Un SOC open source pour une petite entreprise : Wazuh, OpenSearch, Suricata et le problème des personnes

NIS2 demande aux entités essentielles et importantes de détecter et de déclarer les incidents ; les assureurs cyber demandent « une journalisation et des alertes centralisées » ; les questionnaires de sécurité des clients demandent si vous avez un SOC. Pour une entreprise de 50 à 500 personnes, la réponse commerciale coûte à partir de quelques milliers d'euros par mois, et la réponse honnête est souvent « nous avons des journaux quelque part ». Entre les deux se trouve une pile gratuite en licence et bien documentée : Wazuh pour les postes et l'analyse des journaux, Suricata pour le réseau, OpenSearch en dessous, des règles Sigma pour les détections, MISP pour le renseignement, Velociraptor pour les investigations. Cet article montre comment les pièces s'emboîtent, à quoi ressemble un volume d'alertes réaliste, ce que cela coûte à faire tourner, et pourquoi la partie difficile est l'astreinte, pas le logiciel.

L'architecture de référence

Versions relevées sur les pages de publication des projets le 19 octobre 2026 : Wazuh 4.14.9 (15 octobre), OpenSearch 3.9.0, Suricata 8.0.7, Velociraptor 0.77.3, MISP 2.5.50, règles Sigma version 2026-07-01. Licences : Wazuh GPLv2, OpenSearch Apache 2.0, Suricata GPLv2, Velociraptor AGPLv3, MISP AGPLv3. L'édition gratuite de Graylog est sous SSPL et réserve corrélation et alertes à l'offre payante, c'est pourquoi elle n'est pas dans l'image ; TheHive 4 n'est plus maintenu depuis 2022, donc la gestion de cas passe par l'offre gratuite de TheHive 5 (commercial, StrangeBee) ou DFIR-IRIS.

D'un million d'événements à un coup de téléphone

Les chiffres donnent un ordre de grandeur issu de missions, pas un benchmark, mais la forme est universelle : chaque étape retire un facteur dix ou plus, et l'étape qui décide si le SOC est utilisable est la cinquième. Soixante alertes par semaine, c'est une heure par jour ; mille deux cents, c'est un tableau de bord que personne n'ouvre. Le réglage (désactiver les règles qui se déclenchent sur votre propre logiciel de sauvegarde, regrouper par poste et par règle, mettre le scanner en liste blanche) est le travail du premier mois et ne s'arrête jamais tout à fait.

D'où viennent les alertes dans une vraie attaque

Trois sources ont vu trois choses différentes à 09:14 et 09:26 ; aucune seule n'aurait réveillé quelqu'un, ensemble elles produisent une alerte à haute confiance. Cette corrélation est la raison d'être du SIEM, et c'est pourquoi ne collecter que les journaux des postes, ou que ceux du réseau, donne l'essentiel du coût pour une fraction de la détection.

Quelle maturité est « suffisante »

Le niveau 4 sur la collecte, la détection, le traitement et la réponse est une cible réaliste à un an avec un ingénieur à mi-temps plus une astreinte. Le niveau 5 partout, c'est une équipe à temps plein, et c'est là qu'un service managé commence à avoir du sens.

Ce que cela coûte, de trois façons

La ligne des licences est à zéro et c'est la ligne la moins importante. Les personnes dominent chaque colonne : le réglage les premiers mois, le tri chaque semaine, et une astreinte que quelqu'un doit payer ou compenser. La pile open source gagne quand vous avez déjà l'ingénieur et la discipline ; le service managé gagne quand vous ne les avez pas, et la comparaison honnête se fait entre la deuxième et la troisième colonne, pas la première.

Choisir le modèle d'exploitation

En résumé

Le logiciel d'une vraie capacité de détection est gratuit et mûr : Wazuh et Suricata sur OpenSearch, les règles Sigma, MISP et Velociraptor couvrent ce dont une petite entreprise a besoin, avec des versions publiées ce mois-ci. Ce qui n'est pas gratuit, c'est le mois de réglage qui transforme mille deux cents alertes par semaine en soixante, et l'astreinte qui répond à celle qui compte à 09:28 un mardi. Décidez qui est cette personne avant d'installer quoi que ce soit. Nos articles sur la pile d'analyse de vulnérabilités, les sauvegardes résistantes aux rançongiciels et la préparation à NIS2 couvrent les contrôles voisins et les obligations derrière.

Sources : pages de publication de Wazuh, OpenSearch, Suricata, Velociraptor, MISP et SigmaHQ (lues le 19 octobre 2026) ; documentation et licences des projets ; comparatifs 2026 des SIEM open source (ThreatClaw, UTMStack, Prime Defence). Volumes et coûts sont des composites de missions, pas des benchmarks.