2026年版：おすすめオープンソースSIEMツール7選（徹底比較）
「オープンソースSIEM」という言葉は、実は3つの異なる法的状態を指します。2026年に注目すべき7製品をライセンスの観点から徹底比較します。
オープンソースのSIEMツールは、ライセンスコストを抑えたい企業にとって魅力的な選択肢です。しかし、導入と運用には専門知識が必要です。本記事では、2026年に注目すべき7つのツールを紹介します。
まず確認：この中で「本当にオープンソース」なのはどれか
「オープンソース SIEM」は誰もが同じ言葉で検索しますが、2026年時点でこの言葉は少なくとも3つの異なる法的状態を指しています。そしてその違いは、机上の話では終わりません。比較表のラベルを信じるのではなく、各プロジェクトの LICENSE ファイルを実際に開いて確認しました。以前の本記事の表も、2つ間違っていました。
| ツール | 実際のライセンス | OSI 承認のオープンソースか | 見落とされやすい条項 |
|---|
| Wazuh | GPLv2 | はい | コピーレフト。改変して配布するならソースも公開する必要があります |
| Security Onion | Elastic License 2.0 | いいえ | ELv2 は、第三者にホスト型・マネージド型サービスとして提供することを禁じています。社内利用なら問題ありませんが、MSP が商材にする前提なら要確認です |
| Elastic Stack | ソース: ELv2 / SSPL / AGPLv3、配布物: ELv2 | ソースは該当、ダウンロードした物は非該当 | 2024年に AGPLv3 が加わったのはソースコードのみで、リリースは引き続き Elastic License の下で提供されます。ソースから自分でビルドすれば OSI 承認のライセンスを選べますが、配布されている既定のビルドは該当しません |
| Graylog Open | SSPL | いいえ | Graylog 自身が source-available と呼んでいます。無償で使えますが OSI のオープンソースではありません |
| OpenSearch | Apache 2.0 | はい | なし。2024年から Linux Foundation 傘下です |
| Snort / Suricata | GPLv2 | はい（エンジンのみ） | エンジンは公開。ただし Snort の主力ルールは非公開です |
| OSSEC | GPLv2 | はい | なし |
この表で立ち止まる価値があるのは2行です。Security Onion は「無償でサービスを構築できる選択肢」としてタイの SI や MSP に最も勧められるツールでありながら、まさにその使い方を禁じるライセンスを採用しています。そして Elastic は、賛否どちらの陣営が語るよりも込み入っています。2024年の AGPLv3 追加は事実で OSI 承認でもありますが、対象はソースコードであって、Elastic が配布するビルドではありません。通常の手順でダウンロードした Elasticsearch は、いまも ELv2 の下にあります。2024年の変更は、「Elastic が再びオープンソースになった」という説明よりかなり範囲が狭いものです。法務部門にどちらの説明が伝わっているか、確認しておく価値があります。
1. Wazuh
最もバランスの取れたSIEM + EDR
OSSECから派生したWazuhは、単なるログ分析だけでなく、エンドポイントの脅威検知（EDR）機能も備えています。PCI DSSなどのコンプライアンス要件にも対応しやすいのが特徴です。公式のクイックスタートでも、シングルノード構成で想定されているのはエージェント100台／アラート保持90日までです（エージェント1〜25台で4 vCPU／メモリ8 GiB）。この規模を超えるとサーバーとインデクサーを分けたマルチノード構成が推奨され、その手間を商用SIEMと比べるかどうかが分岐点になります。
- メリット: コンプライアンス用のモジュール（PCI DSS）とEDRが最初から組み込まれている。
- デメリット: サーバーのリソースをかなり消費する。
2. Security Onion
ネットワーク監視のプロ向け
Zeek、Suricata、Elastic Stackを統合したLinuxディストリビューションです。脅威ハンティング（Threat Hunting）に最適ですが、使いこなすには高いスキルと相応のハードウェアが必要です。公式ドキュメントではスタンドアロン構成の最小要件を4コア／メモリ24GB／ディスク200GBとしており、ネットワークトラフィックを少しでも監視するなら32GB以上を検討するよう記載されています。TAPやSPAN経由でパケットをキャプチャするなら、IPアドレスを持たない専用インターフェースも別途必要になります。
- メリット: ネットワーク内のトラフィックが非常によく見える。
- デメリット: 使いこなすのが難しく、初心者が習得するには時間がかかる。
3. Elastic Stack (ELK)
高い柔軟性と拡張性
