本記事では、Wazuh公式OVAで構築したWazuhサーバーおよびWazuhエージェントを最新版へアップグレードする手順を紹介します。
はじめに
みなさんこんにちは。
前回の記事では、Windows Server 2025およびUbuntu 24.04へWazuhエージェントを導入し、ログ収集を開始しました。
▼前回の記事をまだご覧になっていない方はこちら
【初心者向け】最短で構築！Wazuh公式OVAで検証環境を作る方法（VirtualBox）
【初心者向けWazuh第2弾】Windows＆Linuxにエージェントを導入してログ収集を開始する方法
当初は第3弾として、Wazuhの初期状態（デフォルト設定）で何ができるかを紹介する予定でしたが、新しいバージョンがリリースされたため予定を変更し、今回は構築済みのWazuh検証環境を最新版へアップグレードする手順を紹介します。
ⓘ 補足
Wazuhは継続的に機能追加や不具合修正、セキュリティ改善が行われています。そのため、検証環境についても適宜アップグレードし、最新バージョンを利用することをおすすめします。
本記事は、Wazuh, Inc.のオンラインドキュメント「Upgrade guide」を参考に作成していますが、Wazuh公式OVAで構築したシングルノードのオールインワン構成を対象としているため、バックアップや設定反映などの作業は本構成向けに再構成しています。このため、Wazuh公式ドキュメントとは一部の手順の順序や構成が異なります。また、マルチノード構成やクラスター構成向けの手順、および古いバージョンからのアップグレードでのみ必要となる手順は省略しています。これらの環境をご利用の場合は、Wazuh公式ドキュメントを参照してください。
本記事に関するお問い合わせは、弊社のお問い合わせフォームよりご連絡ください。記事の作成にあたっては正確な記述に努めていますが、本記事の内容に基づく運用結果について、弊社では一切の責任を負いかねます。あらかじめご了承ください。
作業環境と前提条件
本記事で利用する検証環境は、以下のとおりです。
今回使用する環境
前回記事と同様、以下の環境を使用します。
- Wazuhサーバー：Wazuh v4.14.5（VirtualBox上の仮想マシン）
- 監視対象Windows：Windows Server 2025（評価版）
- 監視対象Linux：Ubuntu 24.04 LTS
- 作業端末：Wazuh Web UIにアクセス可能で、監視対象WindowsへRDP接続、監視対象LinuxへSSH接続できる任意のコンピューター
前提条件
本記事の前提条件は以下のとおりです。
- WazuhサーバーはWazuh公式OVAまたはシングルノードのオールインワン構成で構築されていること
- Wazuhバージョンが4.14以降であること
- Wazuhサーバーがインターネットへ接続できること
- Wazuhサーバーに管理者権限（sudo権限）を持つユーザーでログインできること
- Wazuh Web UIにログインできること
- 監視対象WindowsおよびLinuxにWazuhエージェントがインストール済みであること
ⓘ 補足
インターネット接続できないWazuhサーバーのアップグレード手順は本記事の対象外です。
作業前にご確認ください
作業に進む前に、簡単にWazuhの構成について確認しておきましょう。
ⓘ 補足
これまでの記事では、Wazuhサーバーを構成するコンポーネントを意識していませんでしたが、Wazuhサーバーのアップグレードでは、各コンポーネントの役割を理解しておくと作業内容を把握しやすいため、ここで簡単に紹介します。
Wazuhサーバーの構成
Wazuhサーバーは、主に次のコンポーネントで構成されています。
| コンポーネント | 主な役割 |
|---|---|
| Wazuh Indexer | ログやアラートを保存・検索するデータストア |
| Wazuh Server | ログやセキュリティイベントの分析を行うサーバーコンポーネント（Wazuh ManagerおよびFilebeatで構成） 【Wazuh Manager】 ログやセキュリティイベントを分析し、ルールに基づいてアラートを生成する 【Filebeat】 Wazuh Managerが生成したアラートやイベント情報をWazuh Indexerへ転送する |
| Wazuh Dashboard | WebブラウザーからWazuhを管理する画面 |
ⓘ 補足
Wazuh公式ドキュメントでは、Wazuh ManagerとFilebeatを総称して「Wazuh Server」と呼んでいます。本記事でもWazuh公式ドキュメントに合わせてWazuh ManagerとFilebeatを総称したサーバーコンポーネントを「Wazuh Server」と表記します。
Wazuh公式OVAで構築したWazuh検証環境
