LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

社内のネットワークで不審な通信が起きていないか、確かめる手段がない。警告を出す仕組みはあっても、何が起きたのかを後から追えない——。セキュリティの監視を任された情報システムの現場では、こうした悩みが起こりがちです。Security Onion（セキュリティオニオン）は、ネットワークとPC・サーバーの監視に必要な仕組みを一式にまとめた、無料で使える監視基盤です。

通信の検知から端末の記録、調べた内容の管理までを1つの画面でつなげられます。ただし万能ではなく、機器の用意や検知ルールの調整には手間がかかります。本記事では、社内の監視の仕組みを検討している情報システムの担当者に向けて、Security Onionに入っている仕組み、WazuhやSuricataとの役割分担、導入の進め方、そして外部に頼むときに確認したい点を整理します。

Security Onionとは

Security Onionは、2008年に無料の公開プロジェクトとして始まり、いまはSecurity Onion Solutions社が開発を続けています。公式ドキュメントは、Security Onionに含まれるものとして次の5つを挙げています。^*1

• ネットワークの監視：社内を流れる通信から、不審な動きを見つける
• ホストの監視：PCやサーバー（ホスト）の記録を集める
• おとりの仕組み：本物に似せたサービスを立て、触れた相手がいれば知らせる
• ログの管理：集めた記録をためて、あとから検索できるようにする
• 事案の管理：調べた内容を記録し、担当者どうしで共有する

中に入っているソフトウェアの多くはオープンソースのライセンスですが、Elastic社の部品とSecurity Onion自身の部品はElastic License 2.0（ELv2）で、導入のときに同意を求められます。^*2 現行の版は3系で、3.0は2026年3月に公開されました。^*10

中に入っている仕組み

Security Onionの中身は、通信を見る部品、PCやサーバーを見る部品、記録をためる部品、調べるための画面に分かれます。それらを組み合わせ、1つの画面から使えるようにしています。^*1

エージェント（端末に入れる監視用のソフト）を入れられないファイアウォールやルーターからは、標準的なsyslogという形式で記録を受け取れます。画面の中のDetectionsでは、Suricataの検知ルールに加えて、記録の検知に使うSigmaと、ファイルの検知に使うYARAのルールもまとめて調整できます。^*5

WazuhやSuricataとの役割分担

WazuhやSuricataとは、受け持つ範囲が違います。Suricataは通信を分析して脅威を見つけるソフトウェアで、^*8 Security Onionの中でも部品の1つとして動いています。Wazuhは、監視する端末に入れるエージェントと、サーバー・インデクサー・ダッシュボードという中央の部品で組み立てる仕組みです。^*7

選ぶときは、どこを見たいかから考えます。社内のネットワークを流れる通信まで見たいならSecurity Onion、端末の記録を中心にするならWazuhが候補になります。Wazuhでの構築についてはWazuhでOSS SIEM監視基盤を外注構築で扱っています。

導入の進め方

Security Onionの導入は、ソフトを入れる作業よりも、どの通信をどこで見るかを決める作業のほうが大切です。次の4つの段階で進めます。

• ステップ1：見る通信の場所を決める（社内と外の境目か、社内どうしの通信か）
• ステップ2：通信の写しを取り出す方法を決める（専用の機器であるTAPか、スイッチのSPANポートか）^*4
• ステップ3：構成を選んで機器を用意する（1台にまとめるか、役割ごとに分けるか）
• ステップ4：検知ルールの調整と、更新の手順を決める

ステップ3では、試すだけなら1台で足ります。本番では、管理用・検索用・センサー（通信を見る機械）を分ける分散構成が推奨されています。^*3 1台にまとめる構成でも、最低で4コアのCPU、24GBのメモリ、200GBの記憶領域が必要です。少しでも通信を見るなら32GB以上を検討するよう、公式は勧めています。対応するCPUはx86-64だけです。^*4

外部に頼むときに確認しておきたい点

Security Onionは利用料がかからない一方、機器の用意やルールの調整、更新は自社で受け持ちます。構築や運用を外部に頼むときは、次の点を見積もりの前に確かめておきます。

