評価に値するオープンソースSIEMプラットフォームの（決定版）リスト
2026年にSIEMを評価するセキュリティチームは、それぞれに強み、デプロイモデル、ライセンス条件が異なる数多くのオープンソースの選択肢に直面します。本ガイドでは、注目に値するオープンソースSIEMプラットフォーム、比較の際に本当に重要な基準、そしてSIEM自体は答えの一部にすぎない理由を解説します。構造化された脅威インテリジェンスレイヤーが供給されなければ、最高の検知エンジンでさえ不完全なコンテキストで動作することになります。
Filigranのプロダクト・コンテンツチームがレビュー・維持しています。
要点
- オープンソースSIEMは、軽量なホストベースツール（OSSEC）から本格的な検知プラットフォーム（Wazuh、Elastic Security）、ネットワーク監視専用ディストリビューション（Security Onion）まで多岐にわたります。
- 機能リストだけでなく、ログソースのカバレッジ、検知ルールの品質、スケーラビリティ、統合エコシステム、コミュニティの健全性、コンプライアンス対応で評価しましょう。
- 現時点で最も完成度の高いすぐに使える体験を提供するのはWazuh。チューニングできるエンジニアリング能力があるチームには、Elastic Securityが最大の柔軟性を提供します。
- SIEM単体では「何が起きたか」しか分かりません。OpenCTIのような脅威インテリジェンスプラットフォーム（TIP）と組み合わせることで、「誰が攻撃の背後にいるのか」「どう対処すべきか」というコンテキストが加わります。
- 脅威インテリジェンスは「何を検知すべきか」を教え、OpenAEVのような侵害・攻撃シミュレーション（BAS/AEV）ツールは「SIEMが実際に検知できるか」を検証します。インテリジェンスと検証済み検知のループを閉じます。
- FiligranのXTMプラットフォームはOpenCTIとOpenAEVをネイティブに接続し、インテリジェンスと検証をひとつのスタックとして運用するためのカスタム統合作業を不要にします。
- 「無料SIEM」として売り出されているものすべてがオープンソースではありません。Splunk Freeは評価前に理解しておくべき代表例です。
オープンソースSIEMで確認すべきポイント
オープンソースSIEMの選定は機能リストの比較ではありません。実務者にとって本当に重要な基準は次のとおりです。
ログソースのカバレッジ
エンドポイント、クラウドワークロード（AWS、Azure、GCP）、ネットワーク機器、SaaSアプリケーションのテレメトリを確認しましょう。ネイティブ対応とカスタムパースが必要な範囲を見極めます。
検知ルールの品質
SIEMの価値は検知ロジックで決まります。活発なルールコミュニティ（SIGMA互換性は有力なシグナル）、頻繁な更新、カスタムルールの明確なドキュメントを確認しましょう。
スケーラビリティとデプロイ
単一ノードで快適に動くツールもあれば、分散アーキテクチャが必要なものもあります。コミットする前に必要なEPS（秒間イベント数）を把握しましょう。
統合エコシステム
SIEMはEDR、チケッティング、SOAR、そして特に脅威インテリジェンスソースと接続する必要があります。TAXII 2.1のネイティブ対応やTIPコネクタの有無が重要な基準です。
メンテナンスとコミュニティ
GitHubのコミット頻度、Issueへの応答時間、フォーラムを確認しましょう。事実上放棄されたプロジェクトでは、メンテナンスの負担をひとりで抱えることになります。
コンプライアンス対応
PCI DSS、HIPAA、SOC 2、GDPRの対象なら、関連するコンプライアンスダッシュボードやレポートが標準搭載か、コミュニティが構築済みかを確認しましょう。
2026年版オープンソースSIEMツールの候補リスト
#1 - Wazuh
概要：最も広くデプロイされているオープンソースSIEM/XDRプラットフォーム。OSSECのフォークとして始まり、ログ分析、侵入検知、脆弱性検知、ファイル整合性監視、コンプライアンスレポートを網羅する総合セキュリティ運用基盤に成長しました。
最適な用途：複数ツールを組み合わせることなく、SIEM、ホスト型IDS、XDRを単一のオープンソースプラットフォームでカバーしたいチーム。
- 統合エージェントがエンドポイントテレメトリ、ログ転送、アクティブレスポンスをカバー。
- PCI DSS、HIPAA、NIST、CISなど、すぐに使えるコンプライアンスコンテンツが充実。
- OpenCTIの脅威インテリジェンスはTAXII 2.1またはCSVフィード経由で取り込み、インジケーターをエンリッチ可能。