本記事では、Wazuh公式OVAで構築したWazuh仮想マシンを使用しています。この環境は、1台の仮想マシンに、Wazuhの主要コンポーネントであるWazuh Indexer、Wazuh Server、Wazuh Dashboardがすべて導入されています。このように1つのサーバーにすべてのサーバーコンポーネントを導入した構成を「オールインワン構成」と呼びます。
💡 ヒント
本記事は、Wazuh公式OVA以外で構築したシングルノードのオールインワン構成にも対応します。
ⓘ 補足：Wazuhの構成について
Wazuhは利用環境の規模や用途に応じてさまざまな構成で構築することができます。Wazuh Indexerのクラスター構成も可能です。なお、本番環境では、複数のサーバーへコンポーネントを分散配置するマルチノード構成が推奨されています。
アップグレード順序
Wazuhのアップグレード作業は、まずWazuhサーバーをアップグレードし、動作確認を行った後にWazuhエージェントをアップグレードします。
⚠ 注意
Wazuhサーバーを構成する Wazuh Indexer、Wazuh Manager、Wazuh Dashboardは、同じバージョンで運用する必要があります。
⚠ 注意
Wazuhエージェントのバージョンは、接続先のWazuhサーバーと同じ、またはそれ以下でなければなりません。
仮想マシンのスナップショット取得（任意）
本記事では、Oracle VirtualBox上で動作するWazuh仮想マシンを使用しています。
アップグレード作業を実施する前に、Wazuh仮想マシンのスナップショットを取得しておくことをおすすめします。
💡 ヒント
スナップショットを取得しておくことで、アップグレードに失敗した際に元の状態へ戻すことができます。
- Wazuh仮想マシンにログインし、次のコマンドを実行してシャットダウンします。
sudo shutdown -h now - Oracle VirtualBoxマネージャーを起動します。
- Wazuh仮想マシンを選択し、「スナップショット」→「作成」 を選択します。
- 「アップグレード前」など、後から見て分かりやすい名前を入力してスナップショットを作成します。
- スナップショット作成後、Wazuh仮想マシンを起動します。
Wazuhサーバーのアップグレード
Wazuh公式OVAで構築したWazuhサーバーをアップグレードします。
ⓘ 補足：本記事の作業手順について
本記事は、シングルノードのオールインワン構成を前提としています。マルチノード構成のアップグレード手順については、Wazuh公式ドキュメントを参照してください。
事前作業
Wazuhサーバーのアップグレードを開始する前に、以下の作業を行ってください。
- ディスク空き容量の確認
- Wazuhリポジトリの有効化
- ダッシュボードカスタマイズのエクスポート
- 設定ファイルのバックアップ
- Filebeatモジュールのダウンロード
- Filebeatテンプレートのダウンロード
- サービス停止とフラッシュ
ディスク空き容量の確認
空き容量が不足している場合は、アップグレードに失敗する可能性があります。アップグレードを開始する前に、ディスクの空き容量を確認してください。
次のコマンドを実行し、Wazuhサーバーのディスク空き容量を確認します。
df -h
ⓘ 補足
df -h コマンドの「Avail」列が空き容量です。上記の例では、「/」の空き容量（Avail）が 35G あるため、アップグレードを実施するのに十分な空き容量があります。
空き容量が不足している場合は、不要ファイルを削除する、またはディスクを拡張するなどして、事前に十分な空き容量を確保してください。
💡 ヒント
Wazuhサーバーのアップグレードでは、パッケージのダウンロードや展開、一時ファイルの作成などが行われるため、十分なディスク空き容量が必要です。監視対象が数台程度の検証環境であれば、5GB以上の空き容量を確保してから作業することをおすすめします。
Wazuhリポジトリの有効化
Wazuh OVAで構築したWazuhサーバーにはWazuhリポジトリがあらかじめ登録されているため、リポジトリの登録作業は不要です。念のため、次のコマンドを実行して登録を確認してください。
cat /etc/yum.repos.d/wazuh.repo
Wazuhリポジトリが無効化（enabled=0）されている場合は、次のコマンドを実行して有効化してください。
sudo sed -i "s/^enabled=0/enabled=1/" /etc/yum.repos.d/wazuh.repoⓘ 補足
Wazuh OVA以外の方法でWazuhサーバーを構築した場合は、公式ドキュメント「Preparing the upgrade」を参照し、事前にWazuhリポジトリを登録してください。
ダッシュボードカスタマイズのエクスポート
Wazuh Web UI上でカスタムダッシュボード、ビジュアライゼーション、保存済み検索などを作成した場合は、設定をエクスポートしてバックアップします。
ⓘ 補足
Wazuh Web UI上でカスタムダッシュボードやビジュアライゼーション、保存済み検索などを作成していない場合は、この作業は不要です。次の作業に進んでください。