• どこまで頼むか：見る場所の設計、機器の用意、導入、ルールの調整、日々の警告の確認のうち、どれを任せるか
• 機器の大きさ：見る通信の量に対して、CPUやメモリの見積もりをどう出すか
• 誤検知の扱い：警告が多すぎるとき、誰がどの手順でルールを絞り込むか
• 更新の手順：新しい版を試験用の環境で試してから本番に当てるか
• ライセンスの条件：外部の事業者が運用まで受け持つ形が、ELv2の条件に合うか

公式ドキュメントは、本番の環境では更新を先に試験用の環境で試すよう勧めています。^*6 また、ELv2は、ソフトウェアを第三者向けのホスト型・マネージド型のサービスとして提供することを制限しています。^*2 運用の形が条件に合うかは、契約の前に確かめておきます。監視の運用そのものを任せる考え方はSOCによるセキュリティ監視運用を外注する進め方にまとめています。

まとめ：Security Onionで確かめておきたい3つの点

Security Onionで監視の仕組みを整えるうえで、確かめておきたい点は3つに整理できます。第一に、社内と外の境目か社内どうしか、見る通信の場所と写しの取り出し方を先に決めること。第二に、通信の量に見合う構成と機器を用意すること。第三に、検知ルールの調整と版の更新を誰が受け持つかを、導入の前に決めることです。この3点を踏まえておけば、「入れてはみたが、警告が多すぎて誰も見なくなった」という事態を避けやすくなります。構築や運用の進め方に迷いがあれば、外部の手を借りるのも一つの選択肢です。

よくある質問

出典

1. *1　参考：Security Onion Documentation「About」「Introduction」（https://docs.securityonion.net/en/3/main/introduction/）。出典：無料でオープンなプラットフォームであること、含まれる5つの領域（ネットワークの監視・ホストの監視・おとりの仕組み・ログの管理・事案の管理）、Suricata・Zeek・Strelka・Elastic Agent・Elasticsearch・Security Onion Consoleの役割、syslogの受け取り、開発の経緯と開発元の有料提供の記述を参照（2026年10月確認）
2. *2　参考：Security Onion Documentation「License」およびElastic License 2.0（GitHub securityonion リポジトリ LICENSE）（https://docs.securityonion.net/en/3/main/license/）。出典：Elastic社の部品とSecurity Onion自身の部品がElastic License 2.0であること、導入時の同意、ホスト型・マネージド型のサービスとしての提供の制限を参照（2026年10月確認）
3. *3　参考：Security Onion Documentation「Architecture」（https://docs.securityonion.net/en/3/main/architecture/）。出典：分散構成（管理用・センサー・検索用）が推奨構成であることの記述を参照（2026年10月確認）
4. *4　参考：Security Onion Documentation「Hardware」（https://docs.securityonion.net/en/3/main/hardware/）。出典：x86-64のみ対応、1台構成（Standalone）の最低要件、32GB以上の検討、TAPとSPANポートの記述を参照（2026年10月確認）
5. *5　参考：Security Onion Documentation「Detections」（https://docs.securityonion.net/en/3/main/detections/）。出典：Suricata・Sigma・YARAのルールを管理する画面の記述を参照（2026年10月確認）
6. *6　参考：Security Onion Documentation「soup」（https://docs.securityonion.net/en/3/main/soup/）。出典：本番環境では更新を試験用の環境で先に試すことを勧める記述を参照（2026年10月確認）
7. *7　参考：Wazuh Documentation「Components」（https://documentation.wazuh.com/current/getting-started/components/index.html）。出典：XDRとSIEMの機能、エージェントとサーバー・インデクサー・ダッシュボードの構成の記述を参照（2026年10月確認）
8. *8　参考：Open Information Security Foundation「Suricata」公式サイト（https://suricata.io/）。出典：通信の分析と脅威の検知を行うオープンソースのソフトウェアであることの記述を参照（2026年10月確認）
9. *9　参考：Security Onion Documentation「End Of Life」（https://docs.securityonion.net/en/3/main/eol/）。出典：2.4の版が2026年10月1日にEOLとなり、3への移行を求める記述を参照（2026年10月確認）
10. *10　参考：Security Onion Documentation「Release Notes」（https://docs.securityonion.net/en/3/main/release-notes/）。出典：3.0.0の公開日（2026年3月31日）を参照（2026年10月確認）
11. *11　参考：Security Onion Documentation「Getting Started」（https://docs.securityonion.net/en/3/main/getting-started/）。出典：Amazon・Azure・Googleのクラウドへの導入手順の案内を参照（2026年10月確認）

Tweet