[研究]Splunk、Splunk Free Server、Log360、ArcSight、Wazuh 五套 SIEM 比較

[研究]Splunk、Splunk Free Server、Log360、ArcSight、Wazuh 五套 SIEM 比較

2026-11-14

Splunk、Splunk Free Server、Log360、ArcSight、Wazuh 五套 SIEM 比較

這五套產品都能用於 SIEM（Security Information and Event Management，安全資訊與事件管理），但定位有明顯差異：

• Splunk Enterprise：企業級日誌分析、SIEM、資安事件調查平台。
• Splunk Free Server：Splunk 免費授權模式，並不是另一套獨立產品。
• ManageEngine Log360：整合 SIEM、AD 稽核、Windows 事件監控、威脅偵測及合規報表。
• ArcSight：大型企業及政府機構常見的企業級 SIEM，著重事件關聯分析與集中式資安監控。
• Wazuh：開源 SIEM/XDR 平台，兼具端點監控、檔案完整性監控、弱點偵測及合規檢查。

先講結論：

需求	優先考慮
大型企業 SOC、複雜事件關聯分析	ArcSight / Splunk
日誌搜尋、分析、視覺化	Splunk Enterprise
免費、自架、可自行擴充	Wazuh
AD、Windows Server、帳號稽核	Log360
Splunk 免費測試及學習	Splunk Free
SIEM + EDR/XDR 相關端點監控	Wazuh

一、五套產品功能比較

以下以企業地端部署（On-premises）為主要比較基準。ArcSight 以 OpenText ArcSight ESM 為代表。

比較項目	Splunk Enterprise	Splunk Free Server	ManageEngine Log360	ArcSight ESM	Wazuh
產品定位	商業 SIEM / Log Analytics	免費日誌分析	商業 SIEM	企業級 SIEM	開源 SIEM / XDR
開發商	Cisco（Splunk）	Cisco（Splunk）	ManageEngine	OpenText	Wazuh Inc. / 開源社群
授權	商業付費	免費	商業付費	商業付費	開源免費
原始碼開放	否	否	否	否	是
地端部署	支援	支援	支援	支援	支援
雲端部署	支援	不適用於獨立 Free 架構	支援	依產品方案	支援
Windows Log 收集	支援	支援	支援	支援	支援
Linux Log 收集	支援	支援	支援	支援	支援
Syslog 收集	支援	有限制	支援	支援	支援
Firewall Log	支援	可收集但有限制	支援	支援	支援
Windows Event Log	支援	支援	強項	支援	支援
Active Directory 稽核	透過 Add-on / 資料分析	可自行分析	強項	支援	支援
SQL Server 稽核	支援	可自行分析	支援	支援	可透過 Log 收集與規則
IIS Log	支援	支援	支援	支援	支援
即時事件分析	支援	可搜尋，無正式 Alert	支援	強項	支援
Event Correlation	強	有限	支援	強項	支援
UEBA	透過相關付費方案	不支援完整功能	支援	依方案與模組	非原生完整 UEBA
Threat Intelligence	透過整合與應用	需自行整合	支援	原生整合	支援整合
Dashboard	強	支援	支援	支援	支援
自訂查詢	SPL	SPL	查詢及篩選	規則與查詢	規則、查詢及 API
Alert 告警	支援	不支援	支援	支援	支援
Email 告警	支援	不支援原生 Alert	支援	支援	支援
自動化應變 SOAR	需整合或購買相關方案	不支援	依方案	原生 SOAR 能力	可透過 Active Response 整合
File Integrity Monitoring	需整合	需整合	支援	需整合	原生強項
Vulnerability Detection	需整合	需整合	依模組	需整合	原生支援
MITRE ATT&CK	透過應用與內容	需自行整合	支援	支援	支援相關映射
多使用者權限	支援	不支援	支援	支援	支援
分散式架構	支援	不支援	支援	支援	支援 Cluster
適合大型 SOC	非常適合	不適合	適合	非常適合	適合，需自行規劃