- Wazuh Web UIにログインします。
- 「☰」→「Dashboard management」→「Dashboards Management」→「Saved objects」を選択します。
- エクスポートするオブジェクトを選択して「Export」をクリック、または、すべてのオブジェクトをバックアップする場合は「Export all objects」をクリックします。
設定ファイルのバックアップ
それぞれのサーバーコンポーネントで使用する設定ファイルをバックアップします。
- Wazuh Indexerセキュリティ設定
Wazuh Indexerのセキュリティ設定ファイルをバックアップします。
sudo /usr/share/wazuh-indexer/bin/indexer-security-init.sh --options "-backup /etc/wazuh-indexer/opensearch-security -icl -nhnv"
- Wazuh Indexer JVM設定
JVM設定を変更している場合のみ、/etc/wazuh-indexer/jvm.optionsファイルをバックアップします。設定を変更していない場合はスキップして構いません。
sudo cp /etc/wazuh-indexer/jvm.options /etc/wazuh-indexer/jvm.options.old
- Filebeat設定
/etc/filebeat/filebeat.ymlファイルをバックアップします。
sudo cp /etc/filebeat/filebeat.yml /etc/filebeat/filebeat.yml.old - Wazuh Dashboard設定
/etc/wazuh-dashboard/opensearch_dashboards.ymlファイルをバックアップします。
sudo cp /etc/wazuh-dashboard/opensearch_dashboards.yml /etc/wazuh-dashboard/opensearch_dashboards.yml.old
- Wazuh Manager設定
Wazuh Managerの設定ファイルのバックアップは不要です。
Filebeatモジュールのダウンロード
Wazuh Filebeatモジュールをダウンロードします。
curl -s https://packages.wazuh.com/4.x/filebeat/wazuh-filebeat-0.5.tar.gz | sudo tar -xvz -C /usr/share/filebeat/module
⚠ 注意
本記事執筆時点では wazuh-filebeat-0.5.tar.gz をダウンロードします。ダウンロードファイルは、Wazuhバージョンにより異なる可能性があるため、公式ドキュメント「Configuring Filebeat」で確認してください。
ⓘ 補足
Wazuhサーバーをアップグレードする際は、Wazuh Indexerとの互換性を確保するために、Wazuh Filebeatモジュールも更新します。
Filebeatテンプレートのダウンロード
wazuh-template.jsonをダウンロードし、読み取り権限を付与します。
curl -so /etc/filebeat/wazuh-template.json https://raw.githubusercontent.com/wazuh/wazuh/v4.14.7/extensions/elasticsearch/7.x/wazuh-template.json
sudo chmod go+r /etc/filebeat/wazuh-template.json
⚠ 注意
本記事執筆時点では wazuh v4.14.7が最新です。ダウンロードパスは、Wazuhバージョンにより異なる可能性があるため、公式ドキュメント「Configuring Filebeat」で確認してください。
サービス停止とフラッシュ
Wazuhサーバーのアップグレード前に各コンポーネントサービスの停止とフラッシュを実施します。
- Filebeatサービスを停止します。
sudo systemctl stop filebeat - Wazuh Dashboardサービスを停止します。
sudo systemctl stop wazuh-dashboard - フラッシュを実行して、トランザクションログのエントリを Indexにコミットします。
curl -X POST "https://127.0.0.1:9200/_flush?pretty" -u admin:<パスワード> -k
💡 ヒント
admin は、Wazuh OVAを使用して構築したWazuhサーバーのデフォルトWebログインユーザーです。
<パスワード>にはadminのパスワードを指定してください。ⓘ 補足：本記事で使用するcurlコマンドについて
本記事で紹介するcurlコマンドは、Wazuhサーバー上で実行することを前提としています。
