gerenciamento de Eventos e Informações) e um sistema de detecção de intrusões (IDS). Ele integra outras ferramentas de código aberto, como Snort, Suricata e Wazuh, para oferecer recursos abrangentes de monitoramento e detecção de intrusões em redes e hosts.
O SecurityOnion inclui ferramentas úteis para análises aprofundadas, como o Wireshark para análise de tráfego de rede e o Network Miner para captura de pacotes e perícia forense de rede.
SecurityOnion como solução SIEM:
- IDS baseado em host e em rede : Monitora e detecta atividades suspeitas em hosts e redes.
- Captura completa de pacotes (FPC) : Captura o tráfego de rede com o netsniff-ng para detectar exfiltração de dados, malware, phishing e outros ataques.
- Detecção de ameaças : Utiliza o SGUIL no SecurityOnion para identificar atividades maliciosas, incluindo tentativas de login malsucedidas em firewalls e controladores de domínio, aprimorando a visibilidade e os insights.
AlienVault OSSIM
O OSSIM é a versão de código aberto da plataforma de Gerenciamento Unificado de Segurança da AlienVault. Seu principal diferencial é a inclusão do OpenVAS, um scanner de vulnerabilidades de código aberto, que permite correlacionar alertas de IDS do Snort e do Suricata com os resultados da varredura de vulnerabilidades, uma funcionalidade realmente útil.
AlienVault OSSIM como solução SIEM: Um dos principais pontos fortes do OSSIM é a inclusão do OpenVAS (um scanner de vulnerabilidades de código aberto). Isso permite que o OSSIM correlacione logs de IDS (de ferramentas como Snort e Suricata) com os resultados do scanner de vulnerabilidades.
OSSIM oferece:
- Coleta e processamento de eventos.
- Correlação de dados de segurança provenientes de múltiplas fontes.
- Avaliação de vulnerabilidades com integração OpenVAS.
- Alertas baseados em eventos de segurança.
Funcionalidades essenciais ausentes :
A versão de código aberto do OSSIM não possui alguns recursos SIEM disponíveis na versão comercial, tais como:
- Relatórios
- Console de resposta ou alerta de eventos em tempo real
- Capacidade de etiquetar e separar registros
Pilha ELK
O ELK Stack é uma infraestrutura para armazenamento, processamento e visualização de logs. Não é um SIEM; é a plataforma sobre a qual você constrói funcionalidades semelhantes a um SIEM. As regras de detecção, a lógica de correlação e os alertas são de sua responsabilidade. O Stack não é mais totalmente de código aberto; uma edição gratuita permanece disponível sob a licença proprietária da Elastic.
Componentes: Elasticsearch (armazenamento e indexação), Logstash (agregação e normalização de logs), Kibana (visualização) e Beats (envio de logs leve). O que falta para uso como SIEM: ausência de um mecanismo de correlação integrado na versão gratuita (a ferramenta de código aberto Elastalert supre parcialmente essa lacuna), ausência de regras de segurança integradas e ausência de alertas ou relatórios nativos.
ELK Stack como solução SIEM: O ELK Stack oferece agregação, processamento e visualização de logs; no entanto, não é um sistema SIEM completo.
- Funcionalidades essenciais ausentes :
- Mecanismo de correlação: A versão gratuita do ELK Stack não inclui um recurso de correlação integrado. No entanto, existem alternativas de código aberto, como o Yelp/Elastalert, que podem ser usadas para correlação.
- Relatórios ou alertas integrados : Esta é uma desvantagem significativa para o uso de SIEM e para as operações gerais de TI.
- Regras de segurança integradas : Isso aumenta os requisitos de recursos e operacionais da pilha.
Fluente
O Fluentd é um coletor e encaminhador de logs, não um SIEM. Ele coleta logs de diversas fontes e os encaminha para outros sistemas para processamento. Ele se integra perfeitamente com Elasticsearch, OpenSearch, Splunk e Snowflake, mas não realiza detecção, correlação ou alerta de ameaças e não possui camada de armazenamento.
Fluentd como solução SIEM
- Coleta e encaminhamento de logs : O Fluentd é altamente eficiente na coleta de logs de diversas fontes e no encaminhamento deles para plataformas SIEM para análise posterior.
- Integração : O Fluentd integra-se perfeitamente com ferramentas populares como Elasticsearch, Splunk e Snowflake como um componente essencial de ingestão de logs.
- Processamento de dados em tempo real : O Fluentd processa logs em tempo real, permitindo o encaminhamento imediato dos dados de log.
Funcionalidades essenciais ausentes :
- Detecção de ameaças : O Fluentd não realiza detecção ou análise de ameaças, uma funcionalidade essencial dos sistemas SIEM.
- Correlação logarítmica : Não consegue correlacionar eventos entre múltiplas fontes de dados para identificar incidentes de segurança complexos.
- Alertas e relatórios : O Fluentd não inclui recursos integrados de alerta ou relatório normalmente encontrados em soluções SIEM.
- Armazenamento de dados a longo prazo : o Fluentd não oferece soluções de armazenamento para logs; ele simplesmente encaminha os dados para sistemas externos.
OpenSearch
O OpenSearch, lançado em 2021 como um fork do Elasticsearch e do Kibana, é um projeto de software de código aberto liderado pela AWS. Ele inclui o OpenSearch (o banco de dados) e o OpenSearch Dashboards (para visualização e análise).
