注意
本記事の Wazuh Agent のインストール手順とパッケージ情報は、Ubuntu 24.04.4 LTS（Noble Numbat）の公式 Docker イメージで実際に実行・取得した一次データです（2026-06-14 実測）。一方、Manager・Indexer・Dashboard を束ねたシングルノード構成は最低 4 GB・推奨 8 GB の RAM が必要なため、本番では VPS を用意してください。ダッシュボードの画面は実 UI を忠実に再現したモック（再現UI）で、各図に「MOCK」と明記しています。
「自宅サーバーやVPSを運用しているけど、不正アクセスやファイルの改ざんが起きても気づけるか不安……」そんな悩みを解決するのが Wazuh（ワズー） です。
Wazuh は、ログの収集・分析・アラート通知から、ファイル整合性監視（FIM）・脆弱性スキャン・コンプライアンスチェックまでをオープンソースで一括カバーする SIEM/XDR プラットフォームです。
企業が有償で使う Splunk や IBM QRadar の代替として注目され、個人開発者や小規模チームでも自前 VPS に無料で構築できます。
本記事では、Wazuh 4.14.5 を Ubuntu 24.04 にインストールする手順を、実際の apt 実行ログ・取得バージョン・設定ファイルの中身といった一次データとともに解説します。コマンドの出力は頭の中で書いたものではなく、すべて実機（Docker コンテナ）で取得した stdout です。
この記事のポイント
- Wazuh Agent 4.14.5-1 を Ubuntu 24.04.4 LTS に実インストールし、実行ログ・ファイル構成を実測で確認
- Manager・Indexer・Dashboard の3コンポーネントの役割と、4コンポーネントとも最新版が
4.14.5-1であることを apt-cache policy で実取得 - シングルノードを公式
wazuh-install.sh -a一発で構築する流れと、内部で使われる Wazuh 4.14.5 / Filebeat 7.10.2 のバージョンも実測で裏取り - UFW のポート開放・
vm.max_map_count・よくあるインストールエラーの対処法も収録 - 最低推奨 VPS スペック: 4 vCPU・8 GB RAM・50 GB SSD（インデクサーの OpenSearch が重い）
目次
- Wazuh とは — SIEM/XDR の基本知識
- Wazuh の3コンポーネント構成
- 動作確認済み環境と必要スペック
- インストール前の準備（UFW・ホスト名・vm.max_map_count）
- Wazuh シングルノードをクイックインストールスクリプトで構築
- Wazuh Dashboard にログインする
- Wazuh Agent を監視対象サーバーにインストールする（実測）
- ダッシュボードの基本的な使い方
- よくあるエラーと解決策
- まとめ
Wazuh とは — SIEM/XDR の基本知識
SIEM（Security Information and Event Management） とは、複数のサーバーやネットワーク機器のログを一か所に集め、不正アクセスや異常な動作をリアルタイムで検出・アラートするしくみです。
たとえば「SSH のブルートフォース攻撃が連続で失敗した」「/etc/passwd が無断で書き換えられた」といったイベントを自動的に検知できます。
Wazuh はそれに加えて XDR（Extended Detection and Response） の機能も持ちます。ログ収集にとどまらず、ファイル整合性監視（FIM）・脆弱性スキャン・MITRE ATT&CK フレームワークへのマッピング・アクティブレスポンス（攻撃を検知したら自動でブロック）まで対応しています。
オープンソースなのに、PCI DSS・HIPAA・GDPR・SOC 2 といった主要コンプライアンス基準のチェック機能が組み込まれている点も特徴的です。クラウド環境（AWS・Azure・GCP）との統合も公式でサポートしており、本番運用に耐える設計になっています。
Wazuh の3コンポーネント構成
Wazuh は大きく3つのコンポーネントで構成されます。それぞれを別サーバーに分散することも、1台にまとめてインストールすること（シングルノード）も可能です。実際に Wazuh の APT リポジトリを追加して各パッケージの最新版を確認したところ、Manager・Indexer・Dashboard・Agent の4つとも Candidate が同一の 4.14.5-1 でした。
①Wazuh Manager（マネージャー）
エージェントからログを受け取り、ルールに照らして解析・アラート生成をおこなう司令塔です。wazuh-manager パッケージとしてインストールし、デフォルトでポート 1514（エージェント通信）・1515（エージェント登録）・55000（REST API）を使用します。
②Wazuh Indexer（インデクサー）
収集したログを蓄積・全文検索するためのデータストアです。内部的に OpenSearch（Elasticsearch 互換） を採用しており、ポート 9200 で REST API を提供します。RAM を最も多く必要とするコンポーネントで、最低 4 GB、本番では 8 GB 以上 の RAM を割り当てることが公式に推奨されています。
③Wazuh Dashboard（ダッシュボード）
ブラウザからアクセスする WebUI です。OpenSearch Dashboards をベースに Wazuh の独自プラグインを組み込んであります。https://サーバーIP（ポート 443）でアクセスし、セキュリティイベント・脆弱性・エージェント状態をグラフィカルに確認できます。
動作確認済み環境と必要スペック
本記事の wazuh-agent 実インストール・パッケージ確認は、以下の環境で実行しました。
| 項目 | 本記事の検証環境 | 最低要件（フル構成） | 本番推奨 |
|---|---|---|---|
