Wazuh vs Security Onion: Due Settimane di Test

La scelta di una piattaforma SIEM (Security Information and Event Management) o EDR (Endpoint Detection and Response) è cruciale per la postura di sicurezza di qualsiasi organizzazione. In un ambiente enterprise con migliaia di endpoint, le decisioni prese possono avere un impatto significativo sia sulla capacità di rilevamento delle minacce sia sull’efficienza operativa del team di sicurezza. Ho avuto l’opportunità di mettere a confronto due delle soluzioni open source più popolari, Wazuh e Security Onion, testandole per due settimane su un set di log reali provenienti da un’infrastruttura con oltre 2.000 workstation e 300+ VM VMware. L’obiettivo era valutare non solo le capacità tecniche, ma anche il consumo di risorse, la facilità di gestione e l’efficacia nel rilevare minacce comuni in un contesto operativo.

Testato su: Ubuntu 22.04 LTS · Wazuh 4.7.0 · Security Onion 2.4.50 · Agosto 2026

Prerequisiti / Ambiente di test

Per il test, sono stati allestiti due ambienti distinti ma con caratteristiche hardware equivalenti, per garantire una comparazione equa. Ogni ambiente era composto da un server manager/master e diversi agenti distribuiti su un campione di workstation e server Linux/Windows. La raccolta dei log includeva eventi di sistema, log di firewall (FortiGate), eventi di Active Directory e dati di traffico di rete campionati. La sfida principale era la gestione del volume di dati e la capacità di correlazione degli eventi in tempo reale, mantenendo al contempo un numero accettabile di falsi positivi.

Wazuh: Agenti leggeri e rilevamento endpoint

Wazuh è una piattaforma open source di sicurezza che integra funzionalità SIEM, EDR, HIDS (Host-based Intrusion Detection System) e monitoraggio della compliance. La sua architettura si basa su agenti leggeri installati sugli endpoint, che raccolgono dati e li inviano a un manager centrale per l’analisi. Durante il test, l’installazione degli agenti è stata relativamente semplice e scalabile, utilizzando script di automazione per la distribuzione su larga scala.

# Installazione di Wazuh agent su un sistema Linux (es. CentOS/RHEL)
sudo WAZUH_MANAGER='10.0.0.10' WAZUH_AGENT_GROUP='linux-servers' yum install wazuh-agent
sudo systemctl daemon-reload
sudo systemctl enable wazuh-agent
sudo systemctl start wazuh-agent

Punti di forza di Wazuh:

Rilevamento HIDS/EDR: Eccellente per il monitoraggio dell’integrità dei file (FIM), rilevamento di rootkit, monitoraggio dei processi e delle chiamate di sistema. Ho configurato regole personalizzate per rilevare comportamenti anomali specifici del nostro ambiente, come l’esecuzione di PowerShell in contesti insoliti. Leggi anche: Linux Server Hardening: Checklist 15 Punti per la Produzione (2026)
Compliance: Le dashboard predefinite per standard come PCI DSS, NIST, CIS Benchmark facilitano la verifica della conformità. Questo è un aspetto critico per molte organizzazioni. Leggi anche: NIS2 Ente Sanitario: Perimetro e Adeguamento Reale
Scalabilità: Il cluster OpenSearch (ex Elasticsearch) sottostante permette di gestire volumi elevati di log e di scalare orizzontalmente. Ho configurato un cluster con tre nodi dati per gestire i 2.000 endpoint senza rallentamenti significativi.
Costo: Essendo open source, i costi sono principalmente legati all’hardware e al personale. Non ci sono licenze software dirette, il che lo rende attraente per budget limitati.

Criticità di Wazuh:

Network Visibility: Wazuh, per sua natura, ha una visibilità limitata sul traffico di rete. Si affida ai log generati dagli endpoint o da firewall esterni. Per un’analisi di rete approfondita, è necessaria l’integrazione con strumenti dedicati.
Correlazione Complessa: La correlazione di eventi tra fonti diverse richiede una configurazione attenta delle regole e una buona conoscenza di OpenSearch Query Language (OSQL).

Security Onion: La suite completa per l’analisi di rete

Security Onion è una distribuzione Linux basata su Ubuntu che integra una suite completa di strumenti open source per il monitoraggio di rete (NSM – Network Security Monitoring), l’analisi dei log e la gestione degli incidenti. Include Zeek (ex Bro) per l’analisi di protocollo, Suricata per l’IDS/IPS, Elasticsearch/OpenSearch per l’indicizzazione dei log, Kibana/Grafana per la visualizzazione, TheHive per l’incident response e Playbook per l’automazione. L’installazione è più complessa rispetto a Wazuh, richiedendo una configurazione dettagliata delle interfacce di rete per la cattura del traffico.

# Esempio di un comando per avviare un sensore Security Onion
sosetup
# Interattivo, richiede la selezione delle interfacce di rete per monitoraggio

Punti di forza di Security Onion:

Visibilità di Rete: La capacità di analizzare il traffico di rete in profondità è il suo maggiore vantaggio. Zeek e Suricata forniscono dettagli granulari su sessioni, protocolli e potenziali minacce basate su firme o anomalie comportamentali. Questo ha permesso di rilevare attività di scansione e tentativi di exploit che i soli log degli endpoint non avrebbero mostrato.
Ecosistema Integrato: La suite di strumenti pre-integrata riduce il tempo di setup e configurazione. Avere TheHive e Playbook nello stesso ambiente semplifica notevolmente il workflow di incident response.
Threat Hunting: Gli strumenti come Fleet e CyberChef, integrati nella distribuzione, sono estremamente utili per i team di threat hunting che necessitano di analizzare grandi quantità di dati in modo interattivo.