弱点：Wazuhインデクサー（OpenSearchベース）は大規模環境でリソースを消費しがちで、UIのカスタマイズ性はELK系より限定的です。ライセンス／デプロイ：GPLv2、セルフホスト。クラウド版（Wazuh Cloud）もあります。
#2 - Elastic Security（ELKスタック）
概要：Elasticsearch、Logstash、Kibanaのスタックの上に、検知エンジン、タイムライン調査ビュー、機械学習ベースの異常検知を備えたSIEM。最大限の柔軟性を求めるチームに人気の選択肢です。
最適な用途：自らスタックをチューニングし、カスタム検知ロジックを書けるエンジニアリング力のあるチーム。
- 脅威ハンティングに極めて強力なクエリ言語（KQL、EQL）。
- コミュニティツールによるSIGMAルール変換に対応し、大量データ環境へ水平スケール。
- OpenCTIが公式に維持するネイティブコネクタのひとつ：Elastic Security Intelストリームコネクタが脅威インテリジェンスをElasticsearchインデックスへ直接プッシュ。
弱点：無料のBasicティアには実質的な機能制限があり（一部の検知・ML機能は有償サブスクリプションが必要）、デプロイとチューニングの複雑さは高めです。ライセンス／デプロイ：デフォルトはElastic License 2.0（ソース公開型）。2024年以降は同じコードがOSI承認のAGPLv3でも提供されています。セルフホストまたはElastic Cloud。
#3 - Security Onion
概要：脅威ハンティング、ネットワークセキュリティ監視、ログ管理のために作られたLinuxディストリビューション。Suricata（IDS）、Zeek（ネットワーク分析）、Elasticスタック、専用アナリストコンソールを事前構成済みで同梱します。
最適な用途：数週間の統合作業なしに、すぐ導入できるネットワーク監視プラットフォームが欲しいSOCチーム。
- 組み立て不要の事前統合済み検知スタック。
- ホストテレメトリに加え、ZeekとSuricataによる強力なネットワーク可視性。
- ルールとコンテンツが定期更新される活発なコミュニティ。
弱点：思想が固まったアーキテクチャのためカスタムデプロイには不向きで、単一センサーを超えるスケールには計画が必要です。脅威インテリジェンス統合はTAXII 2.1またはCSV経由です。ライセンス／デプロイ：GPL、セルフホスト、オンプレミス前提の設計。
#4 - OpenSearch Security Analytics
概要：AWSが支援するElasticsearchのオープンソースフォークであるOpenSearchプロジェクトのSIEMコンポーネント。ログ取り込み、SIGMA互換の検知ルール、脅威インテリジェンス統合をOpenSearchエコシステム内で提供します。
最適な用途：すでにOpenSearch基盤を運用しているチーム、またはAWSネイティブな環境。
- SIGMAルールをネイティブサポート。変換ツールなしでコミュニティルールをインポート可能。
- AWSとOpenSearchコミュニティが活発にメンテナンス。CloudTrail、GuardDuty、VPCフローログと自然に統合。
- 完全にOSI承認されたオープンソースライセンス（Apache 2.0）。
弱点：Elastic Securityより新しいプロジェクトで、検知コンテンツやコミュニティの成熟度は劣り、脅威インテリジェンス統合には手作業の設定が多く必要です。ライセンス／デプロイ：Apache 2.0、セルフホストまたはAWS OpenSearch Service。
#5 - Graylog Open
概要：SIEM機能を備えたログ管理プラットフォーム。オープンソース版（Graylog Open）は集中ログ収集、検索、アラートに注力し、商用ティアがセキュリティ特化コンテンツとコンプライアンス機能を追加します。
最適な用途：検知エンジニアリングよりログ管理と検索を優先するチーム。特にセキュリティイベントと並行して大量のアプリケーション・インフラログを扱う場合。
- 大規模ログでも優れた検索パフォーマンス。
- ログ正規化のための柔軟なパイプライン処理と強力なアラート・通知システム。
- ログ中心のユースケースでは、フルELK構成より低い運用負荷。
弱点：WazuhやElastic Securityと比べ、組み込みのセキュリティ検知コンテンツは限定的。まずログ管理ツールであり、SIEMはその次です。高度なセキュリティ機能は商用ティアが必要です。ライセンス／デプロイ：SSPL（OSI非承認）、セルフホスト。
#6 - OSSEC
概要：最古参のオープンソースホスト型侵入検知システム（HIDS）のひとつ。ログ分析、ファイル整合性監視、ルートキット検知、アクティブレスポンスを実行します。