OpenSearch como solução SIEM: Embora não seja um SIEM completo, o OpenSearch pode ser usado por organizações para armazenar e analisar dados de segurança. No entanto, assim como o conjunto de ferramentas ELK, ele exige a implementação manual de funcionalidades essenciais de SIEM, como detecções e análises de segurança.
Suricata
Suricata é um sistema de detecção e prevenção de intrusões em redes (IDS/IPS) que oferece inspeção profunda de pacotes e monitoramento de rede. Suricata não é uma solução SIEM completa.
O Suricata integra-se ao Elastic Stack para SIEM utilizando o Filebeat para armazenar e consultar logs, o Filebeat para encaminhar dados e o Kibana para visualizar e analisar eventos de segurança de rede. Essa configuração ajuda as organizações a monitorar e responder proativamente a ameaças de segurança em tempo real.
Suricata como solução SIEM:
- Função principal : O Suricata analisa o tráfego de rede em busca de ataques (semelhante ao Snort), incluindo análises específicas de protocolo (por exemplo, HTTP, DNS, SSH) e detecção na camada de aplicação.
- Alertas : O Suricata gera alertas em tempo real com base em anomalias ou ameaças detectadas, que podem ser encaminhados para plataformas SIEM para processamento posterior.
- Pontos fortes : Oferece informações mais detalhadas sobre a camada de aplicação, como a detecção de tráfego HTTP e SSH.
Resmungar
O Snort é um sistema de detecção de intrusões em redes amplamente utilizado, focado em ataques baseados em rede: DDoS, varreduras furtivas de portas e identificação de sistemas operacionais. Assim como o Suricata, não é um SIEM completo. Ele gera alertas para processamento posterior e se integra com o Logstash e o Splunk para correlação. Como ferramenta independente, não oferece normalização de logs, armazenamento centralizado e resposta a incidentes.
Snort como solução SIEM:
- Função principal : Detectar ataques baseados em rede, como DDoS, varreduras de portas furtivas e identificação do sistema operacional.
- Alertas : O Snort gera alertas com base em ameaças detectadas e os envia para o syslog ou outros sistemas de registro, que podem então ser processados e analisados por uma plataforma SIEM.
- Integração : O Snort pode ser integrado a outras ferramentas SIEM, como Logstash ou Splunk, para melhorar a correlação e a análise de eventos de segurança de rede.
- Limitações : Como solução independente, o Snort carece de recursos essenciais de SIEM, como normalização de logs, armazenamento centralizado e gerenciamento abrangente de resposta a incidentes. Ele se concentra exclusivamente na detecção de intrusões na rede.
Zabbix
O Zabbix é uma ferramenta de monitoramento de rede e infraestrutura, não um SIEM. Ele consegue analisar logs de sistemas Windows e Linux e é útil para coletar dados históricos de desempenho. Algumas organizações o utilizam em conjunto com um SIEM: o Zabbix cuida do monitoramento da integridade da infraestrutura e dispara alertas via webhooks, enquanto o SIEM realiza a correlação de logs e a análise de segurança.
Nagios
O Nagios monitora o status de hosts, serviços e redes, rastreando serviços de rede (SMTP, HTTP, PING) e recursos do host (CPU, disco) com suporte para plugins de monitoramento criados pelo usuário. Seu mecanismo de servidor de logs coleta dados em tempo real, alimenta uma interface de busca e gerencia a rotação e o arquivamento automáticos de logs. Ele não foi projetado para correlação de eventos de segurança ou detecção de ameaças.
Principais características:
- Monitoramento:
- Monitora serviços de rede (ex.: SMTP, HTTP, PING) e recursos do host (ex.: CPU, uso de disco).
- Monitoramento de serviços criados pelo usuário por meio de plugins.
- Gestão de registos:
- Rotação e arquivamento automatizados de logs.
- Filtra os dados de registro por origem geográfica.
- Interface online para visualização do estado da rede e dos registos de atividades.
Perguntas frequentes
Provavelmente você não precisa de um SIEM se tiver menos de 50 endpoints e não houver requisitos regulatórios, se sua organização operar principalmente com aplicativos SaaS com infraestrutura local mínima ou se você não tiver ninguém para monitorá-lo e otimizá-lo ativamente. Um SIEM sem monitoramento gera falsa confiança, não segurança.
Você deve considerar seriamente uma solução desse tipo se operar sob regulamentações como PCI-DSS, HIPAA ou GDPR, se tiver uma equipe de segurança dedicada ou um SOC, ou se precisar de visibilidade centralizada em um ambiente complexo com várias unidades.
Para organizações menores que não possuem esses fatores determinantes, a terceirização para um MSSP (provedor de serviços de gerenciamento de sistemas) geralmente é mais econômica do que manter um SIEM (sistema de gerenciamento de informações de sistemas) interno.
Existem ferramentas focadas em SIEM e plataformas de registro/análise.
Eles oferecem a maioria das funcionalidades principais nativamente, como correlação de logs, alertas, visualização e alguns relatórios de conformidade. São mais opinativos e mais fáceis de configurar. Wazuh e SecurityOnion são os principais exemplos.
São ferramentas poderosas de infraestrutura de dados, excelentes para coletar, armazenar e visualizar logs, mas não incluem lógica de detecção de segurança. Considere-as como a base sobre a qual você constrói um SIEM, e não como um SIEM em si.
Para obter mais detalhes:
- Os 10+ melhores sistemas SIEM: Como escolher a melhor solução
- Mais de 10 softwares SOAR e alternativas de código aberto
Links de referência
Seja o primeiro a comentar
Seu endereço de e-mail não será publicado. Todos os campos são obrigatórios.