LASSIC Media らしくメディア
SuricataのIDSとIPSの違いと導入の進め方を解説
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- Suricataは無料で使えるネットワーク型のIDS・IPSで、通信を検査して怪しいものを警告したり止めたりします。
- Wazuhと組み合わせると、端末の警告と通信の警告を1つの画面で追えるようになります。
- 最初はIDSで見張るだけにして、ルールと版の更新を誰が受け持つかを導入の前に決めておくことが大切です。
※ 本記事は2026年10月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
社内のネットワークに怪しい通信が流れていても、気づく手段がない。ファイアウォールは入れたものの、通してしまった通信の中身までは見ていない——。セキュリティの担当者が少ない会社では、こうした不安が残りがちです。Suricata（スリカータ）は、ネットワークを流れる通信を検査して、攻撃の疑いがあるものを見つけたり止めたりするオープンソースのソフトウェアです。
無料で使え、SIEMのWazuhと組み合わせる手順はWazuhの公式ドキュメントでも紹介されています。ただし万能ではなく、入れただけでは警告が積み上がるだけで、見る人とルールの手入れが欠かせません。本記事では、情報システムの担当者に向けて、Suricataでできること、IDS・IPS・ファイアウォールの違い、Wazuhとの連携の仕組み、そして外部に頼むときに確認したい点を整理します。
目次
Suricataとは
Suricataは、非営利団体のOISF（Open Information Security Foundation）が開発しているオープンソースのソフトウェアです。公式ドキュメントは、ネットワーク型のIDS・IPS、そしてネットワークセキュリティ監視（NSM）のためのエンジンと説明しています。*1
- IDS（不正侵入検知システム）：通信を見て、怪しいものを見つけたら警告を出す
- IPS（不正侵入防止システム）：通信の通り道に入り、怪しい通信をその場で止める
- NSM（通信の記録と分析）：HTTPの通信、DNSの問い合わせ、TLSの証明書などを記録する
- ライセンスはGPL第2版（ソースコードの公開を条件に自由に使えるライセンス）で、利用料はかかりません*1
攻撃を見分ける手がかりは「ルール」（シグネチャとも呼ぶ、怪しい通信の特徴を書いた定義）です。公開されているルール集を入れて使うのが一般的です。Suricataは2年ごとに大きな版を出し、それぞれを3年間サポートする方針で、7.0系は2026年7月7日にサポートが終わりました。*3
IDS・IPS・ファイアウォールの違い
Suricataは、同じソフトのまま「見張るだけ」の使い方と「止める」使い方を選べます。公式ドキュメントでは、IPSモードは初期状態ですべての通信を通し、止めるルールに当たった通信だけを落とす動きと説明されています。ファイアウォールモードはその逆で、初期状態では通信を止めます。*4
| 動かし方 | 通信の扱い | 向いている場面 |
|---|---|---|
| IDS | 通信を見て警告を出す。通信そのものは止めない | まず社内の通信の様子を知りたいとき |
| IPS | 初期状態は通し、止めるルールに当たった通信を落とす | 既知の攻撃をその場で止めたいとき |
| ファイアウォール | 初期状態は止め、許可するルールに当たった通信だけを通す | 通してよい通信がはっきり決まっているとき |
NIST（米国国立標準技術研究所）のIDS・IPSの指針は、こうした仕組みをネットワーク型・無線・通信の振る舞いの分析・ホスト型の4つに分けています。*5 Suricataはこのうちネットワーク型にあたり、パソコンやサーバーの中で起きたことは見えません。そこを補うのが、次に説明するWazuhとの組み合わせです。
Wazuhとの連携の仕組み
Wazuhは、SIEM（ログを集めて分析する仕組み）とXDR（端末やサーバーの脅威を検知して対応する仕組み）の機能をまとめた、無料のオープンソースの基盤です。*7 Wazuhのエージェント（監視対象に入れる小さなプログラム）はサーバーのログやファイルの変更を見張り、Suricataは通信を見張ります。2つをつなぐと、端末とネットワークの両方の警告を1つの画面で追えます。
- Suricataが通信を検査し、警告や通信の記録をJSON形式（機械が読みやすい文字のデータ）のファイルに書き出す
- 同じサーバーに入れたWazuhのエージェントが、そのファイルを読み取ってWazuhのサーバーへ送る
- Wazuhのサーバーが内容を解析し、ダッシュボードに警告として表示する。Suricata由来の警告だけを絞り込んで見ることもできる*8
WazuhはSuricataとの連携手順を公式の検証ガイドで公開しています。ただし、そのガイドが動作を確かめた版は6.0.8で、*8 6.0系はすでにサポートが終わっています。*3 手順を参考にするときは、版だけはサポート中のものに置き換えて進めます。Wazuh側の構築はWazuhでOSS SIEM監視基盤を外注構築で扱っています。
導入の進め方
Suricataの導入は、ソフトを入れる作業よりも、どの通信を見てどう扱うかを決める作業が中心です。次の4つの段階で進めると、警告が多すぎて誰も見なくなる事態を避けやすくなります。
- ステップ1：どこの通信を見るかを決める（インターネットとの出入り口か、社内のサーバーの手前か）
- ステップ2：IDSで見張るだけにするか、IPSで止めるかを決める
- ステップ3：ルール集を入れ、更新の仕組みを作る（公式は付属の更新ツールでの管理と、こまめな更新を勧めています）*6
- ステップ4：Wazuhに警告を送り、誤検知（問題のない通信への警告）を見ながらルールを調整する
最初はIDSとして動かし、しばらくは警告を見るだけにするのが無理のない進め方です。いきなりIPSで止めると、業務に必要な通信まで止まるおそれがあります。IPSモードでは、Suricataが処理の上限に達したときなどの例外も、初期設定では通信を止める側に倒れます。*4 止める運用に切り替える前に、どの警告なら止めてよいかを担当者の間で決めておきます。