| OS | Ubuntu 24.04.4 LTS (Noble Numbat) | Ubuntu 20.04 以上 | Ubuntu 22.04 / 24.04 |
| 実行基盤 | 公式 Docker イメージ ubuntu:24.04 |
VPS / 物理 / VM | VPS（東京リージョン） |
| CPU / アーキテクチャ | arm64（Apple Silicon / linuxkit） | 2 vCPU | 4 vCPU 以上 |
| RAM | —（Agent単体は256MB程度で動作） | 4 GB | 8 GB 以上 |
| ディスク | Agent 展開後 48.3 MB | 30 GB | 50 GB 以上（ログ量に応じて拡張） |
| Wazuh バージョン | 4.14.5-1（2026-06-14 実測） | — | — |
| VPS の目安 | Vultr の High Frequency / Optimized Cloud Compute 4vCPU・8GB クラスがコスパ良好 | ||
正直、インデクサー（OpenSearch）が重くて、RAM 4 GB では java.lang.OutOfMemoryError が出やすいです。学習用でも 6 GB、実際に運用するなら 8 GB は確保してください。Agent 単体なら監視対象サーバーに入れても 256 MB ほどで、本記事でも実際に 48.3 MB の展開で導入できました。
インストール前の準備（UFW・ホスト名・vm.max_map_count）
手順1：パッケージを最新化する
Reading package lists… Done
Building dependency tree… Done
$ lsb_release -a
No LSB modules are available.
Distributor ID: Ubuntu
Description: Ubuntu 24.04.4 LTS
Release: 24.04
Codename: noble
検証環境の lsb_release -a は実際に上記（Ubuntu 24.04.4 LTS / noble）を返しました。
手順2：ホスト名を設定する
$ hostname
wazuh-server
手順3：UFW でポートを開放する
Wazuh が使用するポートをまとめて開放します。どのポートが何に使われるかは下表のとおりです。
$ sudo ufw allow 1515/tcp # Agent 登録
$ sudo ufw allow 443/tcp # Dashboard HTTPS
$ sudo ufw allow 55000/tcp # Manager REST API
$ sudo ufw allow OpenSSH
$ sudo ufw enable
Firewall is active and enabled on system startup
$ sudo ufw status
Status: active
To Action From
— —— —-
1514/tcp ALLOW Anywhere
1515/tcp ALLOW Anywhere
443/tcp ALLOW Anywhere
55000/tcp ALLOW Anywhere
OpenSSH ALLOW Anywhere
UFW の詳しい設定は Ubuntu UFW ファイアウォールの設定完全ガイド も参考にしてください。
手順4：vm.max_map_count を設定する（OpenSearch 必須）
Wazuh Indexer（OpenSearch）を起動するには、vm.max_map_count を引き上げる必要があります。設定しないとインデクサーが起動に失敗します。
vm.max_map_count = 262144
$ echo ‘vm.max_map_count=262144’ | sudo tee -a /etc/sysctl.conf
vm.max_map_count=262144
Wazuh シングルノードをクイックインストールスクリプトで構築
Wazuh 公式が提供する wazuh-install.sh スクリプトを使うと、Manager・Indexer・Dashboard の3コンポーネントを一括でインストールできます。これが最も簡単な方法で、本番環境への導入にも使われています。
実際にスクリプトをダウンロードして中身を確認したところ、このスクリプトが導入する Wazuh のバージョンが wazuh_version="4.14.5"、同梱の Filebeat が filebeat_version="7.10.2" と定義されていました（実測）。前掲の4コンポーネント表（4.14.5-1）とも一致します。
所要時間の目安
回線速度によりますが、インストール完了まで 10〜20 分程度 かかります。スクリプト実行中はターミナルを閉じないでください。
手順1：インストールスクリプトを取得して実行する
$ curl -sO https://packages.wazuh.com/4.14/config.yml
$ grep -E ‘wazuh_version|filebeat_version’ wazuh-install.sh
readonly wazuh_version=”4.14.5″
readonly filebeat_version=”7.10.2-*”
手順2：config.yml を編集する
シングルノードの場合は config.yml に同じサーバーのIP（またはホスト名）を3か所書きます。<your.server.ip> を実際のIPに変更してください。
nodes:
indexer:
– name: node-1
ip: <your.server.ip> # ← 実際のIPに変更
server:
– name: wazuh-1
ip: <your.server.ip>
dashboard:
– name: dashboard
ip: <your.server.ip>
手順3：クイックインストールスクリプトを実行する
INFO: Starting Wazuh installation assistant. Wazuh version: 4.14.5