Wazuh Indexerは通信に 9200/TCPを使用しますが、Wazuh OVAで構築したWazuhサーバーのIndexerは、ローカルホストからの9200/TCP接続のみを受け付けるように設定されています。
このため、Wazuhサーバー上で次のコマンドを実行すると正常に動作しますが、
curl -k -u <ユーザー名> https://127.0.0.1:9200/_cluster/health?pretty
別PCから次のコマンドを実行すると接続できません。
curl -k -u <ユーザー名> https:// <WazuhサーバーIP>:9200/_cluster/health?pretty - Wazuh Managerサービスを停止します。
ⓘ 補足
本記事は、シングルノードのWazuh Indexer（オールインワン構成）を前提としているため、Wazuh Managerを停止します。クラスター構成の場合は、ローリングアップグレードによりクラスターを稼働させたまま更新できるため、このタイミングでWazuh Managerを停止する必要はありません。
sudo systemctl stop wazuh-manager - Wazuh Indexerサービスを停止します。
sudo systemctl stop wazuh-indexer
アップグレード
Wazuhサーバーコンポーネントをアップグレードします。
Wazuh Indexerのアップグレード
ⓘ 補足：レプリカシャードの停止作業について
公式ドキュメント「Preparing the Wazuh indexer cluster for upgrade」にはレプリカシャードの停止作業が記載されていますが、Wazuh公式OVAで構築したオールインワン環境では、レプリカシャードが作成されていないため、この作業は不要です。
- Wazuh Indexerを最新バージョンへアップグレードします。
sudo yum upgrade wazuh-indexer
Is this ok [y/N]: プロンプトが表示されたら、y を入力してEnterキーを押します。インストールが完了すると、Complete! メッセージが表示されます。 - JVM設定を変更している場合のみ、事前に取得したバックアップファイル（
/etc/wazuh-indexer/jvm.options.old）と現在のjvm.optionsファイルを比較し、バックアップファイルに含まれるカスタム設定を手動で再設定します。💡ヒント
次のコマンドを実行すると差分を確認できます。
sudo diff -u /etc/wazuh-indexer/jvm.options.old /etc/wazuh-indexer/jvm.options - Wazuh Indexerサービスを起動します。
sudo systemctl daemon-reload
sudo systemctl enable wazuh-indexer
sudo systemctl start wazuh-indexer💡ヒント
Wazuh Indexerの起動には数分かかる場合があります。
- Wazuh Indexerサービスが正常に起動したこと（
active (running)であること）を確認します。sudo systemctl status wazuh-indexer
- 事前にバックアップしたセキュリティ設定ファイルを新しいIndexerに適用します。
sudo /usr/share/wazuh-indexer/bin/indexer-security-init.sh
Wazuh Managerのアップグレード
- Wazuh Managerを最新バージョンへアップグレードします。
sudo yum upgrade wazuh-manager
Is this ok [y/N]: プロンプトが表示されたら、y を入力してEnterキーを押します。インストールが完了すると、Complete! メッセージが表示されます。 - Wazuh Managerサービスを起動します。
sudo systemctl daemon-reload
sudo systemctl enable wazuh-manager
sudo systemctl start wazuh-manager - Wazuh Managerサービスが正常に起動したこと（
active (running)であること）を確認します。sudo systemctl status wazuh-manager
Filebeatのアップグレード
- Filebeatを最新バージョンへアップグレードします。
sudo yum upgrade filebeat
- 事前に取得したバックアップファイル（
/etc/filebeat/filebeat.yml.old）と現在のfilebeat.ymlファイルを比較し、バックアップファイルに含まれるカスタム設定を手動で再設定します。
💡ヒント
