LASSIC Media らしくメディア
OSSECとWazuhの違い｜使い続けるか移すかの判断ポイント
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- OSSECはサーバー1台ごとのログと改ざんを見張るホスト型侵入検知のOSSで、いまも新しい版が出ています。
- WazuhはOSSECのソースをもとに作られ、警告をためるインデクサーと画面のダッシュボードを標準で持ちます。
- 移すかどうかは優劣ではなく、画面・台数・脆弱性の検知など、いま足りないものがあるかで決めます。
※ 本記事は2026年10月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
何年も前に入れたOSSECが、いまも社内のサーバーで動いている。後継のように語られるWazuhへ移したほうがよいのか、移すならどれだけの手間がかかるのか分からない——。OSSECを長く使ってきた情報システムの現場では、こうした迷いが起こりがちです。OSSEC（オーセック）は、サーバーのログやファイルの変化を見張って不正な動きを知らせる、無料で使えるオープンソースのホスト型侵入検知の仕組みです。
WazuhはこのOSSECをもとに作られたため、2つは同じものの新旧のように見られがちです。ただし万能な乗り換え先があるわけではなく、OSSECを更新して使い続けるほうが合う場合もあります。本記事では、OSSECの運用を任された担当者に向けて、OSSECの現在の開発状況、Wazuhとの違い、使い続けるか移すかの判断、そして外部に頼むときに確認したい点を整理します。
目次
OSSECとは
米国立標準技術研究所（NIST）の侵入検知の指針は、ホスト型の侵入検知を「1台のホストの特徴とそのホストで起きる出来事を監視し、不審な動きを探すもの」と説明しています。*1 監視する対象の例として、システムのログ、動いているプロセス、ファイルへのアクセスと変更、設定の変更が挙がっています。OSSECは、この仕組みを無料で使えるようにしたオープンソースのソフトウェアです。
- ログの分析、ファイルの改ざん検知、ルートキット（侵入の痕跡を隠す不正プログラム）の検知、警告の通知、自動での対処を1つにまとめています*3
- ライセンスはGPLv2（改変して配る場合にソースコードの公開を求めるライセンス）です*3
- 開発はAtomicorp社が管理していて、いまも新しい版が出ています*2
- 監視の中心になるマネージャー（サーバー）と、監視する機器に入れるエージェントの2つで動きます*4
OSSECの最新版は、2026年10月18日に公開された4.4.1です。*3 開発が止まったソフトウェアではありません。使い続けるか移すかを考えるときは、この点を前提に置いておきます。
OSSECとWazuhの違い
Wazuhは、OSSECのソースコードをもとに作られたセキュリティ監視の仕組みです。WazuhのLICENSEファイルには、OSSECと同じ2003〜2013年のトレンドマイクロ社の著作物をもとにしていると書かれています。*6 根は同じですが、いまは別々の開発元が別々の方針で育てています。
| 項目 | OSSEC | Wazuh |
|---|---|---|
| 位置づけ | ホスト型の侵入検知（HIDS） | XDR（複数の検知をまとめて対処する仕組み）とSIEM（ログを集めて分析する仕組み）をまとめた基盤 |
| 開発の管理 | Atomicorp社 | Wazuh社 |
| 最新版 | 4.4.1（2026年10月18日） | 4.14.9（2026年10月15日） |
| ライセンス | GPLv2 | GPLv2 |
| 構成 | マネージャーとエージェント | エージェントと、サーバー・インデクサー・ダッシュボードの3つ |
| 画面 | 無料版には付かない | ダッシュボードが付く |
いちばん大きな違いは、集めた結果を見る画面と、結果をためておく仕組みの有無です。Wazuhは、警告を保存して検索するインデクサーと、Webで見るダッシュボードを標準の部品として持っています。*5 OSSECの開発元は、画面を商用版のAtomic OSSECに含めて案内しています。*2 Wazuh自体の構築と運用の考え方はWazuhでOSS SIEM監視基盤を外注構築で扱っています。
使い続けるか移すかの判断
OSSECからWazuhへ移すかどうかは、どちらが優れているかではなく、いまの監視で何が足りていないかで決めます。サーバーのログとファイルの改ざんを見張るだけで足りているなら、OSSECを新しい版に更新して使い続ける選択は十分に成り立ちます。
- 警告をメールで受け取るだけでなく、画面で一覧したり検索したりしたいか
- 監視する台数がこの先も増え、サーバーを複数台に広げる必要があるか
- 脆弱性（ソフトウェアの弱点）の検知や、PCI DSSなどの基準に沿った報告まで1つの仕組みでまかないたいか
- いまのOSSECに自社で書き足したルールがどれだけあり、移した先で書き直す手間を見込めるか
上の問いに「はい」が多いほどWazuhへ移す理由が強くなります。Wazuhのダッシュボードには、規制や基準への準拠、脆弱性のあるアプリケーション、ファイルの改ざん検知の結果を見る画面が初めから用意されています。*5 問いのほとんどが「いいえ」なら、移す手間に見合う変化は小さいと考えられます。
続ける場合・移す場合の注意点
どちらを選んでも、作業の中身は「いまの監視を止めずに切り替える」ことです。続ける場合と移す場合で、気をつける点が違います。
- OSSECを続ける場合：3.8.0以前から4系へ上げるときは、エージェントとサーバーの通信の暗号化方式の初期設定が変わり、古いサーバーとはそのままつながりません。開発元はサーバーを先に上げることを勧めています*3
- OSSECを続ける場合：無料版のまま使うか、登録制で無料のOSSEC+や商用版を使うかを、必要なルールと保守の体制から決めます*2
- Wazuhへ移す場合：監視する機器すべてのエージェントを入れ替えるので、機器の一覧と担当者を先にそろえます
- Wazuhへ移す場合：自社で書き足したルールを棚卸しし、移した先で同じ警告が出るかを1つずつ確かめます
