SIEM open source en 2026 : Wazuh, ELK ou agent autonome ?

Le SIEM reste la colonne vertébrale d'un programme de sécurité. Mais en 2026, la question n'est plus "quel SIEM ?", c'est "que mettre au-dessus du SIEM ?". J'ai déployé Wazuh, ELK et Graylog dans des environnements de production de 50 à 5 000 machines. Voici un retour d'expérience honnête.

Wazuh : le couteau suisse open source

Wazuh est devenu le SIEM/XDR open source de référence, et pour de bonnes raisons.

Les forces de Wazuh

• Agent léger : déploiement sur Linux, Windows, macOS avec un agent <50 MB en RAM

• Détection native : règles MITRE ATT&CK mappées, détection de rootkits, file integrity monitoring (FIM)

• Conformité intégrée : rapports PCI DSS, HIPAA, GDPR, NIST 800-53 out of the box

• Vulnerability detection : scan des CVE sur les packages installés, scoring CVSS

• Dashboard Kibana/OpenSearch : visualisation puissante, communauté active (18 000+ stars GitHub)

Les limites de Wazuh

• Scaling de l'indexeur : au-delà de 500 agents, le cluster Elasticsearch/OpenSearch exige un tuning sérieux (heap size, sharding, rétention). Comptez un admin dédié.

• Règles statiques : la détection repose sur des règles. Pas de ML natif, pas de behavioral analysis. Un attaquant qui reste sous les seuils des règles passe au travers.

• Pas de réponse automatisée : Wazuh détecte et alerte. La réponse, c'est vous. À 3h du matin.

• Corrélation limitée : les règles de corrélation sont basiques par rapport à un SIEM commercial. Les chaînes d'attaque complexes nécessitent des règles custom.

ELK Stack (Elasticsearch, Logstash, Kibana)

ELK n'est pas un SIEM à proprement parler. C'est une plateforme de gestion de logs sur laquelle on construit un SIEM. La distinction est importante.

Les forces d'ELK

• Flexibilité totale : vous pouvez ingérer n'importe quoi via Logstash/Beats/Elastic Agent

• Elastic Security : depuis Elastic 8.x, les règles de détection SIEM sont intégrées (800+ règles pré-packagées)

• Performance : moteur de recherche distribué, conçu pour le volume

• Elastic AI Assistant : intégration LLM pour l'analyse (récent, encore immature)

Les limites d'ELK

• Complexité opérationnelle : faire tourner un cluster Elasticsearch en production est un métier en soi. Index lifecycle management, cold/warm/hot architecture, snapshot, monitoring du cluster...

• Coût caché : "open source" ne signifie pas gratuit. Comptez 2-3 serveurs minimum, un ingénieur qui connaît Elasticsearch, et les features avancées (ML, RBAC) sont sous licence payante.

• Pas de response : comme Wazuh, ELK détecte mais ne répond pas.

Graylog : le outsider

Graylog mérite d'être mentionné pour les environnements qui privilégient la gestion de logs structurée.

• Points forts : pipeline de traitement puissant, alerting flexible, interface épurée, meilleure gestion multi-tenant qu'ELK

• Points faibles : communauté plus petite, moins de règles de détection SIEM que Wazuh, dépendance à MongoDB + Elasticsearch, la version Security est commerciale

Pourquoi le SIEM seul ne suffit plus

Voici le vrai problème. Que vous choisissiez Wazuh, ELK ou Graylog, vous obtenez :

• De la collecte de logs ✓

• De la détection par règles ✓

• De l'alerting ✓

• Du reporting de conformité ✓

Mais vous n'obtenez pas :

• Corrélation intelligente : relier une connexion SSH anormale + une requête DNS suspecte + un transfert de fichier inhabituel en un seul incident

• Détection comportementale : identifier qu'un utilisateur s'écarte de son baseline sans règle prédéfinie

• Réponse automatisée : isoler, bloquer, capturer sans intervention humaine

• Priorisation contextuelle : différencier une alerte critique sur un serveur de production d'une alerte identique sur un environnement de dev

C'est cet écart entre la détection et l'action qui explique les 194 jours de dwell time (IBM 2025). Le SIEM vous dit qu'il se passe quelque chose. Personne ne fait rien pendant 6 mois.

ThreatClaw : la couche d'intelligence au-dessus du SIEM

ThreatClaw ne remplace pas votre SIEM. Il s'y connecte et ajoute ce qui manque :

• Ingestion des alertes Wazuh/ELK/Graylog via API ou syslog

• Corrélation par raisonnement : l'agent IA relie les événements que les règles statiques ne peuvent pas corréler

• Baseline comportemental : 14 jours d'apprentissage, puis détection des anomalies par ML

• Réponse graduée : Sentinelle (alerte), Hybride (proposition validée), Autonome (action immédiate)

• 57 skills spécialisés : audit continu avec Lynis, Trivy, OWASP ZAP, Nmap, CIS Benchmarks

L'architecture est simple : votre SIEM fait ce qu'il fait bien (collecter, indexer, chercher). ThreatClaw fait ce qu'il fait bien (raisonner, décider, agir). Les deux se complètent.

Quelle combinaison choisir ?

Voici mon avis pragmatique selon la taille :

• PME <100 machines : Wazuh + ThreatClaw. Wazuh gère la collecte et la conformité, ThreatClaw la détection avancée et la réponse. Coût maîtrisé.

• ETI 100-1000 machines : Wazuh ou ELK selon compétences internes + ThreatClaw. Si vous avez un admin Elasticsearch, ELK offre plus de flexibilité.

• Grand compte >1000 machines : votre SIEM commercial existant (Splunk, QRadar, Sentinel) + ThreatClaw comme couche de raisonnement et réponse.

FAQ

Wazuh est-il vraiment gratuit ?

Le logiciel est 100% open source (GPLv2). Le coût réel est l'infrastructure (serveurs pour l'indexeur, stockage) et le temps humain d'administration. Pour 100 agents, comptez 1-2 serveurs dédiés et environ 10-15h/mois d'administration. Wazuh propose aussi un service cloud payant.

Peut-on utiliser ThreatClaw sans SIEM ?

Oui. ThreatClaw peut collecter directement les logs via ses propres agents et intégrations. Mais la combinaison avec un SIEM est recommandée pour la rétention long terme et le reporting de conformité. Le SIEM est votre mémoire ; ThreatClaw est votre cerveau.

ELK ou OpenSearch en 2026 ?

Depuis le fork de 2021, OpenSearch a rattrapé Elasticsearch sur la plupart des fonctionnalités. Si vous utilisez déjà Wazuh, il inclut OpenSearch par défaut. Pour un nouveau déploiement standalone, les deux se valent. La communauté OpenSearch est plus ouverte ; Elastic a plus de features commerciales. Choix pragmatique, pas dogmatique.

Combien de temps pour déployer Wazuh + ThreatClaw ?

Wazuh : 1-2 jours pour le serveur, quelques minutes par agent (déploiement automatisable via Ansible/Puppet). ThreatClaw : moins de 48h. Le baseline comportemental est opérationnel après 14 jours. Comptez 3 semaines au total avant d'avoir un stack pleinement fonctionnel.