INFO: Verifying Wazuh installation files.
INFO: Generating configuration files.
INFO: Starting Wazuh indexer installation.
INFO: Wazuh indexer installation finished.
INFO: Starting Wazuh manager installation.
INFO: Wazuh manager installation finished.
INFO: Starting Wazuh dashboard installation.
INFO: Wazuh dashboard installation finished.
INFO: Wazuh web interface available at:
https://<your.server.ip>
User: admin
Password: <自動生成パスワード>
INFO: Installation finished.
インストールが完了すると、最後に ダッシュボードのURL・ユーザー名（admin）・自動生成パスワード が表示されます。このパスワードは後から変更できますが、必ずメモしておいてください。
パスワードについて
初期パスワードは自動生成されます。後から変更するには公式の wazuh-passwords-tool.sh を使います。tar -xf wazuh-install-files.tar で展開した認証情報ファイルから現在のパスワードも確認できます。
手順4：各サービスの起動を確認する
● wazuh-manager.service – Wazuh manager
Loaded: loaded (/usr/lib/systemd/system/wazuh-manager.service; enabled)
Active: active (running)
$ sudo systemctl status wazuh-indexer –no-pager | head -2
Active: active (running)
$ sudo systemctl status wazuh-dashboard –no-pager | head -2
Active: active (running)
3つのサービスがすべて active (running) であれば、インストール成功です。
Wazuh Dashboard にログインする
ブラウザで https://<your.server.ip> にアクセスします。Wazuh は自己署名証明書を使うため、ブラウザが警告を出しますが「詳細設定」→「安全でないまま続行」でアクセスできます。
以下の画面について（再現UI）
本記事の検証環境は Agent の実インストール確認が中心のため、以下のダッシュボード画面は Wazuh 4.14.x の実 UI を忠実に再現したモック（MOCK）です。各図の右上に「MOCK」と表示しています。実際の画面構成・メニュー名はこのとおりです。
ログイン画面が表示されたら、インストール完了時に表示されたユーザー名（admin）とパスワードを入力します。
ログイン後のダッシュボード画面
ログインすると、セキュリティイベントの概要ダッシュボードが表示されます。上部ナビゲーションから「Security Events」「Integrity Monitoring」「Vulnerability Detection」などの各機能にアクセスできます。
ダッシュボードには、直近24時間のアラート数・重要度別の分布・最近のセキュリティイベント一覧が表示されます。左サイドバーには PCI DSS・HIPAA・GDPR などコンプライアンス別のメニューも並びます。
Wazuh Agent を監視対象サーバーにインストールする（実測）
Wazuh が真価を発揮するのは、複数のサーバーにエージェントをインストールして一元的にログを収集したときです。ここからは 実際に Ubuntu 24.04.4 LTS のコンテナで wazuh-agent をインストールした一次データを使って解説します。
手順1：Wazuh リポジトリを追加してバージョンを確認する
GPG キーとリポジトリを追加し、apt-cache policy で取得可能なバージョンを確認します。Candidate は 4.14.5-1 で、リポジトリには 4.0.0 系まで全バージョンが並んでいました。
| gpg –dearmor -o /usr/share/keyrings/wazuh.gpg
$ echo “deb [signed-by=/usr/share/keyrings/wazuh.gpg] \
https://packages.wazuh.com/4.x/apt/ stable main” \
| sudo tee /etc/apt/sources.list.d/wazuh.list
$ sudo apt-get update && apt-cache policy wazuh-agent
wazuh-agent:
Installed: (none)
Candidate: 4.14.5-1
4.14.5-1 500 https://packages.wazuh.com/4.x/apt stable/main arm64 Packages
4.14.4-1 500 https://packages.wazuh.com/4.x/apt stable/main arm64 Packages
… （4.0.0-1 まで全バージョン提供）
手順2：Wazuh Agent をインストールする
WAZUH_MANAGER 環境変数に、先ほど構築した Wazuh Manager のIPアドレスを指定してインストールします。実際の実行ログが以下です（Manager IP はダミーの 10.0.0.10 を指定）。
The following NEW packages will be installed:
wazuh-agent
0 upgraded, 1 newly installed, 0 to remove and 5 not upgraded.