- Wazuhへ移す場合：警告をためるインデクサーのディスクの容量と、保存する期間を決めておきます
移す場合は、一度に全台を切り替えず、一部の機器で両方を並べて動かし、同じ出来事に同じ警告が出るかを比べてから広げます。WazuhのGitHubでは、開発中の版のLICENSEに、中核の解析部分をAGPL-3.0（ネットワーク越しに使わせる場合にも公開を求めるライセンス）とする記載があります。*6 改変して社外に提供する予定がある場合は、移す前に版ごとのライセンスを確かめておきます。
外部に頼むときに確認しておきたい点
OSSECの更新もWazuhへの移行も、ソフトウェアを入れる作業そのものより、監視を止めない段取りと、移したあとの運用の決め方に手間がかかります。外部に頼むときは、見積もりの前に次の点を確かめておきます。
- どちらを選ぶかの判断から相談できるか：最初から移行ありきで話を進めないか
- いまのルールの棚卸し：自社で書き足したルールを洗い出し、移行後に同じ警告が出るかをどう確かめるか
- 切り替えの段取り：並行稼働の期間、切り替える順番、問題が出たときに元へ戻す方法
- 運用後の体制：警告を誰が見て、誰に知らせるか。版の更新を誰がいつ行うか
特に運用後の体制は、決めないまま切り替えに入りやすい点です。画面が付いても、警告を見る人と対応の手順が決まっていなければ、監視の効果は上がりません。ネットワークを流れる通信を見張る仕組みと組み合わせる場合は、SuricataのIDSとIPSの違いも参考にしてください。
まとめ：OSSECで確かめておきたい3つの点
OSSECを使い続けるかWazuhへ移すかを決めるうえで、確かめておきたい点は3つに整理できます。第一に、OSSECはいまも新しい版が出ていて、更新して使い続ける道があること。第二に、画面での確認や台数の増加、脆弱性の検知など、いまの監視に足りないものがあるかを先に書き出すこと。第三に、続ける場合も移す場合も、通信の互換性や自社のルールの扱いを確かめ、監視を止めない段取りを組むことです。この3点を踏まえておけば、「移してはみたが、前と同じ警告が出なくなった」という事態を避けやすくなります。判断や切り替えの段取りに迷いがあれば、外部の手を借りるのも一つの選択肢です。
よくある質問
OSSECはこの先も無料で使えますか
OSSECの本体は無料のオープンソースとして公開されていて、費用をかけずに使えます。*2 開発元は、登録すれば無料で使えるOSSEC+と、画面やサポートが付く商用版も用意しています。必要なルールの量と保守の体制から選ぶとよいでしょう。
Windowsのサーバーやパソコンも監視できますか
監視できます。ただしOSSECはWindowsにはエージェントとしてしか入れられず、マネージャーはLinuxなどのUnix系の機器で動かす必要があります。*4 エージェントを入れられないネットワーク機器などは、エージェントを使わない監視の方法も用意されています。
Wazuhへの移行はどのくらいの期間で終わりますか
期間は監視する台数と、自社で書き足したルールの量によって大きく変わります。まず一部の機器で両方を並べて動かし、警告の出方を比べる期間を見込んでおくと、全体の計画が立てやすくなります。急いで全台を切り替えると、監視が抜ける期間ができやすいので注意が必要です。
OSSECの更新やWazuhへの移行のご相談
OSSECを使い続けるかWazuhへ移すかの判断から、ルールの棚卸し、並行稼働での切り替え、移行後の運用まで、元請（プライムベンダー）としてご提案します。
2006年の創業以来、一次請けのシステムインテグレーターとして、企業のシステム開発と保守・運用を受託してきました。
出典
- *1 参考：NIST SP 800-94「Guide to Intrusion Detection and Prevention Systems (IDPS)」（https://csrc.nist.gov/pubs/sp/800/94/final）。出典：ホスト型の侵入検知の説明と、監視する対象の例（ログ・プロセス・ファイルの変更・設定の変更）を参照（2026年10月確認）
- *2 参考：OSSEC Project Team「OSSEC」公式サイト（https://www.ossec.net/）。出典：Atomicorp社による開発の管理、無料のオープンソースであること、OSSEC+と商用版Atomic OSSECの説明、画面（GUI）の提供形態を参照（2026年10月確認）
- *3 参考：ossec/ossec-hids（GitHub）README・LICENSE・Releases（https://github.com/ossec/ossec-hids/releases）。出典：機能の説明、ライセンス（GPLv2）、4.4.1の公開日、4.0.0の通信の暗号化方式の変更と更新の順番についての記述を参照（2026年10月確認）
- *4 参考：OSSEC Documentation「OSSEC Architecture」（https://www.ossec.net/docs/docs/manual/ossec-architecture.html）。出典：マネージャーとエージェントの構成、Windowsはエージェントのみであること、エージェントを使わない監視の記述を参照（2026年10月確認）
- *5 参考：Wazuh Documentation「Getting started with Wazuh」「Components」（https://documentation.wazuh.com/current/getting-started/components/index.html）。出典：XDRとSIEMをまとめた無料のオープンソース基盤であること、エージェントと3つの中央の部品、ダッシュボードの内容を参照（2026年10月確認）
- *6 参考：wazuh/wazuh（GitHub）LICENSE・Releases（https://github.com/wazuh/wazuh/releases）。出典：4.14.9のLICENSE（GPLv2・トレンドマイクロ社の著作物をもとにしている旨）と公開日、開発中のブランチのLICENSE（中核部分のAGPL-3.0）を参照（2026年10月確認）