說明：支援不等於原生內建，部分功能需要 Agent、Connector、Add-on、額外授權或自行撰寫規則。不同版本及採購模組也會影響功能。

參考官方產品資料：

help.splunk.com+4

二、五套產品的優點、缺點

產品	優點	缺點
Splunk Enterprise	搜尋能力強、SPL 彈性高、資料來源廣、Dashboard 完整、適合複雜事件分析	授權成本、資料量增加後成本高，需要專業人員維護
Splunk Free	免費、不限使用期限、保留 Splunk 搜尋及分析體驗	每日 500 MB、沒有 Alert、沒有使用者認證、不適合正式多人 SOC
Log360	AD 稽核、Windows 事件、帳號變更、合規報表整合度高，管理介面相對容易上手	商業授權、部分進階功能依模組，客製分析彈性與 SPL 不同
ArcSight ESM	即時事件關聯能力強、大量事件處理、適合大型 SOC、支援多種事件來源	建置及維護複雜、專業技術門檻高、商業授權成本
Wazuh	開源免費、端點 Agent、FIM、漏洞偵測、設定檢查、規則可自訂	需要自行維護、調校規則、整合及告警流程，企業級 UEBA/SOAR 能力不如完整商業平台

特別注意：Splunk Free Server

永久免費授權

Splunk Free 並不是 Splunk Enterprise 的另一個獨立產品，而是 Splunk Enterprise 使用 Free License 的模式。

項目	Splunk Free 限制
每日索引量	500 MB
使用期限	不限期限
搜尋 SPL	支援
Dashboard	支援
Report	支援，但部分功能受限
Alert	不支援
使用者帳號	不支援
Role 權限	不支援
登入驗證	不支援，直接以管理員權限進入
Distributed Search	不支援
Indexer Clustering	不支援
第三方 TCP / HTTP Forwarding	不支援
多台 Server 集中管理	不適合

非常重要： 如果超過每日 500 MB，會產生 License Warning；在滾動 30 天內達到 3 次警告時，會進入違規狀態，繼續收集資料但停止一般資料搜尋。

資料來源：Splunk 官方文件。

https://help.splunk.com/en/splunk-enterprise/administer/admin-manual/10.4/configure-splunk-licenses/types-of-splunk-enterprise-licenses

官方網址：

• Splunk Free 功能限制

• Splunk Enterprise 授權類型

三、架構及部署方式比較

比較項目	Splunk Enterprise	Splunk Free	Log360	ArcSight ESM	Wazuh
Server 核心	Splunk Enterprise	Splunk Enterprise	Log360 Server	ArcSight ESM	Wazuh Server
Log Collector	Universal Forwarder / Heavy Forwarder	Forwarder（有限制）	Agent / Agentless	SmartConnector	Wazuh Agent / Syslog
Log 儲存	Indexer	本機 Index	Log360 儲存引擎	Logger / 儲存整合架構	Wazuh Indexer
Web 管理介面	Splunk Web	Splunk Web	Log360 Console	ArcSight Console / Web 介面	Wazuh Dashboard
事件分析	SPL / Analytics	SPL	Correlation / Analytics	Correlation Engine	Decoder / Rules
告警引擎	Alert Engine	無	Alert Engine	Correlation Engine	Rules / Active Response
擴充方式	Add-on / App / API	有限	Module / Connector	SmartConnector / FlexConnector	Rules / Integrations / API
高可用性	支援	不支援	依部署方案	支援企業級架構	Cluster

Wazuh 的架構尤其值得注意：由 Agent、Wazuh Server、Wazuh Indexer、Wazuh Dashboard 組成，Agent 負責蒐集端點資料，Server 負責分析，Indexer 負責索引及儲存。