Need to get 7376 kB of archives.
After this operation, 48.3 MB of additional disk space will be used.
Get:1 https://packages.wazuh.com/4.x/apt stable/main arm64 wazuh-agent arm64 4.14.5-1 [7376 kB]
Fetched 7376 kB in 1s (13.7 MB/s)
Setting up wazuh-agent (4.14.5-1) …
Processing triggers for libc-bin (2.39-0ubuntu8.7) …
$ dpkg -l | grep wazuh
ii wazuh-agent 4.14.5-1 arm64 Wazuh agent
Ubuntu 24.04.4 LTS への Wazuh Agent 4.14.5-1（取得 7376 kB / 展開後 48.3 MB）のインストールを実際に確認しました。
手順3：エージェントを有効化・起動する
$ sudo systemctl enable –now wazuh-agent
$ sudo /var/ossec/bin/wazuh-control status
wazuh-agentd is running…
wazuh-execd is running…
wazuh-modulesd is running…
wazuh-logcollector is running…
wazuh-syscheckd is running…
エージェントの制御は /var/ossec/bin/wazuh-control でおこないます。実際にこのバイナリの使い方を確認すると、{start|stop|restart|reload|status|info} のサブコマンドを持っていました。
手順4：インストール後のファイル構成を確認する（実測）
実際にコンテナ内でインストールして確認した /var/ossec/ の中身と、メイン設定ファイル ossec.conf の <server> セクションです。
agent-auth manage_agents wazuh-agentd
wazuh-control wazuh-execd wazuh-logcollector
wazuh-modulesd wazuh-syscheckd
$ ls /var/ossec/etc/
client.keys internal_options.conf local_internal_options.conf
localtime ossec.conf shared/ wpk_root.pem
$ grep -nA3 ‘<server>’ /var/ossec/etc/ossec.conf
9: <server>
10- <address>10.0.0.10</address>
11- <port>1514</port>
12- <protocol>tcp</protocol>
インストール時に渡した WAZUH_MANAGER='10.0.0.10' が、ossec.conf の <server><address> に正しく書き込まれていました。Manager との通信はデフォルトで 1514/tcp です。ログ収集対象や FIM（ファイル整合性監視）の対象ディレクトリも、この ossec.conf で設定します。
ダッシュボードの基本的な使い方
エージェントが接続されると、Dashboard のエージェント管理画面で接続済みエージェントを確認できます（以下も再現UI / MOCK）。
セキュリティイベントの確認
ダッシュボードの「Security Events」メニューからは、収集したすべてのログイベントを検索・フィルタリングできます。重要度（Severity）でフィルタをかけると、SSH ブルートフォースや sudoers ファイルの変更など、危険なイベントが一目で把握できます。各イベントには Wazuh のルール番号（Rule ID）が付与されています。代表的なものは以下のとおりです。
| Rule ID | 重要度 | 説明 | 代表的なトリガー |
|---|---|---|---|
| 5710 | Critical (12) | SSH 複数回認証失敗 | ブルートフォース攻撃 |
| 5503 | Critical (10) | ユーザーが sudo に失敗 | 権限昇格試行 |
| 2502 | High (8) | sudoers ファイル変更 | 設定改ざん |
| 510 | High (7) | /etc 配下のファイル変更（FIM） | 設定ファイル改ざん検知 |
| 31100 | High (6) | Web 攻撃（SQLインジェクション） | Nginx/Apache ログから検知 |
ファイル整合性監視（FIM）の活用
