Punti chiave
- Le opzioni di SIEM open source da valutare sono cinque: Wazuh, OpenSearch con Security Analytics, Elastic Security, Security Onion e Graylog Open.
- Hanno licenze approvate dall'OSI Wazuh (GPLv2 per server, agente e regole, Apache 2.0 per indexer e dashboard) e OpenSearch con Security Analytics (Apache 2.0).
- Elastic ha cambiato licenza due volte: SSPL ed Elastic License 2.0 dalla 7.11 del 2021, opzione AGPLv3 dal settembre 2024 per le parti gratuite. L'app Security e le regole predefinite restano sotto Elastic License 2.0.
- Security Onion parte dalla rete (Suricata, Zeek, cattura dei pacchetti) e i suoi componenti sono sotto Elastic License 2.0; Graylog Open è gestione dei log sotto SSPL, con il SIEM in un'edizione a pagamento.
- Nessuna licenza include sorgenti da collegare, regole da calibrare, retention, aggiornamenti e persone che leggono gli alert. La misura ACN DE.CM-01 chiede strumenti aggiornati e mantenuti, non una licenza precisa.
La risposta breve: le opzioni di SIEM open source da valutare oggi sono cinque. Wazuh (GPLv2 e Apache 2.0) e OpenSearch con il plugin Security Analytics (Apache 2.0) hanno licenze approvate dalla Open Source Initiative. Elastic Security e Security Onion sono gratuiti, ma il loro codice di sicurezza è sotto Elastic License 2.0. Graylog Open è sotto SSPL. Nessuno include le persone che leggono gli alert.
Gratuito e open source non sono la stessa cosa. Confrontiamo i cinque progetti su quanto dichiarano repository e pagine ufficiali, lette il 6 ottobre 2026. Per la definizione della categoria c'è la guida su cos'è un SIEM e come funziona.
Open source, source-available, open core: perché la licenza conta
Una licenza è open source in senso stretto quando compare nell'elenco della Open Source Initiative (OSI), come la GPL versione 2, la Apache License 2.0 e la AGPL versione 3. Le licenze source-available rendono pubblico il codice ma ne limitano alcuni usi: Elastic, nella propria FAQ sulle licenze, definisce la SSPL e la Elastic License 2.0 licenze non approvate dall'OSI. Nel modello open core, infine, la base è gratuita e alcune funzioni stanno in edizioni a pagamento.
Per un SIEM la distinzione ha tre conseguenze pratiche:
- Chi può gestirlo per conto tuo. La Elastic License 2.0 vieta di offrire il software a terzi come servizio ospitato o gestito che dia accesso a una parte sostanziale delle sue funzioni. Se affidi la piattaforma a un fornitore, chiedi con quale titolo lo fa.
- Quali funzioni sono davvero gratuite. Nello stesso prodotto possono convivere codice libero e funzioni sbloccate da una chiave di licenza, che la Elastic License 2.0 vieta di aggirare.
- Quanto è stabile la licenza. Elastic ha cambiato la sua nel 2021 e di nuovo nel 2024. Un SIEM si tiene per anni: la storia della licenza è un dato di progetto.
Le cinque opzioni, una per una
Wazuh
Wazuh parte dall'endpoint: un agente sui sistemi raccoglie log ed eventi, il server li analizza con decoder e regole, l'indexer li conserva, la dashboard li mostra. Deriva da OSSEC, come dichiara il repository. La quickstart indica GPL versione 2 e Apache 2.0, i repository dicono come si dividono: server e agente sotto GPLv2, con un file di licenza che la estende anche a decoder e regole inclusi; indexer e dashboard sotto Apache 2.0, fork dichiarati di OpenSearch e OpenSearch Dashboards.
I casi d'uso documentati comprendono integrità dei file, verifica delle configurazioni, rilevamento delle vulnerabilità e risposta attiva sugli endpoint. L'installazione su un solo host basta di norma fino a 100 endpoint e 90 giorni di alert interrogabili, oltre si passa a un'architettura distribuita. La 4.14 è l'ultima versione stabile al 6 ottobre 2026; la 5.0, in release candidate dal 5 ottobre, sposta rilevamento e alerting dal manager all'indexer, secondo il README dell'indexer di quella versione. Limiti e costi che la licenza non copre sono in Wazuh: cos'è e quando basta.