Criticità di Security Onion:

Consumo di Risorse: Security Onion è notoriamente esigente in termini di risorse hardware, specialmente quando si abilita la cattura e l’analisi full-packet del traffico di rete. Per gestire 2.000 endpoint, è necessario un hardware robusto e ben dimensionato. Leggi anche: Elasticsearch OOM: Cluster RED per Shard Sbagliato
Curva di Apprendimento: La gestione di tutti gli strumenti integrati richiede una curva di apprendimento più ripida rispetto a Wazuh, che ha un focus più specifico.
Gestione degli Agenti: Non ha un sistema di agenti distribuito come Wazuh, quindi la sua forza è principalmente nell’analisi di rete e nella raccolta di log da fonti centralizzate.

Errori comuni e troubleshooting

Durante il test, uno degli errori più comuni con Wazuh è stato il mancato invio dei log da parte degli agenti a causa di problemi di connettività o configurazione del firewall. Verificare sempre le porte (default 1514/UDP per i log, 1515/TCP per l’enrollment) e i certificati. Per Security Onion, il problema principale è stato il dimensionamento errato dell’hardware, che ha portato a dropped packets e rallentamenti nell’indicizzazione dei log. Monitorare attentamente le metriche di sistema e di rete è fondamentale per entrambe le soluzioni. Un altro errore frequente è la mancanza di tuning delle regole, che porta a un’eccessiva quantità di falsi positivi, saturando il team di sicurezza. È essenziale dedicare tempo alla calibrazione delle regole e alla creazione di baselines per l’ambiente specifico.

# Verificare lo stato di un agente Wazuh
sudo systemctl status wazuh-agent
# Controllare i log dell'agente Wazuh per errori
sudo tail -f /var/ossec/logs/ossec.log

FAQ — Domande Frequenti

Wazuh o Security Onion sono conformi a standard come la NIS2?

Sì, entrambe le piattaforme, se correttamente configurate e gestite, possono contribuire significativamente al raggiungimento della conformità con standard come la NIS2, ISO 27001 e GDPR. Offrono funzionalità essenziali per il monitoraggio continuo, la gestione degli incidenti, il rilevamento delle minacce e l’audit log, che sono requisiti chiave di queste normative. La scelta dipende da quale aspetto della compliance si vuole rafforzare maggiormente (endpoint vs rete).

Posso integrare Wazuh e Security Onion?

Assolutamente sì. Molte organizzazioni scelgono di integrare le due soluzioni per combinare i punti di forza di entrambe. Ad esempio, è possibile utilizzare Wazuh per la visibilità EDR sugli endpoint e inviare i suoi alert a TheHive di Security Onion per la gestione degli incidenti. Oppure, i log di Security Onion possono essere inviati a un manager Wazuh per una correlazione centralizzata. Questa architettura ibrida offre una copertura di sicurezza più robusta.

Qual è la differenza principale nel rilevamento delle minacce?

Wazuh eccelle nel rilevamento di attività anomale a livello di host, come modifiche ai file di sistema, tentativi di accesso non autorizzati, esecuzione di software malevolo e violazioni delle policy. Security Onion, invece, è insuperabile nell’identificazione di minacce basate sul traffico di rete, come scansioni di porte, exploit di vulnerabilità note, comunicazioni con C2 (Command and Control) e anomalie nei protocolli di rete.

Quanto tempo è necessario per implementare una delle due soluzioni?

L’implementazione iniziale di Wazuh, specialmente se si utilizzano script di automazione per gli agenti, può richiedere da pochi giorni a un paio di settimane per un ambiente di medie dimensioni. Security Onion richiede più tempo, da due settimane a un mese o più, a causa della complessità della configurazione di rete, del tuning degli strumenti e della calibrazione delle regole per ridurre i falsi positivi. La fase di tuning è la più critica per entrambe.

Conclusioni con takeaway operativi

Dopo due settimane di test intensivi, è chiaro che né Wazuh né Security Onion sono una soluzione “taglia unica”. La scelta ideale dipende dalle esigenze specifiche dell’organizzazione. Se il tuo focus principale è la protezione degli endpoint, la compliance e hai risorse hardware limitate, Wazuh è una scelta eccellente per il suo approccio agent-based e la sua scalabilità. Se invece hai bisogno di una visibilità profonda sul traffico di rete, di una suite integrata per il threat hunting e l’incident response, e disponi delle risorse hardware e umane per gestirla, Security Onion offre un valore ineguagliabile. In molti scenari, la combinazione delle due piattaforme può fornire la copertura più completa, sfruttando il meglio di entrambi i mondi.

Il takeaway operativo è questo: prima di scegliere, definisci chiaramente le tue priorità di sicurezza, valuta il tuo budget per hardware e personale, e considera la curva di apprendimento per il tuo team. Nessuna soluzione open source è veramente “gratuita” se non si considera il costo del tempo e delle competenze necessarie per implementarla e mantenerla. La misurazione dei falsi positivi e dei tempi di rilevamento/risposta, come indicato nelle Misure di consumo e di rilevamento, è stata fondamentale per orientare la scelta.

Fonti

Aggiornato: Agosto 2026