Elasticsearch、Logstash、Kibanaの組み合わせは、多くの商用SIEMの基盤としても採用されています。大量のデータを高速に検索できますが、SIEMとして必要な機能を揃えるには設定の手間がかかります。ライセンス面では2024年にAGPLv3が選択肢に加わりましたが、Elasticは公式FAQでリリースは引き続きElastic Licenseの下で提供されると説明しており、実際にダウンロードする配布物は現在もElastic License v2のままです。
- メリット: 大量のデータにスケールでき、検索も非常に速い。
- デメリット: チューニングに熟練したエンジニアが必要で、ライセンスにも制限がある（配布物はELv2、詳細は上の表）。
4. Graylog
ログ管理に特化
ログの収集・検索に優れ、無償のOpen版でも取り込み量や接続できるログソース数に制限はありませんが、GraylogがSIEMとして提供しているのは有償のEnterprise版で、Open版はその土台となるログ基盤にあたります。Open版のアラートは単一条件のトリガーまでで、複数ソースをまたぐ相関エンジンはEnterprise版に限られます。パーサーも検知ルールもレポートも自前で用意し、維持することになります。
- メリット: Syslog / CEF / GELF / NetFlowの入力に対応し、PipelineとStreamの機能もOpen版に含まれる。
- デメリット: Hot / Warm / Archiveのデータ階層化はEnterprise版・Security版の機能で、Open版にはない。そのため90日間保管するなら、検索に使う階層のストレージ費用を90日分まるごと負担する想定になる。
5. OpenSearch
真にオープンなElasticsearchの代替
Elasticsearchのライセンス変更を受け、AWS主導でコミュニティが分岐（フォーク）させた製品です。Apache 2.0ライセンスを維持し、ElasticsearchやKibanaとの高い互換性を保っていますが、プラグインの選択肢やエコシステムの成熟度では本家に一歩譲ります。SIEM機能にあたるSecurity AnalyticsプラグインもApache 2.0です。運営は現在Linux Foundationの下にあり、AWS単独の管理ではなくなりました。
- メリット: ルールは標準のSigma形式（YAMLファイル）なので、自分で編集でき、別の環境へ持ち出すこともできる。特定ベンダー独自の言語に縛られない。
- デメリット: 自動でフィールドがマッピングされる標準ログは16種類のみ。それ以外のログは、フィールドを手作業でマッピングする必要がある。
6. Snort / Suricata
IDS/IPSの定番エンジン
ネットワークトラフィックの検知に特化した侵入検知・防御システムです。Snortは長年の実績を持つシグネチャベースの検知エンジン、Suricataはマルチスレッド処理により高いパフォーマンスを発揮します。豊富なルールセットが利用できる一方、あくまで通信の検知が主目的であり、ログの保存・検索・可視化には別途ELKやWazuhなどとの連携が必要です。
- メリット: Emerging Threatsをはじめ、選べるルールセットが豊富。Suricataはマルチスレッド構成のため処理が速い。
- デメリット: 本格的なSIEMではないため、レポートやダッシュボードを見るにはELKやWazuhなどのログ保管基盤と自分で連携させる必要がある。
7. OSSEC
ホスト型侵入検知の老舗
ファイル改ざん検知（FIM）やルートキット検出に強みを持つホストベースの侵入検知システム（HIDS）で、Wazuhの派生元としても知られています。軽量でエージェントの実績も豊富ですが、標準では可視化ダッシュボードを持たないためKibanaやGraylogなどとの連携が必要で、開発の更新頻度もWazuhに比べると緩やかです。
- メリット: 軽量で、ファイル改ざん検知やルートキット検出に向いている。
- デメリット: ダッシュボードが付属せず、KibanaやGraylogとの連携は自前になる。Wazuhに比べて開発の更新も緩やか。
「無料の SIEM」と「オープンソース SIEM」は別の検索語
この2つは同じつもりで打ち込まれますが、行き着く先が違います。
無料だがオープンソースではないのが Security Onion と Graylog Open です。請求書は来ませんし、ソースも読めますが、その上に何を構築してよいかにライセンス上の制限があります。自社の SOC で使う分にはこの区別に実務上の意味はありません。しかし顧客向けにマネージドサービスとして仕立てる SI にとっては、その計画が成立するかどうかを決める分岐点になります。
商用製品の無償枠は、同じ検索結果に並びながら上の表のどこにも属さない第三のカテゴリです。Splunk Free、Elastic 自身の無償枠、Microsoft Sentinel の試用クレジットなど。これらは設計上、最初から天井があります。1日あたりの取り込み上限、更新時に消える機能、試用期間のタイマー。評価には向きますが、何年も続くコンプライアンス義務の土台にするには向きません。
正真正銘のオープンソースは Wazuh、OpenSearch、Suricata、OSSEC。Elasticsearch と Kibana は、Elastic の配布物ではなく AGPLv3 のソースを使う場合に限り、ここに入ります。