OpenSearch con Security Analytics
OpenSearch è la suite di ricerca e analisi nata da un fork dell'ultima versione Apache 2.0 di Elasticsearch e Kibana: la FAQ del progetto lo indica come derivato da Elasticsearch 7.10.2, e OpenSearch Dashboards da Kibana 7.10.2, entrambi sotto Apache License 2.0. Il progetto fa capo alla Linux Foundation.
La parte SIEM è il plugin Security Analytics, che la documentazione presenta come il SIEM di OpenSearch, disponibile in qualsiasi distribuzione. Scegli un tipo di log, mappi i campi, e il plugin applica regole Sigma già pronte: Sigma è un formato aperto e generico per descrivere i rilevamenti, pensato per funzionare su SIEM diversi. I detector sono configurati per individuare minacce che corrispondono alle tattiche e tecniche censite da MITRE ATT&CK; ogni corrispondenza tra regola ed evento diventa un finding, e le condizioni che scegli trasformano i finding in alert. Il plugin lavora sui log che gli fai arrivare: raccoglierli e normalizzarli resta un progetto a parte.
Elastic Security
La licenza è cambiata due volte. Secondo la FAQ ufficiale di Elastic, con la versione 7.11 del 2021 il codice di Elasticsearch e Kibana è passato da Apache 2.0 a una doppia licenza SSPL ed Elastic License 2.0. Nel settembre 2024 Elastic ha aggiunto la AGPLv3, approvata dall'OSI, come terza opzione per le parti gratuite del codice. La distribuzione predefinita resta sotto Elastic License 2.0.
Il dettaglio da conoscere: il file di licenza dei repository di Elasticsearch e Kibana precisa che il codice coperto solo dalla Elastic License 2.0 sta nella cartella x-pack, ed è lì che vive l'applicazione Security di Kibana. Anche il repository delle regole di rilevamento predefinite è sotto Elastic License 2.0. In pratica: motore di ricerca e interfaccia di base hanno un'opzione open source, la parte SIEM no.
La matrice degli abbonamenti self-managed mette nel livello gratuito Basic il SIEM, il motore di rilevamento (correlazione, indicator match, soglie), le regole predefinite, la timeline e il case management. Nei livelli a pagamento restano, tra le altre, le azioni esterne collegate agli alert di rilevamento, il rilevamento di anomalie con machine learning e l'isolamento degli host; la personalizzazione delle regole predefinite compare solo nel livello Enterprise.
Security Onion
Security Onion è una distribuzione Linux per threat hunting, monitoraggio della sicurezza e gestione dei log, avviata da Doug Burks nel 2008. Il suo baricentro è la rete: Suricata come IDS e per la cattura completa dei pacchetti, Zeek o Suricata per i metadati di traffico, Elasticsearch per la ricerca, Elastic Fleet per il monitoraggio degli host. Il progetto si definisce "free and open", e la pagina sulla licenza della documentazione precisa che la maggior parte del software incluso ha licenze open source, mentre i componenti Elastic e quelli di Security Onion sono sotto Elastic License 2.0. Accanto c'è Security Onion Pro, l'edizione con funzioni enterprise aggiuntive.
Per un'installazione standalone la documentazione indica almeno 4 core, 24 GB di RAM, 200 GB di disco e due interfacce di rete, solo su architettura x86-64, e la consiglia per valutazioni, proof of concept e installazioni piccole o medie con un solo sensore.
Graylog Open
Graylog Open è una piattaforma di gestione dei log rilasciata sotto la Server Side Public License versione 1, come dichiara il repository. La pagina ufficiale la descrive come gratuita anche per uso commerciale, senza tetti di ingestion, con raccolta, ricerca, dashboard e alert, e a chi volesse offrirla come servizio ospitato a terzi chiede di leggere con attenzione i termini della SSPL. Come proprio SIEM, Graylog presenta un'edizione a pagamento, Graylog Security. Per centralizzare i log è un'opzione concreta; per il rilevamento va messa nel conto l'edizione commerciale.
Wazuh vs Elastic: dove si separano
- La licenza della parte che ti serve. In Wazuh anche regole e decoder sono sotto GPLv2. In Elastic l'opzione AGPLv3 copre le parti gratuite di Elasticsearch e Kibana, mentre app Security e regole predefinite sono sotto Elastic License 2.0.
