Wazuh en PME : construire un dispositif de détection des incidents sans SIEM commercial

Un compte administrateur créé à 3 heures du matin, des centaines d’échecs de connexion sur un serveur, un fichier de configuration modifié sur le pare-feu : ces signaux précèdent souvent une attaque de plusieurs jours. Encore faut-il les voir. Les SIEM commerciaux coûtent cher et demandent une équipe dédiée. Wazuh, plateforme open source de détection et de réponse, permet à une PME de construire un vrai dispositif de surveillance pour le prix d’un serveur. Voici comment le dimensionner, l’installer et surtout le rendre utile.

L’essentiel en 30 secondes

• Wazuh combine collecte de journaux, détection (règles alignées sur MITRE ATT&CK), contrôle d’intégrité des fichiers, détection de vulnérabilités et audit de configuration.
• Gratuit et open source ; la branche actuelle est la 4.14, régulièrement maintenue.
• Une installation « tout-en-un » sur un serveur de 4 cœurs et 8 Go de RAM suffit pour démarrer avec quelques dizaines de postes.
• La clé du succès : peu d’alertes, mais pertinentes, et quelqu’un qui les lit.

Ce que Wazuh apporte à une PME

Architecture et dimensionnement

Wazuh se compose de quatre éléments : l’indexeur (stockage et recherche, dérivé d’OpenSearch), le serveur (analyse et règles), le tableau de bord web, et les agents installés sur les postes et serveurs. Les équipements sans agent (pare-feu, commutateurs) envoient leurs journaux en syslog.

Pour une PME, le déploiement tout-en-un est le bon point de départ : une machine virtuelle avec 4 vCPU, 8 Go de RAM et 50 Go de disque pour quelques dizaines d’agents et 90 jours de rétention, à ajuster selon le volume de journaux. Prévoyez nettement plus de disque si vous collectez beaucoup de journaux réseau.

Installation

Sur une machine Linux dédiée (Ubuntu, Debian, RHEL ou dérivés), l’assistant officiel installe les trois composants centraux :

curl -sO https://packages.wazuh.com/4.14/wazuh-install.sh
sudo bash ./wazuh-install.sh -a

Notez le mot de passe administrateur affiché à la fin, puis connectez-vous au tableau de bord en HTTPS. Remplacez ensuite le certificat autosigné et limitez l’accès à l’interface au réseau d’administration.

Déployer les agents

Le tableau de bord génère la commande d’installation adaptée à chaque système (Windows, Linux, macOS). Sur Windows, un déploiement par GPO ou par votre outil de gestion de parc est préférable pour couvrir tous les postes. Commencez par les serveurs et les postes à risque : comptabilité, direction, administrateurs.

Les cas d’usage prioritaires

1. Comptes et authentification : échecs répétés, connexions hors horaires, ajout à un groupe d’administrateurs. Couplé à Sysmon et aux événements Windows clés, Wazuh couvre l’essentiel.
2. Microsoft 365 : connexions suspectes, règles de transfert de messagerie, création d’applications.
3. Intégrité des fichiers : dossiers système, configuration des serveurs web, scripts.
4. Vulnérabilités : liste des postes avec des logiciels obsolètes, pour alimenter votre priorisation des correctifs.
5. Serveurs exposés : attaques web et SSH, avec blocage automatique ou couplage avec CrowdSec.

Éviter la noyade dans les alertes

C’est l’échec classique : des milliers d’alertes par jour, que personne ne lit au bout d’une semaine. Quelques règles :

• Notifiez seulement les niveaux élevés (par exemple 12 et plus) par e-mail ou messagerie ; le reste se consulte dans le tableau de bord.
• Ajustez les règles bruyantes avec des règles locales (fichier local_rules.xml) plutôt que de les désactiver globalement.
• Documentez chaque exclusion : un compte de service qui échoue à se connecter toutes les heures doit être corrigé, pas ignoré.
• Prévoyez une revue hebdomadaire d’une demi-heure, avec une personne nommée.
• Testez la détection : simulez une connexion échouée en masse ou l’ajout d’un compte à un groupe sensible, et vérifiez que l’alerte arrive.

Pour écrire des détections portables, le format Sigma et les indicateurs de compromission complètent les règles fournies.

Sécuriser et maintenir la plateforme

• Le serveur Wazuh concentre des informations sensibles : accès restreint, double authentification via un fournisseur d’identité, mises à jour régulières.
• Sauvegardez la configuration (règles, décodeurs, certificats) et testez une restauration.
• Surveillez l’espace disque de l’indexeur et définissez une politique de rétention (90 jours à chaud, archivage au-delà si nécessaire).
• Mettez à jour dans l’ordre recommandé : indexeur, serveur, tableau de bord, puis agents.

Questions fréquentes

Wazuh remplace-t-il un antivirus ou un EDR ?

Non. Il détecte et corrèle des événements, mais ne remplace pas la protection en temps réel d’un antivirus ou d’un EDR sur les postes. Les deux sont complémentaires : voir EDR, XDR ou antivirus.

Faut-il une équipe de sécurité pour l’exploiter ?

Il faut au moins une personne formée, quelques heures par semaine, ou un prestataire qui assure la surveillance. Sans lecture des alertes, l’outil ne sert à rien.

Combien coûte réellement Wazuh ?

Le logiciel est gratuit. Le coût réside dans l’infrastructure (un serveur), le temps de paramétrage initial et le suivi. Wazuh propose aussi une offre cloud payante pour ceux qui ne veulent pas héberger la plateforme.

Peut-on l’utiliser pour la conformité ?

Oui : il fournit des tableaux de bord pour le RGPD, PCI DSS ou HIPAA, et ses fonctions de journalisation et de détection répondent aux attentes de la directive NIS2 et du référentiel de l’ANSSI.

Sources

• Wazuh, notes de version (branche 4.14).
• Wazuh, guide de démarrage rapide et prérequis.
• MITRE ATT&CK.

Besoin d’un accompagnement ?

MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous déployons et suivons Wazuh pour nos clients dans le cadre de notre infogérance. Demandez un devis gratuit ou appelez le 05 32 42 99 98.