ビルの警備を思い浮かべてください。各部屋に防犯カメラがあり、映像は警備室に集まります。警備員は「深夜に裏口が何度も開けられている」といった異常を見つけ、映像は録画保管庫に残り、あとから巻き戻して確認できます。

Wazuhはこれをパソコンとサーバーでやります。カメラが映すのは人ではなく、ログイン記録・ファイルの変更・入っているソフトの一覧・設定です。（厳密には違う部分もありますが、最初の理解としてはこれで十分です。）

部品と役割を表で覚える

※ ルーターやファイアウォールのようにエージェントを入れられない機器は、syslog（記録を送る共通の仕組み）でサーバーに記録を送れます。「カメラは付けられないが、日報は届く」イメージです。

「無料のSIEM」「無料のEDR」とよく紹介されますが、この2つは本来別の道具です。先に言葉をそろえておきます。

公式ドキュメントに並ぶ機能を、警備のたとえと身近な例に置き換えました。最初から全部使う必要はありません。

※「最初から動く？」は、公式の手順どおりに一式を入れた直後の状態の目安です（2026年9月時点の4.14系）。細かい既定値は担当者向けにまとめました。

インターネットに出ているLinuxサーバーには、SSH（遠隔ログインの窓口）へのパスワード総当たりが毎日のように届きます。Wazuhがそれを見つける流れを、実際のルール番号つきで追ってみます。

1. カメラが記録を拾う。サーバーに「sshd: Failed password for root from 198.51.100.7」のようなログイン失敗の記録が出ます。エージェントがこれを暗号化してサーバーへ送ります。
2. 警備室が読み解く。サーバーの「デコーダー」が、どの窓口で・誰の名前で・どこから来た失敗かを分解します。
3. 1回目の失敗はレベル5。ルール5760「sshd: authentication failed.」に当たり、危険度5のアラートになります。この時点では「打ち間違い」かもしれません。
4. 2分以内に8回でレベル10。同じ失敗が120秒以内に8回続くと、ルール5763「brute force trying to get access to the system」に格上げされ、危険度10になります。「偶然」ではなく「攻撃」と判断する場面です。
5. 保管庫に残り、モニターに出る。アラートはインデクサーに保存され、ダッシュボードに表示されます。どのIPから、何時から、何回来たかをあとから検索できます。
6. （設定していれば）自動で扉を閉める。「ルール5763が出たら、そのIPを10分間ブロック」のようにアクティブレスポンスを書いておけば、人が見る前に攻撃を止められます。

警備室の扉が開けっぱなしなら、泥棒は警備室から入ってきます。Wazuhでも実際に起きました。

• 2025年2月Wazuhサーバーの4.4.0〜4.9.0に、外から任意のプログラムを動かせる弱点（CVE-2025-24016、CVSS 9.9）があるとして、修正版4.9.1が出ます。弱点があったのは、ダッシュボードやサーバー同士が使うAPI（ポート55000）の処理でした。
• 2025年3月〜5月Akamaiの研究チームが、この弱点を使ってMirai系のボットネット（乗っ取った機器の集団）がWazuhサーバーに感染を広げようとする動きを観測したと報告します。
• 2025年6月10日米国CISAが「実際に悪用された脆弱性」の一覧（KEV）に追加します。
• Wazuhの見解悪用には管理者レベルのAPIの認証情報が必要で、狙われるのは「APIをインターネットに出し、弱いパスワードや初期パスワードのまま」の環境だと説明し、更新・パスワード変更・APIを公開しないことを呼びかけました。

社員20人の会社で、ひとりで情報システムを担当するAさん（架空の例）。同じ金曜の夜に、同じことが起きたとします。

自分に一番近いものを選んでください。

• A. セキュリティを学びたい個人パソコンに仮想マシンを作れる → ぴったり。自宅ラボでSIEMの仕組みを体で覚えられます。自分のパソコン2〜3台を監視して、わざとログインに失敗してみるところから。
• B. 小さな会社の情シス担当10〜100台、Linuxを触れる → 検証する価値あり。ただし先に「誰が・いつアラートを見るか」「休みの日はどうするか」を決めてから。
• C. 見る人がいない会社専任なし、夜間休日は誰も見られない → Wazuh単体はおすすめしません。監視まで任せられるサービス（MDR）や、自動で止める機能が中心の製品のほうが現実的です。
• D. もう商用EDRがある会社端末の防御は入っている → 「記録を集める側」として併用を検討。ネットワーク機器・Linuxサーバー・クラウドの記録をまとめて見る役に向いています。

公式の「クイックスタート」は、4つの部品のうちエージェント以外の3つを1台のサーバーにまとめて入れる方法です。学習や小規模の検証なら、これで十分です。

用意するサーバーの大きさ（公式の目安）

※ OSは64ビットのLinux。公式の対応一覧には Ubuntu 16.04〜24.04、Red Hat Enterprise Linux 7〜10、Amazon Linux 2／2023、CentOS Stream 10 が並んでいます。100台を超える場合は、部品を別々のサーバーに分ける構成になります。

5つのステップ

どこがまずいか考えてから、タップして答えを見てください。

1. 「誰が見るか」を先に決める。会社で使うなら、導入より先にアラートを見る人と時間、休日の連絡先を決めて紙に書く。決められないなら、監視を任せるサービスを検討する。
2. 仮想マシン1台で試す。メモリ8GBのLinuxに公式の1行インストールを入れ、自分のパソコン1〜2台にエージェントを入れて、わざとログインに失敗してアラートが出るのを見る。
3. 「閉じる・変える・更新する」を最初に済ませる。管理画面とAPIを社内・VPNに閉じる、adminのパスワードを安全に保管する、Wazuhの更新情報を確認する日を決める。