SIEM, XDR et EDR : c'est quoi, et où se place Wazuh ?

Un SIEM (Security Information and Event Management, gestion des informations et des événements de sécurité) est un logiciel qui collecte les journaux de toute une infrastructure, les met dans un format commun, les analyse avec des règles et déclenche des alertes quand un événement ou un enchaînement d'événements ressemble à une attaque. Un EDR surveille le comportement des programmes sur chaque machine, un XDR élargit cette surveillance au réseau, à la messagerie et aux identités. Ce chapitre définit ces outils, les distingue de la supervision, présente Wazuh et décrit le laboratoire du cours.

Le problème : des journaux partout, personne pour les lire

Lundi matin, chez Sorbier Logistique. Pendant le week-end, le contrôleur de domaine srv-ad a enregistré 312 échecs de connexion sur le compte d'une comptable, suivis d'une connexion réussie à 3 h du matin. Le serveur web srv-web a reçu des requêtes étranges. Le pare-feu a bloqué des centaines de paquets venant d'un poste du VLAN des salariés. Chaque machine a fidèlement écrit ses journaux. Personne ne les a lus.

C'est la situation de la plupart des petites organisations : les traces existent, mais elles sont dispersées sur des dizaines de machines, dans des formats différents, et elles sont écrasées au bout de quelques jours. Trois questions restent sans réponse :

• Détecter : comment être prévenu pendant l'attaque, et pas trois semaines après ?
• Relier : comment voir que l'échec de connexion sur l'annuaire, la requête sur le serveur web et le blocage du pare-feu font partie de la même histoire ?
• Conserver : comment garder les traces hors de portée d'un attaquant qui efface les journaux de la machine qu'il a prise ?

Un SIEM répond à ces trois questions. Le chapitre 4 du cours Réponse à incident explique la centralisation des journaux et le protocole syslog en général ; ce cours-ci passe à la pratique, avec un outil précis.

Le SIEM et ses cinq fonctions

Un serveur de journaux qui se contente de recevoir et d'archiver (un serveur rsyslog, par exemple) fait la première et la dernière fonction. Il ne devient un SIEM qu'avec la normalisation, la corrélation et les alertes.

EDR, XDR, SOC, MDR : le vocabulaire

Ces sigles reviennent dans les sujets d'examen et dans les offres commerciales. Ils ne désignent pas tous des logiciels.

Retiens la différence de point de vue. Le SIEM regarde l'infrastructure de haut, à travers les journaux que les machines veulent bien lui envoyer. L'EDR regarde chaque machine de l'intérieur, au plus près des programmes, et peut isoler une machine du réseau en un clic. Dans une grande organisation, les deux coexistent : les alertes de l'EDR remontent au SIEM, qui les rapproche du reste.

SIEM ou supervision : deux métiers différents

La confusion la plus fréquente, en TP comme à l'examen, est entre SIEM et supervision. Les deux tableaux de bord se ressemblent, les deux lèvent des alertes, les deux reçoivent parfois les mêmes messages. Leur question n'est pas la même.

Les deux se complètent : un serveur dont le processeur grimpe à 100 % en pleine nuit (supervision) et sur lequel un service inconnu vient d'être installé (SIEM) raconte une histoire que chaque outil seul ne voit qu'à moitié. Le cours Supervision traite Zabbix et Grafana ; le chapitre 12 explique comment la supervision surveille Wazuh lui-même.

SIEM, IDS, antivirus, pare-feu : qui fait quoi

Le pare-feu et l'IDS sont présentés dans le cours Cybersécurité des infrastructures. Leur rôle dans ce cours-ci : ce sont des sources dont Wazuh lit les journaux.

Wazuh en bref

Wazuh est né en 2015 d'une reprise (fork) d'OSSEC, un détecteur d'intrusion sur hôte (HIDS) libre. Il est distribué sous licence libre GPLv2 et gratuit, sans limite d'agents ; l'éditeur, Wazuh Inc., vend du support et une version hébergée (Wazuh Cloud). Il rassemble dans un seul produit des fonctions que l'on achetait autrefois séparément :

En novembre 2026, la version stable est Wazuh 4.14.9, publiée le 14 octobre 2026. Wazuh 5.0 est en version candidate : c'est une refonte importante, que l'on n'installe pas en production avant sa sortie officielle.

Les autres solutions

Wazuh n'est pas seul. Tu dois savoir citer quelques alternatives et ce qui les distingue, sans entrer dans leur configuration :

Pour un laboratoire de BTS et pour une PME comme Sorbier, Wazuh coche les cases : gratuit, complet, documenté, et installable sur une seule machine virtuelle.

Le laboratoire du cours

Tout le cours se déroule sur le réseau de Sorbier Logistique, tel que les cours Routage et commutation et Cybersécurité des infrastructures l'ont construit. Rien n'est inventé : Wazuh s'installe sur srv-journaux, le serveur que le plan d'adressage réservait aux journaux depuis le début.

