【2026年】SIEM Wazuh ホーム環境セットアップ｜セキュリティ監視基盤

Docker 環境でのインストール手順：Docker Compose 編

自宅環境で Wazuh を構築する際、最も安定性が高く、かつリソース管理が容易な方法は Docker Compose を利用することです。2026 年時点の Docker Engine はバージョン 27 以上が主流であり、セキュリティ機能も強化されています。インストール手順では、まず Docker と Docker Compose のインストールを確認します。Ubuntu 24.04 LTS または Debian 12 ベースのサーバーであれば、公式リポジトリから docker-ce パッケージを sudo apt install docker.io docker-compose-plugin コマンドで導入可能です。この際、カーネルバージョンが 5.15 以上であることを確認し、コンテナランタイムとして containerd を使用することが推奨されます。

インストールの核心となるのは、docker-compose.yml ファイルの生成です。ここでは各コンポーネントのリソース制限を明示的に設定する必要があります。Manager コンテナには cpus: "4.0" と mem_limit: 8g を指定し、Indexer には cpus: "2.0" と mem_limit: 16g を割り当てます。ディスクマウントでは、永続化が必要な /var/ossec/data/indexer ディレクトリをホストのボリュームに紐付けます。セキュリティ向上のため、各コンテナはプライベートネットワークに配置し、外部への直接アクセスを防ぎます。また、環境変数として OSSEC_SHARED_SECRET を生成し、エージェントとの通信鍵として設定します。このシークレットは 32 文字以上のランダム文字列を使用し、安全管理上 .env ファイルで管理することを強く推奨します。

インストール完了後の初期設定では、Wazuh Dashboard のログイン認証情報を確認します。デフォルトでは admin ユーザーと生成されたパスワードが使用されますが、これは必ず変更してください。また、インデクサーへの接続設定や SSL 証明書の有効化も忘れずに行います。具体的には、/etc/ssl/certs/wazuh.crt と /etc/ssl/private/wazuh.key に自己署名証明書を設定し、HTTPS 接続を強制します。これにより、ブラウザ経由での管理画面アクセスが暗号化され、中間者攻撃から保護されます。さらに、バックアップ戦略として、Docker Volume の定期的なスナップショットを取得するスクリプトもセットアップしておきます。

エージェントの多様な OS への展開戦略：Windows/Linux/macOS/Raspberry Pi

Wazuh 監視基盤の実効性を高めるためには、対象となるすべてのシステムにエージェントを適切に展開することが不可欠です。各オペレーティングシステムによってログ形式やインストール方法が異なるため、OS ごとの最適な設定が必要です。2026 年時点では、Wazuh エージェントは Linux の systemd サービスとして、Windows では Windows Service として、そして macOS では LaunchDaemon として管理されるのが標準的な運用形態です。

Linux 環境におけるエージェント展開は最も一般的です。Ubuntu 24.04 や Debian 12 では、公式の .deb パッケージを dpkg -i wazuh-agent_*.deb でインストールし、wazuh-agent start コマンドで起動します。重要なのは、FIM（ファイル整合性監視）の設定です。システムディレクトリ /etc や /bin などを監視対象に含めることで、改ざん検知が可能になります。また、syslog を設定することで、システムイベントログも Wazuh に集約できます。Windows の場合は、MSI インストーラーを使用し、マネージャへの登録キーを入力します。Windows イベントログは、セキュリティログやシステムログの重要イベント（ID 4625: ログオン失敗など）を抽出するフィルタリング設定が必須です。

macOS および Raspberry Pi における展開も考慮する必要があります。macOS の場合、Unified Log System を参照し、wazuh-agent がバックグラウンドで動作することを確認します。Raspberry Pi 4（8GB モデル）のような低スペック環境では、メモリリソースを節約するために、不要な監視機能（例：詳細なファイルシステム監視など）を無効化し、ネットワーク IDS 機能に特化した軽量構成にするのが有効です。各 OS のエージェント設定は、マネージャから一元管理されるため、一度設定を変更すれば全ノードへ反映させることが可能です。

