Wazuhでどこまでできる？― “無料の監視基盤”ではなく、“かなり本気のオープンソース監査・検知基盤”
- 5月5日
- 読了時間: 4分
Hi, there.
本日は、過去に投稿したSplunkに引き続きSIEMに関連した内容で、オープンソースのSIEMツールでお馴染みのWazuhについてお話します。
Wazuh を初めて見ると、「SIEMっぽいものをオープンソースで試せる製品」という印象を持つ人が多いと思います。でも、実際に公式資料を読んでみると、思っていた以上に多機能だということがわかります。
Wazuh は free and open source で、中央コンポーネントを同一ホストにまとめた quickstart も用意されており、プラットフォーム全体としては XDR と SIEM を一体化した基盤として案内されています。
つまり Wazuh は、単なるログ集約基盤ではありません。ログ分析、脆弱性検出、ファイル完全性監視、設定評価、アクティブレスポンスまで、かなり監査寄り・運用寄りの機能を最初から持っています。
できることの幅は、かなり広い
Wazuh の代表的な機能としてまず挙げられるのは、File Integrity Monitoring（FIM）です。これは監視対象ファイルやディレクトリに対して、作成、変更、削除が起きたときにアラートを出す機能で、初回スキャンでベースラインを作り、以後はチェックサムや属性の差分を見る仕組みです。この一点だけでも、サーバ監査では十分に実用的です。/etc/ssh/sshd_config や /etc/passwd のような重要ファイルを見張っておけば、ただログを見るだけでは埋もれがちな「設定の変化」に輪郭が出ます。
さらに Wazuh には SCA（Security Configuration Assessment） があり、監視対象エンドポイントの設定が、あらかじめ定義されたポリシーに照らして安全かどうかを評価できます。公式説明では、SCA は misconfiguration や exposure を検出し、改善策を勧めるためのモジュールで、ファイル、ディレクトリ、レジストリ、実行中プロセスなどをチェック対象にできます。
ここが Wazuh の大きな魅力です。Splunk や Elastic は、まずログを集めて「そこから考える」色が強いのに対し、Wazuh は最初から 監査項目のある程度の型を持っています。だから、個人学習でも「何を見ればいいのか」が比較的ぶれにくい点が特徴です。
脆弱性検出も持っている
Wazuh には Vulnerability Detection モジュールもあります。これは agent が収集したソフトウェア inventory と、Wazuh 側の vulnerability content を突き合わせて、監視対象エンドポイント上の OS やアプリケーションの脆弱性を見つける仕組みです。公式は、Syscollector 由来の inventory と CTI データを使って CVE マッチングを行う流れを説明しています。
ここでも、Wazuh は単なる“ログ箱”ではありません。ホストの状態そのものを見にいく。これが、監査用途で使いやすい理由の一つです。
必要なら自動対応も可能
さらに Wazuh には Active Response があり、特定のルールやレベルに応じて自動処理を走らせられます。公式は、Active Response により 特定トリガーに基づいて自動対応を行えること、さらに stateless / stateful の動作があること、既定のスクリプトや custom script が使えることを案内しています。
このため Wazuh は、“見るだけの監査”から、“検知して反応する監査”へ進みやすい製品だと言えます。
限界点
もちろん万能ではありません。Wazuh は機能が豊富なぶん、最初から少し“Wazuh 的な世界観”に乗る必要がある製品です。FIM、SCA、Vulnerability Detection、Active Response といったモジュールごとの考え方を理解する必要がありますし、単にログを美しく眺めることだけを目的にするなら、Elastic のほうが UI 的に入りやすいと感じる人もいるでしょう。
ただ、サーバ監査という観点では、この“型の強さ”はむしろ利点です。何を監視し、何を異常とみなし、どこにアラートが出るかが比較的明快だからです。
おわりに
Wazuh は、無料で試せるツールでありながら、非常に多機能で実用性の高いプラットフォームです。単にログを集めるだけでなく、設定不備の検出、ファイル改ざん監視、脆弱性の可視化、さらには条件に応じた自動対応まで視野に入れられます。
その意味で Wazuh は、単なる「無料の監視ツール」にとどまりません。できるだけ現実的なコストで監査や検知の仕組みを立ち上げたいと考える組織にとって、有力なオープンソース基盤になり得るでしょう。
是非、お試しあれ。