外部に頼むときに確認しておきたい点
Suricataは無料で使えますが、警告を毎日見て、ルールと版を更新し続ける手間は残ります。構築や運用を外部に頼むときは、次の点を見積もりの前に確かめておきます。
- どこまで頼むか：設置場所の設計、Suricataの設定、Wazuhとの連携、警告の監視のうち、どれを任せるか
- IDSとIPSのどちらで始めるか：止める運用に切り替える条件と、その判断を誰がするか
- ルールの更新：どのルール集を使い、どの頻度で更新するか。誤検知の調整を誰が受け持つか
- 版の更新：サポートの終わる時期を誰が追い、いつ新しい版へ移すか
- 警告への対応：夜間や休日の警告を誰が受け、どこまで調べるか
特に警告への対応は、導入時に決めないまま運用に入りやすい点です。監視の体制まで含めて考えるならSOCによるセキュリティ監視運用を外注する進め方も参考になります。
まとめ：Suricataで確かめておきたい3つの点
Suricataで通信の監視を始めるうえで、確かめておきたい点は3つに整理できます。第一に、どこの通信を見るかと、IDSで見張るかIPSで止めるかを最初に決めること。第二に、Wazuhのような仕組みに警告を送り、誤検知を見ながらルールを調整する人を決めること。第三に、ルールと版の更新を誰がいつ行うかを、導入の前に決めておくことです。この3点を踏まえておけば、「入れてはみたが、警告が多すぎて誰も見ていない」という事態を避けやすくなります。設計や運用の進め方に迷いがあれば、外部の手を借りるのも一つの選択肢です。
よくある質問
Suricataは何と読みますか
日本語では「スリカータ」と読むのが一般的です。名前はミーアキャットの学名（Suricata suricatta）と同じ綴りで、公式サイトでも、見張りをする習性で知られるミーアキャットが紹介されています。*2
Windowsのパソコンやサーバーでも動きますか
公式サイトでは、Linuxなどのほか、Windows向けのインストーラーも配布されています。*2 ただし、通信の通り道に入って止めるIPSとして使う場合は、置く場所や設定の考え方が変わるため、どの機器で動かすかは設計の段階で決めておきます。
IPSにすると通信が遅くなることはありますか
公式ドキュメントでは、IPSモードは届いた通信をすぐに検査し、前のデータと合わせて検査し直すため、処理の負担が増えると説明されています。*4 負担の大きさは通信量やルールの数、機器の性能で変わるので、本番の前に試しの環境で確かめておきます。
通信の監視とIDS・IPSの構築のご相談
Suricataの設計と構築から、Wazuhとの連携、ルールと版の更新の運用まで、元請（プライムベンダー）としてご提案します。
2006年の創業以来、一次請けのシステムインテグレーターとして、企業のシステム開発と保守・運用を受託してきました。
出典
- *1 参考：OISF「Suricata Documentation」What is Suricata（https://docs.suricata.io/en/latest/what-is-suricata.html）。出典：ネットワーク型のIDS・IPS・NSMのエンジンという説明、開発元のOISF、GPL第2版のライセンスの記述を参照（2026年10月確認）
- *2 参考：OISF「Suricata」公式サイト（トップページ・Features）（https://suricata.io/features/）。出典：HTTP・DNS・TLSの記録、EVEのJSON出力、ルール集、Windows向けインストーラー、ミーアキャットの紹介の記述を参照（2026年10月確認）
- *3 参考：OISF「Suricata」EOL Policy（https://suricata.io/our-story/eol-policy/）。出典：2年ごとの大きな版と3年間のサポート、7.0系・6.0系のサポート終了日を参照（2026年10月確認）
- *4 参考：OISF「Suricata Documentation」IPS Concept（https://docs.suricata.io/en/latest/ips/ips-concept.html）。出典：IPSモードとファイアウォールモードの初期動作の違い、IPSモードの検査方法と処理の負担、例外時に通信を止める初期設定の記述を参照（2026年10月確認）
- *5 参考：NIST SP 800-94「Guide to Intrusion Detection and Prevention Systems (IDPS)」（https://csrc.nist.gov/pubs/sp/800/94/final）。出典：IDS・IPSの4つの分類（ネットワーク型・無線・通信の振る舞いの分析・ホスト型）の記述を参照（2026年10月確認）
- *6 参考：OISF「Suricata Documentation」Quickstart guide、Rule Management with Suricata-Update（https://docs.suricata.io/en/latest/rule-management/suricata-update.html）。出典：ルール集の取得と更新ツール、こまめな更新の推奨、EVEのJSON形式の記録の記述を参照（2026年10月確認）
- *7 参考：Wazuh「Getting started with Wazuh」（https://documentation.wazuh.com/current/getting-started/index.html）。出典：XDRとSIEMの機能をまとめた無料のオープンソースの基盤という説明を参照（2026年10月確認）
- *8 参考：Wazuh「Proof of Concept guide」Network IDS integration（https://documentation.wazuh.com/current/proof-of-concept-guide/integrate-network-ids-suricata.html）。出典：Suricataとの連携手順（エージェントによる記録ファイルの読み取り、ダッシュボードでの表示と絞り込み）、動作を確かめた版の記述を参照（2026年10月確認）