Les machines du laboratoire :

Toutes les machines virtuelles tournent sur un hyperviseur Proxmox VE 9 (cours Virtualisation). Pour un laboratoire minimal, trois machines suffisent : srv-journaux, srv-ad et srv-web.

Wazuh et le BTS SIO

• À l'écrit E7 SISR, on ne te demande pas de commandes Wazuh par cœur. On te donne des extraits de journaux ou d'alertes et on te demande de les lire, de dire quelle attaque ils révèlent, quelle règle ou quelle source manquait, et ce qu'il faut faire. Les chapitres 6, 11 et 14 t'y entraînent. Le cours E7 SISR détaille l'épreuve.
• À l'épreuve E6 SISR, un serveur Wazuh qui surveille ton contrôleur de domaine et ton serveur Linux, avec des règles personnalisées et des alertes démontrées, est une réalisation solide : elle touche à la sécurité, à l'administration et à l'exploitation. Le chapitre 13 dit comment la documenter.
• En entreprise, les offres d'emploi d'administrateur systèmes et réseaux citent de plus en plus « SIEM », « SOC » ou « Wazuh ». Savoir lire une alerte et écrire une règle te distingue.

Exercices

Exercice 1 sur 3 Classer les outils Réussi À revoir

Pour chaque phrase, dis s'il s'agit d'un SIEM, d'un EDR, d'un XDR, d'un SOC, d'un MDR ou d'un outil de supervision.

1. « Notre prestataire surveille nos postes jour et nuit et isole une machine infectée à notre place. »
2. « Ce logiciel reçoit les journaux du pare-feu, de l'annuaire et des serveurs, et alerte quand un compte échoue vingt fois puis réussit. »
3. « Cet agent a stoppé un traitement de texte qui venait de lancer PowerShell, puis a coupé le poste du réseau. »
4. « Le graphique montre que le temps de réponse du site a doublé depuis ce matin. »
5. « Trois analystes se relaient pour traiter les alertes de sécurité de l'entreprise. »
6. « Cette solution d'un même éditeur rapproche les alertes des postes, de la messagerie et des connexions des comptes en nuage. »

Voir la réponseMasquer la réponse de l'exercice 1

1. MDR : un service rendu par un prestataire, qui s'appuie le plus souvent sur un EDR ou un XDR.
2. SIEM : collecte de plusieurs sources et corrélation (des échecs suivis d'un succès).
3. EDR : surveillance du comportement des programmes sur la machine, et réaction (arrêt, isolement).
4. Supervision : une métrique de performance, pas un événement de sécurité.
5. SOC : une équipe, pas un logiciel.
6. XDR : la détection étendue à plusieurs familles de sources, chez un même éditeur.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 3 SIEM ou supervision ? Réussi À revoir

Pour chaque alerte, dis si elle relève de la supervision ou du SIEM, et quel critère DICP elle concerne d'abord.

1. Le service DHCP de srv-ad ne répond plus.
2. Le compte adm1-amercier s'est connecté à srv-fichiers à 2 h 47 un dimanche.
3. Le fichier C:\Windows\System32\drivers\etc\hosts de srv-gestion a été modifié.
4. La mémoire de srv-journaux est utilisée à 97 %.
5. Le journal de sécurité de srv-ad2 a été effacé.

Voir la réponseMasquer la réponse de l'exercice 2

1. Supervision, disponibilité.
2. SIEM, confidentialité et preuve : une connexion inhabituelle d'un compte d'administration est à vérifier.
3. SIEM (contrôle d'intégrité des fichiers), intégrité : modifier le fichier hosts permet de détourner un nom vers une autre adresse.
4. Supervision, disponibilité. Elle concerne pourtant la sécurité : un SIEM saturé ne détecte plus rien, d'où l'intérêt de superviser le SIEM lui-même.
5. SIEM, preuve : effacer le journal sert à masquer des traces. C'est toujours une alerte grave.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 3 Convaincre la direction Réussi À revoir

Le directeur de Sorbier pense que « l'antivirus et le pare-feu suffisent ». En cinq lignes maximum, explique ce que Wazuh apporterait que ces deux outils ne font pas, avec un exemple tiré du scénario du début de ce chapitre.

Voir la réponseMasquer la réponse de l'exercice 3

Le pare-feu filtre les flux et l'antivirus reconnaît des fichiers malveillants connus, mais aucun des deux ne lit les journaux de l'annuaire ni ne relie des événements entre eux. Les 312 échecs de connexion suivis d'un succès à 3 h du matin sur le compte d'une comptable n'impliquent ni fichier malveillant ni flux interdit : seul un outil qui collecte les journaux du contrôleur de domaine et les corrèle peut lever l'alerte, pendant l'attaque. Wazuh garde aussi une copie des journaux hors des machines, ce qui permet d'enquêter même si l'attaquant efface les traces locales.

Tu avais trouvé ?

Oui, j'avais bonPas encore