[研究]比較Wazuh、典型商業EDR、XDR、NDR、SOAR

[研究]比較Wazuh、典型商業EDR、XDR、NDR、SOAR

2026-08-28

表格比較呈現 Wazuh、典型商業EDR、典型商業XDR、典型商業NDR、典型商業SOAR

比較項目	Wazuh	典型商業 EDR	典型商業 XDR	典型商業 NDR	典型商業 SOAR
核心定位	SIEM + HIDS/FIM + Security Monitoring	Endpoint Detection & Response	Extended Detection & Response	Network Detection & Response	Security Orchestration, Automation & Response
主要監控對象	Server、PC、Endpoint、Log、檔案、設定	PC、Server、Endpoint	Endpoint + Email + Identity + Cloud + Network 等	網路流量 / 網路行為	各種資安產品與事件
Agent	✅ 有	✅ 有	✅ 通常有	❌ 通常不需要 Endpoint Agent	❌ 通常沒有
Endpoint 行為監控	🟡 有，但不是最強項	🟢 很強	🟢 很強	❌	❌
Process 監控	🟡	🟢 強	🟢 強	🟡 間接觀察	❌
Malware / Ransomware 偵測	🟡	🟢 強	🟢 強	🟢 網路層偵測	❌
Exploit / Attack 行為偵測	🟡	🟢 強	🟢 強	🟢 強	❌
IOC 搜尋	🟢	🟢 強	🟢 強	🟢	🟡
Threat Hunting	🟢	🟢 強	🟢 很強	🟢 很強	❌
Log 收集	🟢 很強	🟡～🟢	🟢	🟢	🟡
Windows Event Log	🟢	🟢	🟢	❌	🟡
Linux Log	🟢	🟡	🟢	❌	🟡
FIM 檔案完整性監控	🟢 很強	🟡	🟢	❌	❌
Registry 監控	🟢	🟢	🟢	❌	❌
Web Server 目錄監控	🟢 很適合	🟡	🟢	❌	❌
網路封包分析	❌	🟡	🟢	🟢 核心功能	❌
Network Traffic Analysis	❌	🟡	🟢	🟢 核心功能	❌
IDS/IPS	🟡 可整合	🟡	🟢	🟢	❌
Identity / AD 分析	🟢 Log 層	🟢/🟡	🟢	🟡	🟡
Cloud 安全	🟡	🟢	🟢 很強	🟢	🟢
Email 安全	🟡 Log/整合	🟡	🟢	❌	🟢
SIEM	🟢 核心能力	❌/🟡	🟢	🟡	❌
Dashboard	🟢	🟢	🟢	🟢	🟢
Alert	🟢	🟢	🟢	🟢	🟢
Alert Correlation	🟢	🟢	🟢 很強	🟢	🟢
Incident Response	🟡	🟢 核心能力	🟢 核心能力	🟢	🟢 核心能力
自動隔離 Endpoint	🟡/需整合	🟢	🟢	❌	🟢 可呼叫其他產品
Kill Process	🟡/需自行處理	🟢	🟢	❌	🟢
自動封鎖 IP	🟡/可整合	🟢/依產品	🟢	🟢	🟢
自動化 Playbook	🟡	🟢	🟢	🟢	🟢 核心能力
SOAR	❌ 核心不是 SOAR	🟡	🟢/整合	🟡	🟢 核心
多產品協同處理	🟡	🟡	🟢	🟡	🟢 很強
Forensics	🟡	🟢 強	🟢 強	🟢	❌
Threat Intelligence	🟢 可整合	🟢	🟢	🟢	🟢
MITRE ATT&CK	🟢	🟢	🟢	🟢	🟢
成本	🟢 免費/開源	🔴 商業授權	🔴 通常較高	🔴 通常較高	🔴 通常較高
適合中小型環境	🟢 很適合	🟢	🟡	🟡	🟡
適合大型 SOC	🟢	🟢	🟢	🟢	🟢

用一句話區分

類型	最簡單的理解
Wazuh	「收 Log + FIM + HIDS + Security Monitoring + SIEM」
EDR	「盯住 Endpoint，找出攻擊行為並處理它」
XDR	「把 Endpoint、Network、Identity、Email、Cloud 等安全資料串起來看攻擊」
NDR	「盯住網路，看誰在跟誰通訊、是否有攻擊行為」
SOAR	「收到資安事件後，自動執行處理流程」

如果硬要把它們放在同一張架構圖：

Security Operations / SOC │ ┌──────────────┼──────────────┐ │ │ │ SIEM XDR SOAR │ │ │ ┌──┴──┐ ┌───┴────┐ 自動化 │Wazuh│ │EDR/NDR │ Playbook └──┬──┘ └───┬────┘ │ │ ┌──────┼──────┐ │ │ │ │ │ Log FIM HIDS Endpoint │ │ │ Server Server PC/Server

Wazuh 的適合度

技術	適合度
FIM	⭐⭐⭐⭐⭐ 95/100
Windows SACL + Event Log	⭐⭐⭐⭐⭐ 95/100
Sysmon	⭐⭐⭐⭐ 85/100
商業 EDR	⭐⭐⭐⭐ 85～95/100
商業 XDR	⭐⭐⭐⭐ 80～95/100
NDR	⭐ 20/100
SOAR	⭐ 20/100

(完)