この表に示すように、環境に応じたリソース配分が必要です。特に Windows ではセキュリティログのサイズが膨大になるため、エージェント側でのフィルタリング設定を慎重に行う必要があります。また、Raspberry Pi のような ARM アーキテクチャでは、Wazuh の CPU 依存処理（例：特定のルールマッチング）が低速化する可能性があるため、パフォーマンスチューニングが必要です。

ルールエンジニアリングと MITRE ATT&CK マッピング

Wazuh の真価は、標準提供されるルール群をベースに、独自のカスタムルールを作成し、MITRE ATT&CK フレームワークとマッピングすることで発揮されます。MITRE ATT&CK は、攻撃者の Tactics（戦術）と Techniques（技術）、そして Procedures（手順）を体系化したフレームワークで、2026 年現在ではバージョン 14 が主流です。Wazuh のルール設定ファイル ossec.conf またはカスタムディレクトリに定義された XML ファイルを用いて、特定の攻撃パターンを検出するロジックを実装します。

カスタムデコーダーとルールの作成プロセスは、まず検知したいイベントのログ形式を解析することから始まります。例えば、「ログイン失敗が 10 回連続で発生した場合」や「システムファイルが変更された場合」といった条件をルールとして定義します。Wazuh では local_decoder.xml でログパターンの抽出（デコーダー）を行い、rules/local_rules.xml でそのパターンに対するアラートレベル（critical, warning, info など）を設定します。2026 年現在では、JSON や XML 形式のログも自然言語処理技術により解析可能となっているため、非構造化データからの検知精度が向上しています。

MITRE ATT&CK マッピングは、検出されたルールを攻撃者の戦術と結びつける作業です。例えば、「ネットワークポートのスキャンを検出した場合」を「T1046: Network Service Scanning」と関連付けます。これにより、ダッシュボード上で攻撃の段階や手法を可視化できます。また、Active Response（自動応答）機能を用いて、特定のルールがヒットした際に自動的に IP アドレスをブロックするスクリプトを実行することも可能です。この設定は active-response ディレクトリ内の .xml ファイルで行われ、ネットワークインターフェースの切断やファイアウォールルールの追加などを実行します。

脆弱性検出とコンプライアンスチェックの実装

Wazuh の重要な機能の一つに、脆弱性スキャン（SCA: Software Composition Analysis）があります。これは、インストールされているソフトウェアリストをベンダーデータベースと比較し、既知の CVE（Common Vulnerabilities and Exposures）を検出するものです。2026 年時点では、CVE データベースは毎日更新され、Wazuh はリアルタイムで最新の脆弱性情報を取得します。例えば、Windows の特定バージョンで発見されたゼロデイ脆弱性や、Linux カーネルのメモリ関連のバグなどが対象となります。スキャン結果はダッシュボードに表示され、優先度（Critical, High, Medium）に基づいて修復作業を優先順位付けできます。

コンプライアンスチェック機能も、企業環境だけでなく、自宅サーバーにおけるセキュリティ基準の維持に役立ちます。Wazuh は CIS Benchmark（Center for Internet Security のベンチマーク）や PCI-DSS v4.0 などの標準規格に対応しています。CIS Benchmark では、OS やミドルウェアの設定が推奨される安全な設定になっているかをチェックします。例えば、「root ユーザーの SSH ログインを禁止しているか」「パスワードポリシーが適切に設定されているか」などが自動的に検証されます。

これらのチェックリストを適用することで、自宅サーバーが外部からの攻撃に対してある程度堅牢であるかを確認できます。また、脆弱性検出の結果に基づいて、自動的にパッケージ管理ツール（apt, yum など）による更新スクリプトを実行する自動化も可能です。ただし、自動更新はテスト環境での検証後に行い、システムが不安定にならないよう注意が必要です。