次のコマンドを実行すると差分を確認できます。sudo diff -u /etc/filebeat/filebeat.yml.old /etc/filebeat/filebeat.yml - Filebeatサービスを起動します。
sudo systemctl daemon-reload
sudo systemctl enable filebeat
sudo systemctl start filebeat - Filebeatサービスが正常に起動したこと（
active (running)であること）を確認します。sudo systemctl status filebeat
- Filebeatで使用するパイプラインおよびインデックス管理設定をWazuh Indexerへ登録します。
sudo filebeat setup --pipelines
sudo filebeat setup --index-management -E output.logstash.enabled=false
Wazuh Dashboardのアップグレード
- Wazuh Dashboardを最新バージョンへアップグレードします。
sudo yum upgrade wazuh-dashboard
Is this ok [y/N]: プロンプトが表示されたら、y を入力してEnterキーを押します。インストールが完了すると、Complete! メッセージが表示されます。 - 事前に取得したバックアップファイル（
/etc/wazuh-dashboard/opensearch_dashboards.yml.old）と現在のopensearch_dashboards.ymlファイルを比較し、バックアップファイルに含まれるカスタム設定を手動で再設定します。💡ヒント
次のコマンドを実行すると差分を確認できます。sudo diff -u /etc/wazuh-dashboard/opensearch_dashboards.yml.old \
/etc/wazuh-dashboard/opensearch_dashboards.yml /etc/wazuh-dashboard/opensearch_dashboards.ymlのserver.ssl.keyおよびserver.ssl.certificateで指定されている証明書ファイルが、/etc/wazuh-dashboard/certs/配下に存在することを確認します。💡ヒント
次のコマンドを実行すると設定値と証明書ファイルを確認できます。sudo grep "server.ssl" /etc/wazuh-dashboard/opensearch_dashboards.yml
sudo ls -la /etc/wazuh-dashboard/certs/
- Wazuh Dashboardサービスを起動します。
sudo systemctl daemon-reload
sudo systemctl enable wazuh-dashboard
sudo systemctl start wazuh-dashboard - Wazuh Dashboardサービスが正常に起動したこと（
active (running)であること）を確認します。sudo systemctl status wazuh-dashboard
これで Wazuh Web UIにアクセスできるようになります。https://<WazuhサーバーのIPアドレス> - 事前作業でエクスポートしたカスタマイズをインポートします。
ⓘ 補足
事前作業でダッシュボードのカスタマイズをエクスポートしていない場合は、この作業は不要です。- Wazuh Web UI にログインします。
- 「☰」→「Dashboard management」→「Dashboards Management」→「Saved objects」へ移動します。
- 「Import」を選択します。
- 「Import」を選択してndjsonファイルを選択します。
- 「Check for existing objects」を選択して「Import」をクリックします。
- 「Done」を選択します。
動作確認
Wazuhサーバーのアップグレードが正常に完了したことを確認します。
- Wazuh Web UIにログインできること
- ダッシュボードが正常に表示されること
- エージェントのStatusが
activeであること - アップグレード前に収集したログが保持されていること
- アップグレード後もログ収集が継続していること
💡 ヒント
次のコマンドを実行すると、各コンポーネントのバージョンが表示されます。yum list installed wazuh-indexer wazuh-manager wazuh-dashboard
事後作業
Wazuhサーバーのアップグレードが完了したら、次の作業を行ってください。
プラグイン更新（必要な場合）
過去に手動で追加したOpenSearchプラグイン、OpenSearch Dashboardsプラグインを利用している場合は互換性を確認してください。
