Détection et SIEM avec Wazuh

Questions fréquentes

C'est quoi Wazuh ?

Wazuh est une plateforme libre et gratuite de détection des menaces. Des agents installés sur les serveurs et les postes envoient leurs journaux, l'état de leurs fichiers et leur inventaire à un serveur central, qui les analyse avec des règles, lève des alertes classées de 0 à 16 et les affiche dans un tableau de bord web. Il fait office de SIEM, de contrôle d'intégrité des fichiers, de détecteur de vulnérabilités et d'outil d'audit de configuration (chapitre 1).

Wazuh est-il vraiment gratuit ?

Oui. Wazuh est distribué sous licence libre GPLv2, sans limite du nombre d'agents ni de fonctions réservées à une version payante. L'éditeur vend du support et une version hébergée, Wazuh Cloud, pour les organisations qui ne veulent pas exploiter le serveur elles-mêmes. Le coût réel d'une installation interne, ce sont la machine qui l'héberge et le temps passé à l'exploiter.

Quelle est la différence entre un SIEM, un EDR et un XDR ?

Un SIEM collecte et corrèle les journaux de toute l'infrastructure : il voit large, à travers ce que les machines lui envoient. Un EDR est un agent qui surveille le comportement des programmes sur chaque machine et peut l'isoler du réseau. Un XDR étend l'EDR à d'autres sources (réseau, messagerie, identités), en général chez un même éditeur. Le SOC, lui, n'est pas un outil mais l'équipe qui traite les alertes (chapitre 1).

Wazuh est-il un SIEM ou un EDR ?

Wazuh se présente comme une plateforme « XDR et SIEM ». Il est d'abord un SIEM, avec des agents beaucoup plus riches qu'un simple transporteur de journaux : contrôle d'intégrité, inventaire, évaluation de configuration, réponse active. Il ne remplace pas un EDR commercial pour l'analyse fine du comportement des programmes en temps réel, mais combiné à Sysmon il en couvre une bonne partie des détections.

Quelle configuration faut-il pour installer Wazuh ?

Pour une installation tout-en-un jusqu'à 25 agents, la documentation recommande 4 processeurs virtuels, 8 Gio de mémoire et 50 Go de disque pour garder 90 jours d'alertes ; de 26 à 100 agents, 8 processeurs et 100 à 200 Go. Le serveur s'installe sur une distribution prise en charge, comme Ubuntu 24.04 LTS ou Red Hat Enterprise Linux 9. Avec moins de 8 Gio, l'indexeur risque de manquer de mémoire, et tout le reste en souffre (chapitre 3).

Quels ports utilise Wazuh ?

Les agents envoient leurs événements au serveur sur le port TCP 1514 et s'inscrivent une fois sur le port TCP 1515. Le tableau de bord s'ouvre en HTTPS sur le port 443. Le syslog des équipements réseau arrive sur le port 514 si on l'active ; l'API du serveur (55000) et celle de l'indexeur (9200) n'ont pas à être joignables depuis le réseau dans une installation tout-en-un (chapitre 2).

Wazuh peut-il remplacer un antivirus ?

Non. Wazuh détecte des comportements et des changements à partir des journaux et de l'état des machines, mais il ne bloque pas un fichier malveillant à l'ouverture comme un antivirus. Les deux se complètent : Wazuh peut même lire les alertes de Microsoft Defender (son canal du journal Windows, à ajouter à la collecte) et les rapprocher des autres événements.

Quelle différence entre Wazuh et Zabbix ?

Zabbix est un outil de supervision : il mesure la disponibilité et les performances (le serveur répond-il, le disque est-il plein ?). Wazuh est un SIEM : il cherche des actions malveillantes dans les journaux (qui s'est connecté, quel fichier a changé, quel compte a été créé ?). Une infrastructure sérieuse a les deux, et la supervision surveille aussi le serveur Wazuh lui-même (cours Supervision).

Comment présenter Wazuh à l'épreuve E6 SISR ?

Présente une réalisation complète : le besoin de détection de l'organisation, l'architecture et la matrice des flux, l'installation sécurisée, les sources collectées, deux ou trois règles personnalisées justifiées, et surtout des tests démontrés (un événement provoqué sur ton laboratoire, l'alerte obtenue, la notification reçue). Termine par les limites et les suites. Le chapitre 13 donne le plan de la documentation et le chapitre 14 une tâche type.

Faut-il installer Wazuh 5.0 ?

Pas en production tant qu'elle n'est pas sortie officiellement : fin octobre 2026, Wazuh 5.0 est encore en version candidate, et la branche stable est la 4.14. La 5.0 change en profondeur plusieurs composants : une installation 4.x ne se met pas à jour vers elle comme une version mineure. Les principes de ce cours (agents, décodeurs, règles, niveaux, sources) restent valables.