開源資安工具軟體清單：中小企業的低成本武器庫
導入 ISMS 不等於買一堆設備。以下是實務輔導中常用的開源方案，依 ISMS 常見控制需求分類。
日誌蒐集與管理（A.8.15）
- Wazuh：SIEM + 主機型監控，內建法遵對照報表（含 ISO 27001），中小企業首選
- Graylog：集中式日誌管理，查詢介面友善
- Grafana Loki：輕量日誌堆疊，適合已用 Grafana 的環境
網路監控（A.8.16、A.8.20）
- Zabbix：主機與網路設備監控告警
- ntopng：網路流量可視化
- Suricata：IDS/IPS 入侵偵測
弱點掃描與資安檢測（A.8.8）
- OpenVAS / Greenbone：弱點掃描
- Nmap：連接埠與服務盤點
- OWASP ZAP：網頁應用程式檢測
端點防護與 EDR（A.8.7）
- Wazuh（同時具備 FIM 與端點偵測能力）
- Velociraptor：端點鑑識與威脅獵捕
加密與資料保護（A.8.24）
- VeraCrypt：磁碟／隨身碟加密
- GnuPG：檔案與郵件加密
- Bitwarden（自架）：企業密碼管理
多因子認證（A.8.5）
- Keycloak：SSO + MFA 身分管理平台
- privacyIDEA：企業 MFA 伺服器
選型提醒
- 開源不等於免費：維運人力是真實成本，選團隊養得起的工具。
- 先對控制項再選工具：從風險評鑑與 SoA 反推需求，而不是先裝再說。
- 證據輸出很重要：稽核時要拿得出報表——這是 Wazuh 這類內建法遵報表工具的優勢。