Tre filosofie per lo stesso bisogno – vedere cosa succede nella propria infrastruttura:
- Wazuh – il SIEM open source più adottato: agent maturi (FIM, vulnerabilità, compliance PCI/CIS), regole pronte, comunità grande. Contro: architettura pesante (sotto c'è comunque un cluster di indicizzazione) e tuning iniziale impegnativo.
- stack ELK/OpenSearch – non un SIEM ma un motore di ricerca su log: flessibilità totale, ci costruisci qualsiasi cosa – a patto di costruirla. Le funzioni di detection pronte all'uso sono il pezzo che manca o si paga.
- Wildbox – la scommessa del portfolio: SIEM, SOAR e WAF unificati in una piattaforma self-hosted pensata per abbassare la soglia d'ingresso – meno potente dell'artiglieria enterprise, ma un'installazione invece di tre progetti d'integrazione.
Criterio di scelta: team dedicato e requisiti di compliance → Wazuh; ingegneri che amano costruire → ELK; una persona sola che deve coprire tutto → l'integrato. Qualunque strada: senza log fatti bene a monte, nessun SIEM salva nessuno.