名古屋でAIシステムの開発をしている小嶋です。2026年の秋は、情報漏洩のニュースが毎週のように続いています。10月21日には、PHPの重大な脆弱性「PHP2Shell」も公開されました。
「何か対策をしなければ」と思っても、セキュリティ製品は高価なものが多く、中小企業には手が出しにくいのが実情です。そこで、この記事では、世界中で使われているオープンソース（OSS）のセキュリティ対策ツールを、最近の情報漏洩の原因ごとに整理します。
先に関連する2本の記事も置いておきます。
PHPの脆弱性「PHP2Shell」と相次ぐ情報漏洩は関係あるのか https://exbridge.jp/vibeblog/2026-10-24-php2shell-joho-roei-team-mirai.html#ref=vibeblog-oss-sec
中小企業21社のホームページをSEO・AEO・GEOと安全面で診断した結果 https://exbridge.jp/vibeblog/2026-10-24-homepage-shukyaku-security-21sha.html#ref=vibeblog-oss-sec
最近の情報漏洩は、どこから入られているのか
2026年9〜10月に公表された情報漏洩の事案を、まとめサイトの一覧で原因ごとに並べると、次のように分かれます。
- Webサイトやアプリの脆弱性：画像のアップロード、管理画面のログイン、サイトの機能などの穴
- 盗まれた認証情報：開発用クラウドのパスワード、フィッシングで取られた社員のアカウント
- ランサムウェア：データセンター、大学、鉄道会社のグループなど
- 委託先・取引先の経由：委託先のアカウントが盗まれた、委託先のPCがマルウェアに感染した
- VPN機器の脆弱性
IPA（情報処理推進機構）の中小企業の調査（2024年度）でも、不正アクセスを受けた企業の約5割は脆弱性を突かれ、約2割は他社を経由して入られていました。
つまり、守る場所は「Webの入口」「ログイン」「サーバーの中」「古いままの部品」の4つです。以下、それぞれに使える定番のOSSを紹介します。
1. Webの入口を守る：WAF（Webアプリの防火壁）
WAFは、Webサイトへの通信を見て、SQLインジェクションのような典型的な攻撃を入口で止める仕組みです。ソフトの修正が出るまでの間の「盾」にもなります。
- ModSecurity ＋ OWASP Core Rule Set（CRS）：OSSのWAFの定番です。CRSは、よくある攻撃を止めるルールの集まりで、世界中で使われています。ApacheやNginxに組み込みます。
- Coraza：ModSecurityの後継とも言われる、Go言語で書かれたWAFです。CRSのルールがそのまま使えます。
- BunkerWeb：Nginxをもとに、WAF・ボット対策・https化をまとめて入れられるものです。設定の画面があり、始めやすいのが特徴です。
- SafeLine：中国のChaitin社が公開しているWAFで、管理画面の使いやすさからGitHubで人気を集めています。
2. ログインを守る：攻撃元の締め出しと、パスワードの管理
盗まれた認証情報やパスワードの総当たりは、情報漏洩の大きな入口です。
- CrowdSec：サーバーのログから攻撃を見つけて、その攻撃元を止めます。世界中の利用者で攻撃元の情報を共有する仕組みが特徴です。
- Fail2ban：昔からの定番です。ログインの失敗を何度も繰り返す攻撃元を、自動で締め出します。WordPressのログイン画面への総当たりにも使えます。
- Vaultwarden：パスワード管理ツールBitwardenの互換版で、自社のサーバーで動かせます。社員が同じパスワードを使い回すのを防げます。
- Keycloak、Authentik：社内の複数のシステムのログインを1つにまとめ、多要素認証を付けられます。
- OpenBao：APIキーやパスワードなどの秘密の情報をまとめて保管します。HashiCorp VaultがOSSではないライセンスに変わったあと、OSSとして引き継がれたものです。
- Gitleaks、TruffleHog：ソースコードの中に、APIキーやパスワードが紛れ込んでいないかを調べます。開発用クラウドの認証情報が盗まれる事件の予防になります。
3. サーバーの中を見張る：侵入の検知（SIEM・IDS）
入られたことに早く気づければ、被害を小さくできます。ランサムウェアも、暗号化の前に不審な動きがあります。
- Wazuh：OSSのSIEM／XDR（ログを集めて侵入の兆しを見つける仕組み）の代表です。ファイルの改ざんの検知、脆弱性の検出、ログの分析、セキュリティ基準の点検までそろっています。