ⓘ 補足
これまでプラグインをインストールしたことがない場合は、この作業は不要です。
手動で追加したプラグインを利用している場合は、Wazuhサーバーアップグレード後の互換性を確認し、必要に応じて更新または再インストールを実施してください。手順については、メーカー公開ドキュメントを参照してください。
Wazuhリポジトリの無効化
Wazuhリポジトリを無効化します。
sudo sed -i "s/^enabled=1/enabled=0/" /etc/yum.repos.d/wazuh.repoⓘ 補足
Wazuhリポジトリを有効なままにしていると、OSのパッケージ更新時に意図せずWazuhコンポーネントが更新される可能性があります。そのため、通常運用時はリポジトリを無効化し、Wazuhをアップグレードするタイミングでのみ有効化する運用をおすすめします。
エージェントのアップグレード
エージェントのアップグレードは、リモートまたはローカルから実行できます。
本記事では、Wazuh Web UIからエージェントをリモートアップグレードする手順を紹介します。
ⓘ 補足
エージェントをローカルからアップグレードする手順、CLIやREST APIを利用してリモートアップグレードする手順については、メーカー公開ドキュメントをご参照ください。
ⓘ 補足
Wazuh Agentのリモートアップグレード可否は、OSやAgentバージョンによって異なります。アップグレードできない場合は、メーカー公開ドキュメントを参照してください。
Web UIからのアップグレード
Wazuhエージェントをアップグレードします。
- Wazuh Web UI にログインします。
- 「☰」→「Agents management」→「Summary」を選択します。
- Agentsセクションで、アップグレードするエージェントのチェックボックスにチェックをつけて「More」→「Upgrade agents」を選択します。
- 「Upgrade」を選択します。
- 「Close」を選択して画面を閉じます。
💡ヒント
Upgrade tasksセクションの「Task details」リンクをクリックすると、アップグレードの進行状況や結果を確認できます。
- 画面を再読み込みするか、Agentsセクションの「Refresh」をクリックします。
エージェントのバージョンが更新されたことを確認できます。
動作確認
それぞれのエージェントの詳細画面を開き、以下を確認してください。
- Status が active であること
- Last Keep Alive が数分以内で更新されていること
- Operating system 情報が正常に表示されていること
- IPアドレスやホスト名が正しく表示されていること
- エージェントのバージョンが最新バージョンへ更新されていること
- アップグレード後もログの収集が継続していること
まとめ
お疲れさまでした。
今回は、Wazuh公式OVAで構築した検証環境を最新版へアップグレードする手順を紹介しました。
Wazuhは開発が活発で、新機能の追加や不具合修正、セキュリティ改善が継続的に行われています。そのため、新しいバージョンがリリースされた際は、検証環境についても適宜アップグレードし、新機能や改善内容を確認することをおすすめします。
本記事が、Wazuh検証環境のアップグレードを実施する際の参考になれば幸いです。
次回予告：初期設定のWazuhで何ができる？
今回は予定を変更してWazuhおよびWazuhエージェントのアップグレード手順を紹介しましたが、次回の記事では、「初期設定のままで何ができるのか？」をテーマに解説予定です。
Wazuhの導入・運用を検討している方へ
本記事で紹介したアップグレード作業は、シングルノードのオールインワン構成を前提としたものでした。
一般的に、システムのアップグレードを実施する際は、事前検証や手順確認が必要となります。
また、本番環境で利用されるマルチノード構成やクラスター構成では、ローリングアップグレードなどの手法によりサービスを継続したまま更新できる一方で、アップグレード手順はシングルノード構成より複雑になります。
こうしたアップグレード作業の負担を軽減する選択肢のひとつが、Wazuh Cloudです。
Wazuh Cloudでは、Wazuh社がWazuhサーバーのアップグレードを実施するため、ユーザーはサーバーコンポーネントのアップグレード作業を行う必要がありません（※エージェントのアップグレードはユーザー側で実施します）。
アップグレード作業の負担を軽減したい場合は、Wazuh Cloudの利用もご検討ください。
Wazuh Cloudでは無料トライアルも提供されていますので、利用イメージを確認するためにも、ぜひ一度お試しください。
Wazuh製品紹介ページ
Wazuhの特長や機能については、以下の製品紹介ページをご参照ください。
Wazuh Cloud無料トライアル
Wazuh Cloudの無料トライアルについては、以下よりお気軽にお問い合わせください。
