LASSIC Media らしくメディア
Graylogの使い方入門｜ログ管理の基本と導入の進め方
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- Graylogはログを1か所に集めて検索・可視化・通知まで行うソフトウェアで、無料の版はGraylog Openです。
- ログ管理が中心のGraylogに対し、Wazuhは端末の脅威を見つけるセキュリティ監視が中心で役割が違います。
- 導入では集めるログと保存期間を先に決め、保存先とMongoDBを含めた更新の担当を決めておくことが大切です。
※ 本記事は2026年10月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
障害が起きるたびに、サーバーを1台ずつ開いてログを探している。どの機器のログがどこに残っているのか、担当者しか分からない——。サーバーやネットワーク機器が増えてきた会社では、こうした手間が起こりがちです。Graylog（グレイログ）は、ばらばらに残っているログを1か所に集め、画面から検索できるようにするソフトウェアです。
ただし万能ではなく、端末への攻撃を見つけるセキュリティ監視が目的なら、別の仕組みが合うこともあります。本記事では、ログの管理を任された情報システムの担当者に向けて、Graylogでできること、ログが流れる仕組み、Wazuhとの違い、導入の進め方、そして外部に頼むときに確認したい点を整理します。
Graylogとは
Graylogは、サーバーやネットワーク機器、クラウドのサービスが出すログを1か所に集め、検索・グラフ化・通知までを1つの画面で行うためのソフトウェアです。製品はいくつかの版に分かれていて、無料で使えるのはGraylog Openです。
- Graylog Open：無料で使えるログ管理の版。自社のサーバーに置いて使います*2
- Graylog Enterprise：Openに相関分析・アーカイブ・レポートなどを加えた有料の版です
- Graylog Security：SIEM（セキュリティの監視と分析をまとめる仕組み）の機能を加える版で、別にライセンスを買う必要があります*5
- Graylog Cloud：Enterpriseを開発元が運用するクラウドの形で提供するものです
Graylog Openのソースコードは公開されていて、ライセンスはSSPL（Server Side Public License）の第1版です。*1 社内で使う分には費用はかかりません。一方で、Graylogの機能を社外の利用者向けのサービスとして提供する場合は、そのサービスのソースコードの公開を求める条項（第13条）があります。その場合は、契約の担当者や専門家に条文を確かめておきます。
ログが届いてから検索できるまで
Graylogの中では、ログは決まった順に流れます。入口になるのが「入力（インプット）」で、syslog（ネットワーク機器やLinuxが使う標準的なログの送り方）やGELF（Graylogが定めた形式）など、送り方ごとに受け口を作ります。*4 届いたログは「ストリーム」で種類ごとに振り分けられ、「パイプライン」で項目の取り出しや書き換えを受けてから保存されます。
- 入力：ログを受け取る入口。待ち受ける形と、クラウドのサービスから取りに行く形があります
- ストリーム：条件に合うログを束ねる箱。どれにも当てはまらないログは既定のストリームに入ります*4
- パイプライン：振り分けや項目の加工を決まった段階の順に行う仕組みです
- インデックスセット：保存の単位。保存する量や期間の上限を決め、古いものから閉じる・消す・書き出すのいずれかで整理します*4
保存したログは画面から検索し、ダッシュボードのグラフや、条件に合ったときの通知（アラート）に使います。ログの保存先には、Graylogが推奨するData Nodeか、自分で用意するOpenSearch（検索用のデータベース）を使い、設定の保存にはMongoDBというデータベースが別に必要です。*3
Wazuhとの違い
ログを集める仕組みとして、Graylogと一緒に名前が挙がりやすいのがWazuhです。WazuhはXDR（端末やクラウドの脅威を見つけて対応する仕組み）とSIEMの機能をまとめた無料のセキュリティ基盤で、*6 監視する端末に入れるエージェント（常駐ソフト）と、データを集めて分析する管理サーバーで構成されます。*7 同じようにログを扱いますが、主な役割が違います。
| 比べる点 | Graylog Open | Wazuh |
|---|---|---|
| 主な役割 | ログを集めて検索・可視化・通知するログ管理 | 端末とクラウドの脅威を見つけるセキュリティ監視 |
| ログの集め方 | syslogなどの入力で受け取る。クラウドのサービスから取りに行く入力もある | 監視する端末にエージェントを入れて集める |
| 得意なこと | 大量のログの検索、振り分け、ダッシュボード | ファイルの改ざん検知、脆弱性の検出、設定の点検 |
| SIEMの機能 | 有料のGraylog Securityで加わる | 無料の版に含まれる |
| ライセンス | SSPL 第1版 | GPLv2 |
選ぶときは「何に困っているか」から考えると迷いません。障害の原因を探すためにログを横断して検索したいならGraylog、端末への攻撃や改ざんを見つけたいならWazuhが出発点になります。Wazuhの構築はWazuhでOSS SIEM監視基盤を外注構築で、Grafanaと組み合わせる別のログ基盤はGrafana Lokiでログ基盤を外注構築で扱っています。
導入の進め方
Graylogの導入は、インストールの作業よりも、どのログをどれだけ残すかを決める作業のほうが大切です。次の4つの段階で進めると、手戻りを減らせます。
- ステップ1：集めるログと残す期間を決める（サーバー、ネットワーク機器、クラウドのサービスなど）
- ステップ2：置き方を決める。LinuxのサーバーにOSのパッケージで入れるか、Dockerで動かすか、1台か複数台か*3
- ステップ3：入力を作り、各サーバーの収集ソフトの設定をGraylogの画面から配る（Sidecarという仕組みを使います）
- ステップ4：ストリームとパイプラインで振り分けを整え、ダッシュボードと通知を作る
