LASSIC Media らしくメディア
Security Onionとは？監視基盤の構成と導入手順を解説
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- Security Onionは、通信と端末の監視に必要な仕組みを一式にまとめた無料の監視基盤です。
- Suricataは中の部品の1つで、端末の記録を中心に見るWazuhとは受け持つ範囲が違います。
- 導入は見る通信の場所から決め、ルールの調整と更新の担当を最初に決めておくことが大切です。
※ 本記事は2026年10月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
社内のネットワークで不審な通信が起きていないか、確かめる手段がない。警告を出す仕組みはあっても、何が起きたのかを後から追えない——。セキュリティの監視を任された情報システムの現場では、こうした悩みが起こりがちです。Security Onion（セキュリティオニオン）は、ネットワークとPC・サーバーの監視に必要な仕組みを一式にまとめた、無料で使える監視基盤です。
通信の検知から端末の記録、調べた内容の管理までを1つの画面でつなげられます。ただし万能ではなく、機器の用意や検知ルールの調整には手間がかかります。本記事では、社内の監視の仕組みを検討している情報システムの担当者に向けて、Security Onionに入っている仕組み、WazuhやSuricataとの役割分担、導入の進め方、そして外部に頼むときに確認したい点を整理します。
目次
Security Onionとは
Security Onionは、2008年に無料の公開プロジェクトとして始まり、いまはSecurity Onion Solutions社が開発を続けています。公式ドキュメントは、Security Onionに含まれるものとして次の5つを挙げています。*1
- ネットワークの監視：社内を流れる通信から、不審な動きを見つける
- ホストの監視：PCやサーバー（ホスト）の記録を集める
- おとりの仕組み：本物に似せたサービスを立て、触れた相手がいれば知らせる
- ログの管理：集めた記録をためて、あとから検索できるようにする
- 事案の管理：調べた内容を記録し、担当者どうしで共有する
中に入っているソフトウェアの多くはオープンソースのライセンスですが、Elastic社の部品とSecurity Onion自身の部品はElastic License 2.0（ELv2）で、導入のときに同意を求められます。*2 現行の版は3系で、3.0は2026年3月に公開されました。*10
中に入っている仕組み
Security Onionの中身は、通信を見る部品、PCやサーバーを見る部品、記録をためる部品、調べるための画面に分かれます。それらを組み合わせ、1つの画面から使えるようにしています。*1
| 役割 | 中身 | 分かること |
|---|---|---|
| 不審な通信の検知 | Suricata | 既知の攻撃の特徴に合う通信を見つけて知らせる |
| 通信の記録 | ZeekかSuricata（どちらかを選ぶ） | DNS・HTTP・SSHなどのやり取りの記録 |
| 通信の丸ごとの保存 | Suricata | 通信そのものを後から見返せる |
| ファイルの分析 | Strelka | 通信の中を流れたファイルの中身 |
| PC・サーバーの監視 | Elastic Agent（Osquery・Elastic Fleet） | 端末の記録を集め、その場で状態を問い合わせる |
| 記録の保存と検索 | Elasticsearch | 集めた記録をためて検索する |
| 調べるための画面 | Security Onion Console | 警告の確認、記録の検索、事案の管理 |
エージェント（端末に入れる監視用のソフト）を入れられないファイアウォールやルーターからは、標準的なsyslogという形式で記録を受け取れます。画面の中のDetectionsでは、Suricataの検知ルールに加えて、記録の検知に使うSigmaと、ファイルの検知に使うYARAのルールもまとめて調整できます。*5
WazuhやSuricataとの役割分担
WazuhやSuricataとは、受け持つ範囲が違います。Suricataは通信を分析して脅威を見つけるソフトウェアで、*8 Security Onionの中でも部品の1つとして動いています。Wazuhは、監視する端末に入れるエージェントと、サーバー・インデクサー・ダッシュボードという中央の部品で組み立てる仕組みです。*7
| 項目 | Security Onion | Wazuh | Suricata |
|---|---|---|---|
