开源 SIEM - 安全信息和事件管理系统

以下是一些常见的开源 SIEM（安全信息和事件管理系统）：

1. LogESP

• 项目地址：GitCode - 全球开发者的开源社区,开源代码托管平台1。
• 特点1：
  • 基于 Python - Django 框架构建，有网页前端，便于操作和管理。
  • 无侵入式集成，无需在日志源上安装其软件或提供凭证，通过 syslog 守护进程转发事件，保障系统安全。
  • 无客户端脚本的 Web 界面，降低被攻击风险。
  • 风险管理系统遵循 NIST 风险评估准则，支持 NIST 的事件响应和电子取证指南。
  • 高度可定制，允许用户自定义事件解析规则以适应不同日志格式。

2. Security Onion

• 简介：是一个广泛应用的开源网络安全监控和入侵检测平台，基于 Ubuntu Linux 发行版构建。
• 特点：
  • 集成了 Suricata、Snort、Zeek（formerly Bro）等多种开源安全工具，可进行网络流量分析和入侵检测。
  • 提供 Web 管理界面，方便部署和配置。
  • 具备强大的日志收集和分析功能，可作为 SIEM 系统的基础组件。

3. Elastic SIEM（Elasticsearch + Logstash + Kibana）

• 组件功能：
  • Elasticsearch：是一个分布式搜索引擎，用于存储和索引大量的安全事件数据。
  • Logstash：负责数据的收集、过滤和转换，能够从各种数据源获取日志并进行预处理。
  • Kibana：提供直观的可视化界面，用于数据分析和展示，帮助安全人员快速理解安全态势。
• 特点：
  • 具有良好的扩展性和灵活性，能够处理大规模的日志数据。
  • 提供丰富的插件和集成选项，可以与其他安全工具和系统进行集成。

4. Wazuh

• 简介：是一个开源的扩展检测和响应（XDR）及安全信息和事件管理（SIEM）平台2。
• 特点2：
  • 融合了实时监控、高级行为分析和机器学习等技术，能够更有效地识别威胁并确定威胁优先级。
  • 包含一系列事件响应工具和功能，如威胁搜索、事件筛选和补救。
  • 适用于 Windows、Linux 和 macOS 等多种操作系统。

5. AlienVault OSSIM

• 简介：是一个开源的安全信息和事件管理系统，设计初衷是易于设置和使用。
• 特点：
  • 提供了众多内置的安全插件和关联规则，用于威胁检测。
  • 与 Open Threat Exchange（OTX）集成，可获取丰富的威胁情报。