つまずきやすいのはステップ1です。保存期間を長くするほど保存先のディスクが要ります。最初は対象を絞って数週間動かし、1日に届く量を確かめてから広げると、保存先の見積もりが外れにくくなります。syslogの基本はsyslogの仕組みにまとめています。
外部に頼むときに確認しておきたい点
Graylog Openは無料で使えますが、自社のサーバーに置く以上、構築と保守の手間は自社で持つことになります。構築や運用を外部に頼むときは、次の点を見積もりの前に確かめておきます。
- どこまで頼むか：サーバーの用意、Graylogと保存先の構築、入力と収集ソフトの設定、ダッシュボードづくりのうち、どれを任せるか
- 保存の設計：1日に届くログの量と保存期間から、ディスクの容量と古いログの扱いをどう決めるか
- 権限と通信：画面に入れる人と見られるストリームをどう分けるか。ログの送受信を暗号化するか
- 更新の担当：Graylog本体と保存先、MongoDBの版をそろえて更新する作業を誰がいつ行うか
- 運用後の見直し：通知が多すぎる・少なすぎるときに、条件を直す場を設けるか
特に更新は、導入時に決めないまま運用に入りやすい点です。Graylogは版ごとに組み合わせられるMongoDBや保存先の版が決まっているため、*3 本体を上げるときは組み合わせる版も確かめる必要があります。
まとめ：Graylogで確かめておきたい3つの点
Graylogでログの管理を始めるうえで、確かめておきたい点は3つに整理できます。第一に、目的がログの検索と可視化なのか、セキュリティの監視なのかを決め、GraylogとWazuhのどちらを出発点にするかを選ぶこと。第二に、集めるログと保存期間を先に決め、届く量を確かめてから保存先を見積もること。第三に、本体と保存先、MongoDBの更新を誰が受け持つかを導入の前に決めることです。この3点を踏まえておけば、「入れてはみたが、ディスクがすぐにいっぱいになって使われなくなった」という事態を避けやすくなります。構築や運用に迷いがあれば、外部の手を借りるのも一つの選択肢です。
よくある質問
Graylogは無料で使えますか
Graylog Openは無料で、自社のサーバーに置いて使えます。*2 相関分析やレポートが要る場合はEnterprise、SIEMの機能が要る場合はSecurityという有料の版があります。無料の版でも、サーバーの費用や構築・保守の手間は自社で持つことになります。
古いログは自動で消えますか
保存の単位ごとに上限を決めておくと、上限に達したときに古いものから自動で閉じる・消す・書き出すのいずれかが行われます。*4 監査などで長く残す必要があるログは、消す前に書き出す設定にするか、別の保存先を用意しておきます。
WindowsのパソコンやサーバーのログもGraylogに集められますか
集められます。Windowsにも収集ソフトとSidecarを入れて、Graylogの画面から設定を配る形で集めます。台数が多い場合は、どの端末のどのログを送るかを先に決めておくと、届く量が増えすぎずに済みます。
ログ管理基盤の構築と運用のご相談
Graylogなどのログ管理基盤の設計・構築から、保存の設計、更新と通知の見直しまで、元請（プライムベンダー）としてご提案します。
2006年の創業以来、一次請けのシステムインテグレーターとして、企業のシステム開発と保守・運用を受託してきました。
出典
- *1 参考：Graylog2/graylog2-server（GitHub）（https://github.com/Graylog2/graylog2-server）。出典：READMEのライセンスの記述（Server Side Public License 第1版）とLICENSEファイルを参照（2026年10月確認）
- *2 参考：Graylog Documentation「What is Graylog?」（https://go2docs.graylog.org/current/what_is_graylog/what_is_graylog.htm）。出典：Graylog Open・Enterprise・Security・Cloudの説明と、ストリーム・入力・パイプライン・インデックスなどの基本機能の記述を参照（2026年10月確認）
- *3 参考：Graylog Documentation「Install Graylog」「Compatibility Matrix」（https://go2docs.graylog.org/current/downloading_and_installing_graylog/compatibility_matrix.htm）。出典：OSのパッケージとDocker Composeによる導入、Data Nodeを推奨する記述、版ごとのMongoDB・OpenSearchの対応表を参照（2026年10月確認）
- *4 参考：Graylog Documentation「Inputs」「Streams」「Pipelines」「Index Model」（https://go2docs.graylog.org/current/getting_in_log_data/inputs.htm）。出典：入力の種類（syslog・GELFなど、待ち受ける形と取りに行く形）、既定のストリーム、パイプラインの段階、インデックスセットの保存と整理の記述を参照（2026年10月確認）
- *5 参考：Graylog Documentation「Graylog Security」（https://go2docs.graylog.org/current/what_more_can_graylog_do_for_me/graylog_security.html）。出典：別ライセンスが必要であることと、SIEMの機能を加える版であることの記述を参照（2026年10月確認）
- *6 参考：Wazuh Documentation「Getting started with Wazuh」（https://documentation.wazuh.com/current/getting-started/index.html）。出典：XDRとSIEMの機能をまとめた無料のセキュリティ基盤であること、ファイルの改ざん検知・脆弱性の検出・設定の点検などの機能の記述を参照（2026年10月確認）
- *7 参考：wazuh/wazuh（GitHub）（https://github.com/wazuh/wazuh）。出典：エージェントと管理サーバーの構成の説明と、ライセンス（GPLv2）の記述を参照（2026年10月確認）
