人気のある選択肢が「ELK Stack」だ。ELK Stackは、「Elasticsearch」「Logstash」「Kibana」という3つの独立したオープンソースSIEMツールで構成される。

　ELK Stackの核となるレイヤーが、検索と分析のエンジンとして機能するElasticsearchだ。簡単な構成のPCや300ノードのクラスタでも実行でき、数百ペタバイトのデータをインデックス化する。インシデントデータや警告データの傾向を抽出することにも役立つ。

　Logstashはログデータを解析し、複数のサーバに分散しているログなどさまざまなソースからデータを抽出する。抽出したデータはインデックスを作成するためにElasticsearchに送信する。

　Kibanaはビジネスインテリジェンス（BI）のエンジンで、データをさまざまな視覚的表現で表示可能なダッシュボードを作成できる。データの表示を容易にすることに加え、機械学習を利用して異常を指摘することもできる。こうした機能により、ELK Stackはセキュリティの監視と強化のツールでありながら、ビジネス分析にも利用できる。

Apache Metron

　次に紹介するオープンソースSIEMツールは「Apache Metron」だ。ELK Stackがログとデータ解析の汎用ツールである一方、セキュリティに真っ向から向き合っているのがApache Metronだ。

　Apache Metronには4つの主要機能がある。まず、テレメトリーデータを長期にわたってコスト効率良く保管するストレージを提供するセキュリティデータレイク機能だ。2つ目は、さまざまなソースからデータを収集し、将来のエンドポイントをサポートする拡張的なフレームワークだ。3つ目に、SIEMの標準タスクであるデータの取り込みや脅威のアラートなどを実行する機能がある。4つ目は、機械学習の異常検知により駆動する脅威インテリジェンス機能だ。

OSSEC Project

　Apache Metronと同様、「OSSEC Project」もセキュリティツールとして機能するように設計されている。OSSEC Projectはログファイルの分析を実行するが、それは主に侵入検知システム（IDS）として機能するためだ。このログファイル分析は、セキュリティ侵害を狙う動きを検出するための機能全体をサポートする。

　他にも、ファイルの完全性チェック、ルートキットの検出、ポリシーの監視などを実行できる。セキュリティ侵害が試みられた場合、リアルタイムに警告を発する。

　OSSEC Projectのアーキテクチャはスケーラブルに設計されているため、マルチプラットフォームで利用可能だ。ホストベースのため、同時に複数のシステムを監視できる。さらに「Linux」「OpenBSD」「macOS」「Solaris」「Windows」などのOSに侵入検知機能を提供する。

AlienVault OSSIM

　「Open Source SIEM」（OSSIM）は、AlienVaultの「Unified Security Management」（USM）ツールの簡易版というのが最も適切な説明になるだろう。「AlienVault USM Anywhere」はクラウドベースのソフトウェアで、年単位で課金されるが、これに対してOSSIMはオープンソースで、オンプレミスにインストールするよう設計されている。

　OSSEIMはAlienVaultの有料サービスと同じ機能の多くを実行するが、1台のサーバでしか利用できない。OSSEIMは資産の検出とインベントリ、脆弱（ぜいじゃく）性評価、侵入検知、挙動監視、SIEMイベントの相関を実行する。

　高度なログ管理を必要とする企業は、クラウドベースのバージョンにアップグレードする必要がある。クラウドベースのバージョンはオープンソースSIEMツールを拡張する機能が利用できる。クラウドサービス群の「Amazon Web Services」（AWS）、「Microsoft Azure」、クラウドアプリを対象としたセキュリティ監視などがその例だ。サードパーティーのチケットソフトウェアとも連携できる。