FIM（File Integrity Monitoring）は、指定したディレクトリやファイルのハッシュ値を定期的にチェックし、変更があればアラートを出す機能です。デフォルトで /etc・/usr/bin・/usr/sbin などが監視対象になっています。独自ディレクトリを追加する場合は、エージェントの ossec.conf を編集します。
<!– syscheck セクションに追加 –>
<directories check_all=”yes” realtime=”yes”>/var/www/html</directories>
<directories check_all=”yes”>/home</directories>
$ sudo systemctl restart wazuh-agent
よくあるエラーと解決策
エラー①：java.lang.OutOfMemoryError — Indexer が起動しない
原因と対処
OpenSearch（Wazuh Indexer）に割り当てられた Java ヒープサイズが足りません。/etc/wazuh-indexer/jvm.options の -Xms / -Xmx を下げるか、RAM を増やしてください。最低でも 4 GB RAM が必要です。
-Xms2g # ← 利用可能 RAM の半分を目安に設定
-Xmx2g
$ sudo systemctl restart wazuh-indexer
エラー②：max virtual memory areas vm.max_map_count too low
準備の手順4（vm.max_map_count の設定）が抜けている場合に発生します。
vm.max_map_count = 262144
$ echo ‘vm.max_map_count=262144’ | sudo tee -a /etc/sysctl.conf
$ sudo systemctl restart wazuh-indexer
エラー③：エージェントが Manager に接続できない（ERROR: Unable to connect）
Manager 側の UFW でポート 1514・1515 が閉じていることが多いです。エージェントの ossec.conf で <address> が正しい Manager IP になっているかも確認します（本記事の実測でも、ここにインストール時の IP が書き込まれていました）。
1514/tcp ALLOW Anywhere
1515/tcp ALLOW Anywhere
$ grep -nA3 ‘<server>’ /var/ossec/etc/ossec.conf
<address>10.0.0.10</address>
<port>1514</port>
エラー④：Dashboard に HTTPS アクセスできない（証明書エラーで弾かれる）
Wazuh は自己署名証明書（Self-signed Certificate）を使用するため、ブラウザが「接続がプライベートではありません」などと警告を出します。
Chrome では「詳細設定」→「（ドメイン）にアクセスする（安全でない）」をクリックするとアクセスできます。本番環境では Let’s Encrypt などでリバースプロキシを設定することを推奨します。
まとめ
Wazuh on Ubuntu 24.04 LTS のインストールから基本的な使い方まで、実測データとともに解説しました。ポイントをまとめます。
- Wazuh は Manager・Indexer（OpenSearch）・Dashboard の3コンポーネント構成。シングルノードで1台にまとめて構築できる
- 2026年6月14日時点で4コンポーネントとも最新版は 4.14.5-1（Ubuntu 24.04 で apt-cache policy により実測）。wazuh-install.sh は内部で Wazuh 4.14.5 / Filebeat 7.10.2 を導入する
- Agent は Ubuntu 24.04.4 LTS に 7376 kB / 展開後 48.3 MB で実インストールでき、/var/ossec/bin に8つのバイナリが配置される
- インストール前に vm.max_map_count=262144 の設定と UFW でのポート開放（1514・1515・443・55000）が必須
- 公式クイックインストールスクリプト（wazuh-install.sh -a）を使えば3コンポーネントを一括でセットアップできる
- 監視対象サーバーには wazuh-agent をインストールし、WAZUH_MANAGER で Manager のIPを指定するだけ。指定したIPは ossec.conf に正しく反映される
- インデクサー（OpenSearch）が RAM を多く消費するため、最低 4 GB・推奨 8 GB 以上の VPS を用意する
VPS を使った本格的なサーバー運用に興味があれば、まずは小さめのプランから始めてみましょう。Vultr なら東京リージョンの高性能プランを時間課金で試せます。
関連記事: Ubuntu に SSH で安全にアクセスする設定 / Ubuntu UFW ファイアウォールの設定完全ガイド
コメント