予算が削られたことが検索の理由なら、順序は単純です。まず Wazuh — 組み立ての手間が最も少なく、カバー範囲が最も広い。すでに Elasticsearch を運用していてライセンス問題を完全に切り離したいなら OpenSearch。Security Onion は、ネットワーク検知が本当の要件であり、かつ再販しない場合に選びます。
SIEM の代替を探す：LogRhythm・Exabeam・ArcSight・LogEase からオープンソースへ
契約更新の時期になると必ず出てくるのが「今の製品を続けないなら、代わりに何があるか」という問いです。ここで意外と知られていないのが、LogRhythm と Exabeam がもう別々のベンダーではないという点。合併は2024年7月17日に完了し、存続する会社は Exabeam の名前を選びました。いま logrhythm.com/products にアクセスすると exabeam.com へリダイレクトされます（製品そのものは健在で、2026年7月1日にも新しいリリースが出ています）。下の表で最初の2行が同じ会社を指しているのは、これが1社の2つの製品ラインだからです。
| 商用製品 | 認めるべき強み | オープンソースの代替 | 引き換えに背負うもの |
|---|
| LogRhythm SIEM | MITRE ATT&CK に対応した1,100本超の既製相関ルールと、ISO 27001 / PCI DSS / HIPAA などのレポート一式 | Security Onion | Windows Server も SQL Server も運用しなくてよくなる一方、ルールとコンプライアンス報告は自前で用意する |
| Exabeam | 行動のベースラインを自ら学習し、文脈に応じてリスクスコアを付ける UEBA。Gartner の SIEM MQ でリーダーに6回選出 | Security Onion | Suricata/Zeek、Hunt 画面、Cases と調査の一連は揃うが、行動ベースのリスクスコアリングを埋められるものはこのリストにない |
| OpenText ArcSight | 480種類を超えるイベントソースを正規化し、100,000 EPS 超に対応。他社製品にも取り込まれている CEF フォーマット | Graylog | pipeline のパース、アラート、ダッシュボードと日々の運用は回るが、数百種類の既製コネクタも case management も付いてこない |
| LogEase（日志易） | 自社開発の検索エンジン Beaver と、独自のパイプ型検索言語 LogEase SPL | OpenSearch | PPL も同じくパイプでコマンドをつなぐ書き方で、Security Analytics は MITRE ATT&CK タグ付きの Sigma ルールが全ディストリビューションに標準で入る。ただしクラスタの面倒は自分で見る |
4社を並べると共通点が見えてきます。価格を公開しているベンダーが一つもありません。LogRhythm は営業担当に問い合わせてください、の一文だけ。Exabeam はサイトに Pricing のメニュー自体がありません。ArcSight は取り込み容量を EPS で課金し、しかも45日間の移動中央値で測るので、ログが増えれば請求も増えます。LogEase も製品ページとドキュメントページに価格の記載はなく、マニュアルはメール認証つきのダウンロードフォームの先にあります。結局どれも、評価の第一歩が営業とのやり取りになります。SIEM 本体をダウンロードして自分で試す入口はありません。
本当の要件が「タイのコンピュータ犯罪法に沿ってトラフィックデータを90日分保管し、後から検索でき、監査人に出せるレポートがある」ことなら、UEBA を含む大規模プラットフォームの評価に営業サイクルを費やすのは要件に対して買いすぎです。そこで zcr は価格をサイトに載せる道を選びました。zcrLog Cloud は月額4,000バーツから（1日あたり1 GB、90日保管）。どのプランも機能は同一で、違うのは容量だけです。
早見表：どのツールが自社に合うか
| ツール | 向いている用途 | ライセンス | MSP が再販できるか | 導入難易度 |
|---|
| Wazuh | SIEM + XDRのオールラウンド | GPLv2 — オープンソース | 可（改変配布分はコピーレフト） | 中 |
| Security Onion | ネットワーク脅威ハンティング | Elastic License 2.0 — source-available | 不可（ホスト型・マネージド提供） | 高 |
| Elastic Stack (ELK) | 検索特化のカスタム構成 | ソースは ELv2/SSPL/AGPLv3、配布物は ELv2 | AGPL ソースから自前ビルドする場合のみ | 高 |
| Graylog Open | ログ管理を主目的とするチーム | SSPL — source-available | 制限あり | 中 |
| OpenSearch | Elasticsearchの代替 | Apache 2.0 — オープンソース | 可 | 高 |
| Snort / Suricata | ネットワークIDS/IPS層 | GPLv2 — オープンソース（ルールは別） | 可 | 中 |