| 位置づけ | 監視基盤の一式 | SIEM（記録をまとめて分析する仕組み）とXDRの機能を持つ基盤 | 通信を分析して脅威を見つけるソフトウェア |
| 主に見るもの | ネットワークの通信と、PC・サーバーの記録 | 端末に入れたエージェントから届く記録 | ネットワークの通信 |
| 中心になる部品 | Suricata、Zeek、Elastic Agent、Elasticsearch | エージェント、サーバー、インデクサー、ダッシュボード | 検知の仕組みそのもの |
| 検討に上がる場面 | 通信と端末の両方を1つの画面で調べたいとき | 端末の記録や設定の点検を中心に見たいとき | いまある監視の仕組みに通信の検知を加えたいとき |
選ぶときは、どこを見たいかから考えます。社内のネットワークを流れる通信まで見たいならSecurity Onion、端末の記録を中心にするならWazuhが候補になります。Wazuhでの構築についてはWazuhでOSS SIEM監視基盤を外注構築で扱っています。
導入の進め方
Security Onionの導入は、ソフトを入れる作業よりも、どの通信をどこで見るかを決める作業のほうが大切です。次の4つの段階で進めます。
- ステップ1：見る通信の場所を決める（社内と外の境目か、社内どうしの通信か）
- ステップ2：通信の写しを取り出す方法を決める（専用の機器であるTAPか、スイッチのSPANポートか）*4
- ステップ3：構成を選んで機器を用意する（1台にまとめるか、役割ごとに分けるか）
- ステップ4：検知ルールの調整と、更新の手順を決める
ステップ3では、試すだけなら1台で足ります。本番では、管理用・検索用・センサー（通信を見る機械）を分ける分散構成が推奨されています。*3 1台にまとめる構成でも、最低で4コアのCPU、24GBのメモリ、200GBの記憶領域が必要です。少しでも通信を見るなら32GB以上を検討するよう、公式は勧めています。対応するCPUはx86-64だけです。*4
外部に頼むときに確認しておきたい点
Security Onionは利用料がかからない一方、機器の用意やルールの調整、更新は自社で受け持ちます。構築や運用を外部に頼むときは、次の点を見積もりの前に確かめておきます。
- どこまで頼むか：見る場所の設計、機器の用意、導入、ルールの調整、日々の警告の確認のうち、どれを任せるか
- 機器の大きさ：見る通信の量に対して、CPUやメモリの見積もりをどう出すか
- 誤検知の扱い：警告が多すぎるとき、誰がどの手順でルールを絞り込むか
- 更新の手順：新しい版を試験用の環境で試してから本番に当てるか
- ライセンスの条件：外部の事業者が運用まで受け持つ形が、ELv2の条件に合うか
公式ドキュメントは、本番の環境では更新を先に試験用の環境で試すよう勧めています。*6 また、ELv2は、ソフトウェアを第三者向けのホスト型・マネージド型のサービスとして提供することを制限しています。*2 運用の形が条件に合うかは、契約の前に確かめておきます。監視の運用そのものを任せる考え方はSOCによるセキュリティ監視運用を外注する進め方にまとめています。
まとめ：Security Onionで確かめておきたい3つの点
Security Onionで監視の仕組みを整えるうえで、確かめておきたい点は3つに整理できます。第一に、社内と外の境目か社内どうしか、見る通信の場所と写しの取り出し方を先に決めること。第二に、通信の量に見合う構成と機器を用意すること。第三に、検知ルールの調整と版の更新を誰が受け持つかを、導入の前に決めることです。この3点を踏まえておけば、「入れてはみたが、警告が多すぎて誰も見なくなった」という事態を避けやすくなります。構築や運用の進め方に迷いがあれば、外部の手を借りるのも一つの選択肢です。
よくある質問
Security Onionは本当に無料で使えますか
ソフトウェアは無料で公開されています。*1 ただし、機器の費用や、構築・調整・更新の手間は自社で持つことになります。開発元のSecurity Onion Solutions社は、専用の機器や研修、専門家による支援を有料で提供しています。
クラウドの上に置くこともできますか
Amazon、Azure、Googleのクラウドに置く手順が、公式ドキュメントに用意されています。*11 社内のネットワークの通信も見たい場合は、その通信の写しをクラウドの上のセンサーへどう届けるかも合わせて決めておきます。
2.4の版を使い続けてもよいですか
2.4の版は2026年10月1日にEOL（サポートの終了）を迎え、公式は3への移行を呼びかけています。*9 2.4のまま運用している場合は、試験用の環境で移行を試す計画を早めに立てておきます。
セキュリティ監視基盤の構築のご相談
