Модули MISP и VirusTotal, имеющиеся в системе IRIS, не рассматривали? Касательно реагирования, оно в функционале SIEM коммерческого заложено (имею ввиду действия на хосте по типу изоляции, а не только сбор триажа)?
По поводу MISP и Virustotal в самом IRIS рассматривал. Выбрал Cortex, из-за того, что там есть другие анализаторы + очень важное - это респондеры. Для Cortex уже много есть из коробки и удобнее писать самостоятельные.
У SIEM есть свои агенты, которые выполняют роль реагирования
Интеграция SIEM с IRIS, Cortex, MISP, n8n (2 часть)