| OSSEC | ホスト型ファイル整合性監視 | GPLv2 — オープンソース | 可 | 低 |
オープンソース運用の課題
「ライセンス無料」は魅力的ですが、以下のコスト（TCO）を見落としてはいけません。
- ハードウェアコスト: 大量のログを長期間保存するためのサーバー費用。
- 人的コスト: システムの保守、パッチ適用、チューニングにかかるエンジニアの工数。
- コンプライアンス: 監査レポートを自前で作成する必要があります。
よくある質問
ホームラボに最適なオープンソースSIEMは？
WazuhやOSSECは導入が簡単でリソース消費も少なく、1台のVMで十分動かせます。Security OnionやフルスペックのElastic Stackは、実用的に使うにはより強力なハードウェアが必要です。
軽量で高速にログを取り込めるオープンソースSIEMはありますか？
Graylogが最も導入・検索ともに高速です。本来の役割はログ管理です。フルスペックのSIEMではありませんが、XDRレベルの検知が不要な小規模チームであれば、大量のログ取り込みにも十分対応できます。
拡大するSOCチームにとって最もコスト効率の良い選択肢は？
エンジニアの工数を含めれば、完全に「無料」なツールはありません。Wazuhは1人のアナリストから小規模チームへの拡張が最も滑らかですが、どのツールもログ量の増加に応じて専任の担当者が必要になります。
オープンソースSIEMは本当に無料ですか？
ソフトウェア自体にライセンス費用はかかりませんが、総保有コスト（TCO）にはログ保存用のハードウェアと、保守・チューニング・コンプライアンスレポート作成を担うエンジニアの人件費が含まれます。コンプライアンス期限を抱える組織では、この運用コストがマネージドサービスへの移行を後押しする要因になることが多いです。
この中で本当にオープンソースライセンスのままのツールは？
Wazuh（GPLv2）、OpenSearch（Apache 2.0）、Snort と Suricata（GPLv2）、OSSEC（GPLv2）は現在も完全にオープンソースです。Elasticsearch と Kibana は特殊で、2024年以降ソースコードには AGPLv3 という選択肢がありますが、Elastic の FAQ はリリース自体は引き続き Elastic License の下で提供されると明記しており、ダウンロードしたビルドは OSI のオープンソースではありません。完全にオープンソースではないものが2つあります。Graylog のオープン版は v4.0 で SSPL に移行し、Graylog 自身が source-available と呼んでいます。Security Onion は Elastic License 2.0 です。どちらも無償で運用できますが、OSI 承認のオープンソースではありません。
MSP はこれらでマネージドサービスを提供できますか？
Wazuh、OpenSearch、Suricata、OSSEC は可能です。Security Onion は不可 — Elastic License 2.0 が第三者へのホスト型・マネージド提供を明確に制限しています。Graylog の SSPL にもサービス提供に関する独自の制限があります。これは後から気づくと最も高くつく細部です。基盤を作り終えたあとに表面化するからです。
zcr の場合：ログを集める製品と、SOC を回す製品
zcr は、ログを集める役割と SOC を回す役割を、別々の製品に分けています。どちらも単独で購入できます。
集める側が zcrLog です。FortiGate や Palo Alto の syslog は自動検出で取り込み、Windows のイベント（Event ID 4688、プロセス作成など）は、送信元 IP／ホスト名／ユーザー／Event ID／プロトコルがそれぞれ独立した列に切り出された一覧として表示されます。どの列でも絞り込めます。クラウド側は、Microsoft Entra ID のサインインログと監査ログ、Microsoft 365（Exchange、SharePoint、Teams）の監査ログ、SentinelOne Singularity のアラートを API 経由で取り込みます。AWS CloudTrail、Google Cloud監査ログ、CrowdStrike Falconのログも収集できます。zcrLog の Log Viewer では、System Logs、EDR Logs、Microsoft Entra ID がそれぞれ別のタブに分かれています。1日あたりの GB クォータと EPS 上限、超過料金は Settings の Usage & Billing で確認できます。ログを90日分保管して後から検索できればいい、というだけなら、zcrLog だけで十分です。