Security Onionなどの監視基盤の設計・構築から、検知ルールの調整、版の更新の運用まで、元請（プライムベンダー）としてご提案します。
2006年の創業以来、一次請けのシステムインテグレーターとして、企業のシステム開発と保守・運用を受託してきました。
出典
- *1 参考：Security Onion Documentation「About」「Introduction」（https://docs.securityonion.net/en/3/main/introduction/）。出典：無料でオープンなプラットフォームであること、含まれる5つの領域（ネットワークの監視・ホストの監視・おとりの仕組み・ログの管理・事案の管理）、Suricata・Zeek・Strelka・Elastic Agent・Elasticsearch・Security Onion Consoleの役割、syslogの受け取り、開発の経緯と開発元の有料提供の記述を参照（2026年10月確認）
- *2 参考：Security Onion Documentation「License」およびElastic License 2.0（GitHub securityonion リポジトリ LICENSE）（https://docs.securityonion.net/en/3/main/license/）。出典：Elastic社の部品とSecurity Onion自身の部品がElastic License 2.0であること、導入時の同意、ホスト型・マネージド型のサービスとしての提供の制限を参照（2026年10月確認）
- *3 参考：Security Onion Documentation「Architecture」（https://docs.securityonion.net/en/3/main/architecture/）。出典：分散構成（管理用・センサー・検索用）が推奨構成であることの記述を参照（2026年10月確認）
- *4 参考：Security Onion Documentation「Hardware」（https://docs.securityonion.net/en/3/main/hardware/）。出典：x86-64のみ対応、1台構成（Standalone）の最低要件、32GB以上の検討、TAPとSPANポートの記述を参照（2026年10月確認）
- *5 参考：Security Onion Documentation「Detections」（https://docs.securityonion.net/en/3/main/detections/）。出典：Suricata・Sigma・YARAのルールを管理する画面の記述を参照（2026年10月確認）
- *6 参考：Security Onion Documentation「soup」（https://docs.securityonion.net/en/3/main/soup/）。出典：本番環境では更新を試験用の環境で先に試すことを勧める記述を参照（2026年10月確認）
- *7 参考：Wazuh Documentation「Components」（https://documentation.wazuh.com/current/getting-started/components/index.html）。出典：XDRとSIEMの機能、エージェントとサーバー・インデクサー・ダッシュボードの構成の記述を参照（2026年10月確認）
- *8 参考：Open Information Security Foundation「Suricata」公式サイト（https://suricata.io/）。出典：通信の分析と脅威の検知を行うオープンソースのソフトウェアであることの記述を参照（2026年10月確認）
- *9 参考：Security Onion Documentation「End Of Life」（https://docs.securityonion.net/en/3/main/eol/）。出典：2.4の版が2026年10月1日にEOLとなり、3への移行を求める記述を参照（2026年10月確認）
- *10 参考：Security Onion Documentation「Release Notes」（https://docs.securityonion.net/en/3/main/release-notes/）。出典：3.0.0の公開日（2026年3月31日）を参照（2026年10月確認）
- *11 参考：Security Onion Documentation「Getting Started」（https://docs.securityonion.net/en/3/main/getting-started/）。出典：Amazon・Azure・Googleのクラウドへの導入手順の案内を参照（2026年10月確認）