アラート通知の多様化と Active Response の自動化

検知したインシデントを迅速に対応するためには、アラート通知の仕組みが不可欠です。Wazuh は、Slack、Discord、Microsoft Teams、E-mail などの様々なチャネルへの通知をサポートしています。2026 年現在では、Slack や Discord を用いたリアルタイム通知が一般的で、管理者が外出先でも携帯電話から即座にアラートを受け取ることができます。Webhook API を利用して、カスタム通知フローを構築することも可能です。例えば、「Critical レベルの検知が発生した場合のみ Slack に通知し、それ以外はログに記録する」といった柔軟な設定が可能です。

Active Response（自動応答）機能は、アラートに対してシステムが自動的に行動を起こす仕組みです。最も一般的な使用例は、攻撃者の IP アドレスをファイアウォールまたはセキュリティグループでブロックすることです。Wazuh のマネージャ側で定義されたスクリプトを実行し、iptables や Windows Firewall にルールを追加します。これにより、手動での対応を待たずに即時に脅威の拡大を防ぐことができます。2026 年現在では、AI を活用した「誤検知（False Positive）」判定アルゴリズムが Active Response の実行前に介入するため、不要なブロックによるサービス停止リスクが低減されています。

通知設定の詳細は ossec.conf やダッシュボードの UI から行います。例えば、Slack への通知には Webhook URL とチャンネル名を指定します。また、メール通知の場合、SMTP サーバーの設定や認証情報が必要です。セキュリティ向上のため、SMTP の暗号化（TLS）を使用し、認証には OAuth2 または App Password を利用することが推奨されます。さらに、アラート通知には「深刻度」「検知時間」「ソース IP」などのメタデータを含め、対応担当者が状況を把握しやすい形式で送信します。

パフォーマンスチューニングと運用保守のベストプラクティス

Wazuh を長期的に安定して運用するためには、リソースの最適化と定期的なメンテナンスが不可欠です。自宅環境ではサーバーのリソースに限界があるため、Indexer のディスク使用量を制御することが重要です。OpenSearch のインデックス管理機能を使用し、古いログデータをアーカイブするか削除するポリシーを設定します。例えば、「90 日経過したログは冷たいストレージへ移行」または「削除」といったルールを適用することで、SSD 寿命の延伸と高速検索の維持が可能です。

また、Wazuh のバージョン管理も重要です。2026 年現在ではセキュリティ脆弱性の修正や新機能の実装のために、定期的なアップデートが提供されています。Manager と Indexer のコンテナイメージを最新のものに更新する際、データベースの互換性チェックを行い、事前にバックアップを取得します。具体的には docker-compose pull コマンドでイメージを更新し、コンテナを再起動しますが、データ永続化ボリュームへの影響がないことを確認した上で実行します。

運用フローとしては、週次でのダッシュボード確認と月次でのルール見直しが推奨されます。特に、検出されたイベントログの頻度を確認し、「これは本当に脅威なのか？」「このルールはノイズになりすぎていないか？」という問いかけを行い、不要なアラートを抑制します。また、Active Response の効果を検証するため、定期的にテスト攻撃（例：SSH ブルートフォースシミュレーション）を行い、システムが正しく反応するかを確認する訓練も重要です。

まとめ：2026 年版セキュリティ監視基盤構築のポイント

本記事で解説した Wazuh を用いた自宅環境のセキュリティ監視基盤構築について、以下の要点をまとめます。これらは 2026 年現在のベストプラクティスに基づいたものです。

• 3 コンポーネント構成: Manager（CPU/RAM）、Indexer（ストレージ/検索）、Dashboard（UI）を分離して Docker で運用する。
• リソース割り当て: 最低でも CPU 4 コア、RAM 8GB（Indexer は 16GB 推奨）、NVMe SSD を使用して性能を確保する。
• エージェント展開: Windows/Linux/macOS/Raspberry Pi など対象 OS に合わせた最適化設定を行い、FIM とログ収集を併用する。
• ルールとマッピング: カスタムルールを作成し、MITRE ATT&CK フレームワーク（v14）に紐付けて攻撃手法を可視化する。
• 脆弱性とコンプライアンス: SCA スキャンで CVE を検出し、CIS Benchmark などで OS 設定の健全性を維持する。
• 通知と自動応答: Slack/Discord を活用した即時通知と、Active Response による IP ブロックを組み合わせる。