インシデントが重大度別に分かれ、MTTA / MTTR と SLA 遵守率を追い、検知ルールが ATT&CK のどこをカバーしているかを確かめる。そこまで必要になったら、zcrSIEM の出番です。zcrSIEM のダッシュボードでは、これらに加えて検知遅延も計測します。zcrSIEM はログを直接取り込むので、zcrLog の導入は必須ではありません。取り込み容量はプランごとに決まっているため、すでに別の場所でログを集めているチームは zcrSIEM だけで始められます。上の表で「ルールは自前で用意する」とした部分が、そのまま画面になっています。Detection Rules の Coverage は、いま動いているルールと、ログソースごとに有効になっているルールを並べて表示します。カバー状況は MITRE ATT&CK に照らして採点され、タクティクス別に分解されます。取り込んだどのソースからもまだルールが引かれていない攻撃手法が、この画面でわかります。Threat Hunting には平易な文章で書いた説明をクエリに変換する入力欄もあります（実行前に自分で読んで直す前提の作りになっています）。テナント切り替え機能があるので、複数社をまとめて運用する MSSP のような使い方にも対応します。
zcrLog だけで足りるのか、SOC 側まで要るのか。ログ量と運用体制を見せていただければ、その場で切り分けます — デモをリクエスト
自社の環境についてのご相談は、こちらへどうぞ。
出典
- Security Onion — License — Security OnionがElastic License 2.0の下にあり、第三者へのホスト型・マネージド型サービス提供を制限していることを確認
- Elastic — Licensing FAQ — 2024年に追加されたAGPLv3の適用範囲がソースコードのみであり、配布されるリリースは引き続きElastic Licenseの下にあることを確認
- Linux Foundation — OpenSearch Software Foundation — OpenSearchのガバナンスが2024年9月にLinux Foundationへ移管されたことを確認
- BusinessWire — Exabeam and LogRhythm Complete Merger — 合併完了日（2024年7月17日）と存続会社名を確認。
- Exabeam — LogRhythm SIEM — 1,100本超の既製相関ルール、掲載されているコンプライアンス枠組み（ISO 27001、PCI DSS、HIPAAを含む）、価格の問い合わせを営業担当へ案内するFAQを確認
- Exabeam — named a Leader for the sixth time in the 2025 Gartner Magic Quadrant for SIEM — リーダー選出の6回分の年：2018、2020、2021、2022、2024、2025年を確認
- OpenText — ArcSight Enterprise Security Manager — 480種類を超えるイベントソースと毎秒100,000件超のイベント処理を確認
- Micro Focus — How Data Ingestion Affects Your License (ArcSight Platform 22.1) — ライセンスがEPSで定められ、45日間の移動中央値で測られることを確認
- LogEase — SIEM Platformとドキュメントページ — 自社開発の検索エンジンBeaver、Search Processing Language、メール認証つきのダウンロードフォームの先にあるマニュアルを確認
- OpenSearch docs — Supported log typesとCreating detectors — 自動マッピング付きの標準ログタイプが16種類であること、自動でマッピングされないフィールドは手作業でマッピングすることを確認
- Graylog — Feature List, December 2025 (PDF) — Graylog Open が Syslog、CEF、GELF、Beats、NetFlow などの入力に対応し Pipeline と Stream を備えること、相関エンジンと Hot / Warm / Archive のデータ階層化が Enterprise 版・Security 版の機能であることを確認
- OpenSearch docs — About Security Analytics、Working with rules、security-analytics リポジトリ — Security Analytics が OpenSearch 向けの SIEM 機能であること、Sigma ルール（YAML 形式）を取り込み・編集できること、Apache-2.0 ライセンスであることを確認
- Proofpoint — Emerging Threats Open rules — Snort と Suricata 向けの Open ルールセットの公開ダウンロード先を確認
- Wazuh documentation — Quickstart — シングルノード構成の目安（エージェント100台／アラート保持90日、1〜25台で 4 vCPU／メモリ 8 GiB）と、大規模環境には分散構成が推奨されることを確認
- Security Onion documentation — Hardware requirements — スタンドアロン構成の最小要件（4コア／メモリ24GB／ディスク200GB）、少量でもネットワークトラフィックを監視するなら32GB以上を検討すること、TAP や SPAN で監視するなら IP アドレスを持たない専用インターフェースが必要なことを確認