最適な用途：フルSIEMエージェントの導入が現実的でないエンドポイントの軽量なホスト監視、およびOSSECがすでに導入済みのレガシー環境。
- 極めて軽量なエージェントと幅広いプラットフォーム対応（Linux、Windows、macOS、Solaris、AIX）。
- 20年かけて築かれた大規模なコミュニティルールライブラリ。
- Wazuhが現代の後継であり、OSSECの設定と後方互換。
弱点：コア開発は大幅に減速し、活発な開発はWazuhへ移行済み。UIは最小限で、現代のSOCワークフローの主要SIEMには不向きです。ライセンス／デプロイ：GPLv2、セルフホスト。
#7 - AlienVault OSSIM（開発終了 - 参考掲載）
概要：AT&T Cybersecurityのオープンソース SIEM。資産検出、脆弱性評価、侵入検知、挙動監視、SIEM相関を単一プラットフォームに統合していました。開発は事実上停止：最終リリースは2022年5月で、終了が確認されています。
最適な用途：レガシー環境のみ。OSSIMを運用中のチームが、通常はWazuhなど活発にメンテナンスされるツールへの移行パスを計画するための参考です。なお、OTX（Open Threat Exchange）はOSSIMの終了とは無関係に、現在もOpenCTIのネイティブコネクタのひとつです。
弱点：開発は行われておらず、ハードウェア要件は重く、UIも古いままです。新規デプロイの候補にすべきではありません。ライセンス／デプロイ：GPLv2、セルフホスト（アプライアンスまたはVM）。
#8 - UTMStack
概要：ログ管理、脅威検知、インシデント対応、コンプライアンスレポートを単一スタックに統合した比較的新しいオープンソースSIEM + SOARプラットフォーム。ミッドマーケット組織がターゲットです。
最適な用途：別々のプラットフォームを導入せずに、SIEMと基本的なSOAR機能の両方が欲しいチーム。
- SIEM相関と並ぶ統合SOARプレイブック。
- PCI DSS、HIPAA、ISO 27001のコンプライアンスモジュール。
- ELK系より低いデプロイ複雑性と、活発なリリースサイクル。
弱点：WazuhやElastic Securityよりコミュニティとエコシステムが小さく、エンタープライズ規模での実績も限られます。ライセンス／デプロイ：AGPLv3（コピーレフト。ホスト型サービスとして配布する変更もAGPLv3で公開する義務あり）、セルフホスト。
Splunk Freeについて（オープンソースではありません）
Splunkの無料ティアは厳密にはオープンソースではなく、ソースコードは公開されていません。オープンソースSIEMの評価で頻繁に話題になるため、制約の理解が重要です。カテゴリ最強の検索・分析エンジンと巨大なアプリエコシステム（Splunkbase）を持つ一方、1日500MBの取り込み上限があり、本番SOCでの利用は現実的ではありません。「購入前に試す」ためのティアであり、無料の本番オプションではありません。
多くのチームに欠けているアーキテクチャ
SIEMはログを処理してアラートを生成します。つまり「何かが起きた」ことは教えてくれますが、活動の背後に誰がいるのか、どのキャンペーンに属するのか、他のどの資産がリスクにさらされているのかまでは教えてくれません。そのコンテキストは、構造化され、検知スタックに自動供給される脅威インテリジェンスから得られます。
SIEM
ログ収集、相関分析、アラート。例：Wazuh、Elastic Security、Security Onion。
脅威インテリジェンスプラットフォーム（TIP）
構造化CTIの保存、エンリッチメント、インジケーター管理。例：OpenCTI。
BAS / AEV
実際の攻撃者テクニックに対してSIEMの検知が本当に発火するかを継続的にテスト。例：OpenAEV。
ケース管理 / SOAR
インシデント対応とプレイブック実行。例：TheHive、Shuffle。
OpenCTIとSIEMの接続方法
OpenCTIはSTIX 2.1データモデルを中核とする脅威インテリジェンスプラットフォームです。インジケーター、TTP、脅威アクター、キャンペーン、マルウェア、脆弱性といった構造化CTIオブジェクトを保存・管理し、下流システムへ提供します：
- TAXII 2.1コレクション：SIEMが定期的にポーリングできるフィルタ可能なコレクション。専用コネクタのないSIEM（WazuhやSecurity Onionを含む）に推奨の統合パス。
- ネイティブストリームコネクタ：STIXイベントをElastic Security Intel、AlienVault OTX、Splunk SOARへリアルタイムにプッシュ。