これらの要素を統合することで、自宅環境でもプロフェッショナルなレベルのセキュリティ監視が可能になります。また、定期的なメンテナンスとルールの見直しを怠らないことが、基盤の信頼性を保つ鍵となります。

よくある質問（FAQ）

Q1. Wazuh を自宅環境で構築する際の推奨ハードウェアスペックは？ A1. 2026 年現在の標準的な構築では、CPU は最低 4 コア、メモリは合計 8GB（Manager/Agent に割り当てる場合）、ストレージは NVMe SSD で容量 512GB 以上を推奨します。Indexer を別マシーンに置く場合は、メモリ 16GB 以上の SSD 環境が望ましいです。

Q2. Docker Compose 以外でインストールする方法はありますか？ A2. はい、Bare Metal（直接 OS にインストール）や Kubernetes クラスタ上でのデプロイも可能です。ただし、自宅環境では [Docker Compose が最も管理が容易で、バックアップやアップデートが簡単であるため推奨されます。

Q3. エージェントをインストールした PC のパフォーマンスへの影響は？ A3. 通常、Wazuh エージェントのオーバーヘッドは CPU 1%〜5%、メモリ 200MB〜500MB 程度です。ただし、FIM（ファイル整合性監視）が頻繁に実行される場合や、スキャンタスク中は一時的にリソースを消費するため、バックグラウンド処理で動作しないようスケジューリング調整が必要です。

Q4. 検知されたアラートの誤報（False Positive）が多すぎる場合どうすれば？ A4. ルールレベルを下げるか、デコーダーの条件を厳密化することで抑制できます。また、MITRE ATT&CK のマッピングを確認し、その攻撃が実際に発生しているかを検証し、不要なルールは無効化する設定を行います。

Q5. Wazuh と Suricata を組み合わせることは可能ですか？ A5. はい、可能です。Wazuh は HIDS として機能しますが、Suricata をネットワーク IDS/IPS として連携させ、ネットワークトラフィックからの脅威も検知できます。Wazuh に Suricata のログを送信して統合分析することが一般的な構成です。

Q6. 自宅サーバーへの外部アクセスは安全ですか？ A6. Wazuh Dashboard はインターネットにむき出しにするのは危険です。VPN（OpenVPN や WireGuard）や SSH トンネルを介してアクセスするか、Reverse Proxy を経由し、SSL/TLS と多要素認証（MFA）を設定してアクセス制限を厳格化してください。

Q7. 過去のログデータはいつまで保存できますか？ A7. インデクサーのディスク容量によりますが、設定により自動削除ポリシーが適用されます。例えば「90 日以上経過したインデックスは削除」のように設定することで、ストレージの上限を維持しながら必要な期間分のデータを保持できます。

Q8. Active Response で IP をブロックしましたが、誤って正当なユーザーをブロックした場合どうしますか？ A8. Wazuh の Active Response ログを確認し、ブロックリストから該当する IP アドレスを削除（whitelist に追加）することで復旧可能です。また、Active Response 実行前に通知を受け取り、管理者が確認してから自動実行される設定も可能です。

Q9. macOS のエージェント設定で特に注意すべき点は？ A9. macOS ではシステムファイルの保護機能（SIP）により、一部のディレクトリへの監視が制限されます。また、ログの転送に unified-log-tool を使用するため、権限設定を慎重に行う必要があります。

Q10. Wazuh のバージョンアップ手順は？ A10. コンテナベースの場合は docker-compose pull で最新イメージを取得し、コンテナを再起動します。ただし、データベースの互換性を確認し、事前にスナップショットを取得してから実行してください。メジャーバージョンアップ時は設定ファイルの見直しが必要になる場合があります。

Zabbix 7 を使った自宅環境監視を解説。Docker導入、Agent / Agent 2、テンプレート、アラート、LibreNMS との比較、実運用Tipsを詳しく紹介。