- Suricata、Snort、Zeek：ネットワークの通信を見て、攻撃や不審な通信を見つけます（IDS・IPS）。
- osquery：サーバーやPCの状態を、データベースのようにSQLで問い合わせて調べられます。
- OSSEC：Wazuhの元になった、ホスト型の侵入検知です。
4. 古いままの部品を見つける：脆弱性診断ツール
PHP2Shellのように、使っている部品に穴が見つかることは避けられません。大事なのは、自社がどの版を使っていて、どれが古いのかを知っていることです。
- OpenVAS（Greenbone）：サーバーの脆弱性診断ツールの定番です。
- Trivy：コンテナ、ライブラリ、設定ファイルの脆弱性をまとめて調べます。入れるのが簡単です。
- Nuclei：既知の脆弱性があるかを、テンプレートで素早く確かめます。
- ZAP（旧 OWASP ZAP）：Webアプリの脆弱性診断の定番です。
- WPScan：WordPressの本体・プラグイン・テーマの古い版や脆弱性を調べます。脆弱性のデータベースを使うにはAPIの登録が必要です。
- Lynis：Linuxサーバーの設定の弱いところを点検します。
脆弱性診断ツールは、自社のサイトか、持ち主から許可をもらったサイトにだけ使ってください。他人のサイトに無断で使うと、攻撃とみなされます。
中小企業は、どこから始めればよいか
全部を入れる必要はありません。当社が中小企業21社のホームページを診断したところ、14社がWordPressで、古い版の部品が残っているサイトや、守りの設定がないサイトがほとんどでした。その結果をふまえると、始める順番は次のとおりです。
- 自社のサイトの古い部品を知る：WordPressならWPScan、サーバーならOpenVASやTrivy。PHPの版も確かめます。
- ログインを守る：CrowdSecかFail2banで総当たりを止め、Vaultwardenでパスワードの使い回しをなくします。
- 入口に盾を置く：ModSecurity＋CRSかBunkerWebで、修正が出るまでの攻撃を止めます。
- サーバーを持っているなら、見張りを置く：Wazuhで、改ざんや侵入に気づけるようにします。
レンタルサーバーの場合
hetemlやXserverのような共用のレンタルサーバーでは、自分でWAFや見張りのソフトを入れることはできません。その場合にできることは、次の3つです。
- サーバー会社が用意しているWAFを有効にする
- PHP・WordPress本体・プラグインを最新に保つ
- 管理画面のログインに、多要素認証と総当たり対策を付ける
OSSを使うときの注意
- 入れて終わりではない：WAFのルールの更新、見張りの通知の確認、ツール自身の更新が要ります。放っておくと、OSS自体が古い部品になります。
- 誤検知の調整が要る：WAFは、正しい通信を止めてしまうことがあります。最初は「見るだけ」の設定で様子を見て、調整してから「止める」に切り替えます。
- ライセンスを確かめる：OSSでも、ライセンスによって使い方の条件が違います。製品に組み込む場合は特に確かめてください。
よくある質問
サイバー攻撃対策に、無料で使えるツールはありますか
あります。この記事で紹介したWAF（ModSecurity、BunkerWeb）、侵入の見張り（Wazuh）、攻撃元の締め出し（CrowdSec、Fail2ban）、脆弱性診断ツール（OpenVAS、Trivy、ZAP）は、どれもオープンソースで公開されています。ソフト自体の費用はかかりませんが、入れる作業と、入れたあとの更新や見張りに人の手がかかります。
WAFとは何ですか
WAFは、Webサイトへの通信を調べて、SQLインジェクションなどの典型的な攻撃を入口で止める仕組みです。ファイアウォールが通信の宛先で止めるのに対して、WAFは通信の中身を見て止めます。
Wazuhとは何ですか
Wazuhは、サーバーやPCのログを集めて、侵入や改ざんの兆しを見つけるオープンソースのセキュリティ対策ツールです。ファイルの改ざん検知、脆弱性の検出、セキュリティ基準の点検もできます。
情報漏洩対策は、何から始めればよいですか
まず、自社のサイトやサーバーで使っている部品の版を知ることです。次に、ログインを守ること（総当たり対策、パスワードの使い回しをなくす、多要素認証）です。IPAの調査では、不正アクセスを受けた中小企業の約5割が脆弱性を突かれていました。
当社では、OSSの導入と日本語での使い方の整理、ホームページの点検と作り直しを、AIを使って短い時間で進める顧問をしています。
AI-IT顧問（社内システムとサーバーの点検・OSSの導入） https://exbridge.jp/ai-it-komon.html#ref=vibeblog-oss-sec