- CSVフィード：あらゆるエンティティタイプをHTTP経由で公開できるシンプルなフィード。
SIEMが不審なIPやファイルハッシュでアラートを上げたとき、アナリストはワークフローを離れることなく、脅威アクターの帰属、関連キャンペーン、MITRE ATT&CKテクニックのマッピングを即座に確認できます。
OpenCTIのネイティブSIEM/SOAR統合を一目で
ネイティブなリアルタイム同期が要件なら最初に評価すべき3つの統合。その他のプラットフォームにはTAXII 2.1とCSVフィードがあります。
自社スタックに合ったオープンソースSIEMの選び方
万能の答えはありませんが、明確なパターンがあります：
- 最も完成度の高い、すぐ使える体験が欲しいなら：Wazuhから始めましょう。最小限の組み立てで最も広い範囲をカバーし、コミュニティも最も活発です。
- 強力なエンジニアリング体制と最大限の柔軟性が必要なら：Elastic Securityが最も強力なクエリ・分析機能とネイティブOpenCTIコネクタを提供します。ただし相応のチューニング投資が必要です。
- ネットワーク可視性が最優先なら：Security OnionはSIEM機能と並んでZeekとSuricataを同梱し、ネットワークセキュリティ監視のために作られています。
- AWSネイティブなら：OpenSearch Security Analyticsが自然な選択です。SIGMAのネイティブ対応とAWSサービスとのクリーンな統合を備えています。
どれを選ぶにしても：最初からインテリジェンスレイヤーを計画してください。成熟したSIEM環境に後からTIP統合を組み込むのは、最初から設計するより困難です。
よくある質問
2026年のベストなオープンソースSIEMは？
唯一の「ベスト」はなく、優先事項次第です。Wazuhは最小限の組み立てで最も完成度の高い体験を提供します。Elastic Securityはチューニングできるエンジニアリング力があるチームに最大の柔軟性を与えます。Security Onionはネットワークセキュリティ監視の専用設計で、OpenSearch Security AnalyticsはAWSネイティブ環境に自然にフィットします。
Elastic Securityは本当にオープンソース？
事情は複雑です。Elastic SecurityはデフォルトでElastic License 2.0の下で提供されます。ソースは公開されていますが、OSI承認の「オープンソース」ではありません。2024年以降、同じコードがOSI承認のAGPLv3でも提供されています。デプロイするバージョンと配布形態に適用されるライセンスを確認してください。
OpenCTIはWazuhと統合できますか？
現時点では専用のネイティブストリームコネクタはありません。OpenCTIが公式に維持するネイティブコネクタはElastic Security Intel、AlienVault OTX、Splunk SOAR向けです。WazuhやSecurity Onionのユーザーは、ほとんどの現代的なSIEMがネイティブ対応するOpenCTIのTAXII 2.1コレクションまたはCSVフィード経由で脅威インテリジェンスを統合できます。
SIEMと脅威インテリジェンスプラットフォーム（TIP）の違いは？
SIEMはログを収集・相関・アラートします。つまり「何かが起きた」ことを教えてくれます。OpenCTIのようなTIPは、構造化されコンテキスト化された脅威データ（インジケーター、TTP、脅威アクター、キャンペーン）を保存し、アラートを「誰が背後にいる可能性が高いか」「どう対処すべきか」でエンリッチします。両者は補完し合うレイヤーであり、代替関係ではありません。
BAS/AEVとは？SIEMとの関係は？
侵害・攻撃シミュレーション／敵対的エクスポージャー検証（BAS/AEV）ツール（OpenAEVなど）は、実際の攻撃者テクニックを環境内で実行し、SIEMの検知ルールが本当に発火するかをテストします。「検知ルールを書いた」と「そのルールが機能することを検証した」の間のループを閉じ、結果はSIEMのルールセットのチューニングにフィードバックできます。
Splunk Freeは本当にオープンソース？
いいえ。Splunkの無料ティアは、1日500MBの取り込み上限付きのプロプライエタリソフトウェアで、ソースコードは公開されていません。評価、開発、ごく小規模なデプロイには有用ですが、オープンソースSIEMではなく、本番SOCでのスケール利用には向きません。
SIEMを脅威情報に基づくものへ。
Elastic Security Intel、AlienVault OTX、Splunk SOARのネイティブコネクタを含む、OpenCTI向けの390以上のコネクタ、フィード、統合をXTM Hubでご覧ください。