- Il punto di partenza. Wazuh parte dagli host. Elastic Security nasce sopra un motore di ricerca e analisi: chi usa già Elasticsearch per log applicativi e osservabilità aggiunge la sicurezza sullo stesso stack.
- Cosa si paga. Di Elastic il livello Basic è gratuito, e alcune funzioni operative stanno nei livelli superiori. Wazuh Inc. vende un servizio cloud gestito, supporto e ore professionali.
- Una radice comune. L'indexer di Wazuh è un fork di OpenSearch, che deriva da Elasticsearch 7.10.2, ma dopo il fork le basi di codice sono evolute separatamente.
Security Onion vs Wazuh: rete o endpoint
- Security Onion parte dalla rete: IDS, metadati di traffico, cattura dei pacchetti. In standalone chiede almeno 24 GB di RAM.
- Wazuh guarda dentro i sistemi: cosa succede su server e postazioni, quali file cambiano, quali configurazioni si allontanano dalla baseline. Su un solo host la quickstart indica 8 vCPU, 8 GiB di RAM e 200 GB di disco nella fascia da 51 a 100 agenti.
- Le licenze sono diverse: Elastic License 2.0 per i componenti di Security Onion, GPLv2 e Apache 2.0 per Wazuh.
Spesso la domanda utile non è quale dei due, ma quale visibilità manca oggi.
Quello che nessuna licenza include
Vale per tutti e cinque i progetti:
- Le sorgenti da collegare. Ogni gestionale, firewall o servizio cloud con un formato proprio è un parser da scrivere o da verificare.
- Le regole da calibrare. Quelle pronte, Sigma, Wazuh o Elastic, sono un punto di partenza: senza lavoro sul tuo contesto producono rumore.
- Lo storage della retention. Più mesi di log interrogabili, più disco e più nodi.
- Gli aggiornamenti. Un SIEM fermo a una versione vecchia diventa un problema a sua volta.
- Le persone che leggono gli alert, anche di notte. È la voce che cambia i conti: il confronto tra fare da sé e affidarsi a un servizio sta in SOC interno o gestito.
Per chi rientra nella NIS2 c'è un punto in più. La misura DE.CM-01 della determinazione ACN 379907/2025, nell'allegato 1 per i soggetti importanti e nell'allegato 2 per gli essenziali, chiede che per almeno i sistemi informativi e di rete rilevanti siano "presenti, aggiornati, mantenuti e configurati in modo adeguato" strumenti tecnici per rilevare tempestivamente gli incidenti significativi, con procedure adottate e documentate. La misura non guarda alla licenza, guarda alla manutenzione. I criteri di scelta completi sono nella guida alla scelta del software SIEM.
Quattro domande prima di scegliere
- Ti serve una licenza approvata dall'OSI? Se lo chiede una policy interna, o se vuoi modificare e ridistribuire il codice, per la parte SIEM restano Wazuh e OpenSearch.
- Da dove devono arrivare i segnali? Endpoint e server portano verso Wazuh o Elastic Security, il traffico di rete verso Security Onion, la centralizzazione di log sparsi verso Graylog Open o OpenSearch.
- Chi la gestirà, e con quale titolo? Se pensi a un fornitore esterno, verifica che la licenza glielo consenta e che conosca quel progetto specifico.
- Chi legge gli alert alle tre di notte? Se la risposta è nessuno, nessuno dei cinque progetti cambia il risultato.
Fare da sé o farlo gestire
Qui si sceglie chi fa il lavoro, non la qualità del software: sono strumenti seri. Con competenze, tempo e qualcuno che li tenga aggiornati sono un modo concreto di costruire la capacità di rilevamento; se quelle tre cose mancano, conviene un servizio che la porta già in esercizio.
AmagisTech costruisce SOC gestiti per il mid-market italiano su Google SecOps, con agenti AI che accelerano triage e investigazione e un team italiano che presidia gli alert 24 ore su 24: regole, manutenzione e turni notturni diventano lavoro nostro.
In sintesi: Wazuh e OpenSearch hanno licenze OSI, Elastic Security e Security Onion sono gratuiti con la parte di sicurezza sotto Elastic License 2.0, Graylog Open è log management sotto SSPL. La licenza decide cosa puoi fare con il codice; chi lo tiene vivo decide se il SIEM funziona.
Se stai valutando un SIEM open source e vuoi capire cosa reggere in casa e cosa affidare, guarda come lavora la nostra cybersecurity gestita e chiedici un assessment.