Wazuh documentation

https://documentation.wazuh.com/current/getting-started/architecture.html

Wazuh 架構示意

Windows / Linux / macOS / Server

Wazuh Agent、Syslog、Firewall Log

Wazuh Server

Decoder、Rules、Event Analysis、Alert

Wazuh Indexer

Log Indexing、Storage、Search

Wazuh Dashboard

事件查詢、Dashboard、Alert、FIM、漏洞管理

四、實際 MIS / SOC 使用情境比較

這部分以 Windows Server、AD、IIS、SQL Server、Firewall、端點資安監控為例。

MIS / SOC 需求	Splunk Enterprise	Splunk Free	Log360	ArcSight	Wazuh
Windows 登入成功 4624	優秀	可查詢	優秀	優秀	優秀
Windows 登入失敗 4625	優秀	可查詢	優秀	優秀	優秀
帳號停用 4725	優秀	可查詢	優秀	優秀	優秀
帳號建立 4720	優秀	可查詢	優秀	優秀	優秀
AD 群組異動	優秀	可查詢	優秀	優秀	優秀
特權帳號異常操作	優秀	無即時告警	優秀	優秀	需自行設計規則
RDP 登入追蹤	優秀	可查詢	優秀	優秀	優秀
PowerShell 執行紀錄	優秀	可查詢	優秀	優秀	優秀
USB 裝置使用	需整合	需整合	依監控模組	需整合	需自行整合
VMware Workstation 行為	需整合	需整合	需整合	需整合	需整合
檔案異動追蹤	需整合	需整合	支援	需整合	原生 FIM
惡意程式偵測	需整合	需整合	依方案	需整合	支援
弱點掃描 / 偵測	需整合	需整合	依方案	需整合	原生支援
多來源事件關聯	優秀	有限	優秀	優秀	良好

注意：這裡的「優秀」是產品能力定位，不代表安裝後就能自動取得所有事件。例如 Windows 的 4725 帳號停用事件，仍然需要啟用正確的 Audit Policy，並確保 Security Log 有保留該事件。

五、綜合評分與推薦

以下是依產品功能定位、部署難度、維護成本、SIEM 能力及企業適用性所做的主觀評分，不是第三方機構排名。

產品	SIEM 分析能力	部署容易度	維護容易度	成本效益	綜合評分
Splunk Enterprise	97	85	82	65	92
Splunk Free	65	95	90	98	70
Log360	88	90	88	85	89
ArcSight ESM	98	65	65	60	91
Wazuh	85	75	70	99	88

評分以一般企業使用情境為基準；不是產品效能測試結果，也不是廠商官方評分。

我的推薦順序

Splunk Enterprise Guide on Kali Linux: Installation and Usage

1. Splunk Enterprise

企業日誌分析首選

搜尋、跨來源資料關聯、客製化分析能力非常完整。適合已有 SIEM 專業人員的企業。

Log360の機能一覧と機能ごとの評価を紹介！【ITreview】IT製品のレビュー・比較サイト

2. ManageEngine Log360

MIS 管理實務推薦

如果主要工作是 AD、Windows Server、帳號異動、登入追蹤、稽核報表，值得優先評估。

ArcSight Logo PNG Vector (SVG) Free Download

3. ArcSight ESM

大型 SOC 推薦

適合大量事件即時關聯、複雜偵測規則及大型企業 SOC。

Bringing AI to Wazuh SIEM: How MCP Server Enables Natural Language Security Queries | by Syed Jawad | Medium

4. Wazuh

免費自架推薦

適合想自行掌握 Agent、FIM、弱點偵測、Windows/Linux 端點安全的 MIS。

Homepage

5. Splunk Free Server

適合學習 SPL、測試資料蒐集及建立 Dashboard，但不建議當成正式 SIEM。

六、針對現有環境的建議

你目前已有 Splunk 10.4.3（Rocky Linux）及自架 Wazuh，因此我會建議不要急著替換，而是先比較兩套系統在實際環境的偵測能力。

測試項目	Splunk	Wazuh	建議
Windows Security Event	蒐集及 SPL 分析	Agent 收集及 Rules 分析	比較事件完整性
AD 帳號停用	SPL 查詢	自訂規則	比較即時告警
RDP 登入	SPL 關聯	Agent / Rules	比較事件追蹤
PowerShell	SPL 分析	Rules 分析	比較可見度
Sysmon	Add-on / UF	Agent	比較端點偵測
FIM	需整合	原生支援	Wazuh 優勢
弱點偵測	需整合	原生支援	Wazuh 優勢
跨設備關聯	SPL	Rules	比較客製化彈性

我認為最值得實際測試的是：

1. Splunk + Wazuh 同時蒐集相同 Windows Server 的 Security、System、Sysmon Event。

2. 建立帳號建立、停用、刪除、登入失敗、RDP 登入等測試事件。

3. 比較兩套產品的事件解析完整度、告警速度、查詢方便性。

4. 再評估是否需要引進 Log360 或 ArcSight。

七、官方網站及文件

產品	官方網站
Splunk	Splunk 官方網站
Splunk Free	Splunk Free 官方文件
ManageEngine Log360	Log360 官方網站
OpenText ArcSight	ArcSight ESM 官方網站
Wazuh	Wazuh 官方網站
Wazuh Documentation	Wazuh 技術文件

(完)