Votre firewall bloque des milliers de requêtes par jour. Votre EDR détecte des comportements suspects. Votre serveur mail filtre le spam. Mais qui corrèle tout ça ? Qui détecte qu’une connexion VPN à 3h du matin depuis un pays inhabituel, suivie d’un accès à l’Active Directory et d’une exfiltration de fichiers, constitue une attaque en cours ?
C’est le rôle du SIEM (Security Information and Event Management). Ce guide vous aide à choisir et déployer la bonne solution.
Qu’est-ce qu’un SIEM ?
Un SIEM collecte, normalise et corrèle les logs de sécurité de toute votre infrastructure pour détecter les menaces en temps réel. Il combine deux fonctions :
- SIM (Security Information Management) : collecte et stockage centralisé des logs
- SEM (Security Event Management) : corrélation en temps réel et alertes
Pourquoi votre PME a besoin d’un SIEM
- Détection des menaces avancées : un attaquant qui progresse lentement dans votre réseau (lateral movement) ne sera visible qu’en corrélant plusieurs sources de logs
- Conformité réglementaire : NIS 2, DORA et ISO 27001 exigent une surveillance continue et la conservation des logs de sécurité
- Réduction du temps de détection : le temps moyen de détection d’une compromission est de 204 jours sans SIEM (source : IBM Cost of a Data Breach 2024)
- Investigation post-incident : les logs centralisés sont indispensables pour comprendre ce qui s’est passé après une attaque
Comparatif des solutions SIEM en 2026
| Solution | Type | Forces | Budget indicatif |
|---|---|---|---|
| Wazuh | Open source | Gratuit, HIDS intégré, bonne communauté | Gratuit (+ coût serveur) |
| Elastic Security | Open source / payant | Puissant, scalable, stack ELK mature | Gratuit (basique) à 1 500+ EUR/mois |
| Splunk | Commercial | Référence du marché, écosystème massif | 2 000 – 15 000+ EUR/mois |
| Microsoft Sentinel | Cloud (Azure) | Intégration native Microsoft 365/Azure | Variable (pay-per-GB ingéré) |
| Graylog | Open source / payant | Simple, bon pour les PME, interface claire | Gratuit à 1 000+ EUR/mois |
| OSSEC | Open source | Léger, HIDS, détection rootkit | Gratuit (+ coût serveur) |
Comment choisir : arbre de décision
- Vous êtes full Microsoft (365, Azure AD, Intune) ? Microsoft Sentinel est le choix naturel : intégration native, pas de connecteurs à configurer.
- Vous avez une équipe IT technique et un budget limité ? Wazuh ou Elastic Security. Puissants, gratuits, mais nécessitent de l’expertise pour le déploiement et la maintenance.
- Vous voulez une solution clé en main sans expertise interne ? SOC managé avec SIEM inclus. Vous externalisez la surveillance à un prestataire.
- Vous avez un gros budget et des besoins avancés ? Splunk reste la référence pour les grandes organisations.
Déploiement en 5 étapes
1. Définir les sources de logs prioritaires
Ne connectez pas tout d’un coup. Commencez par les sources les plus critiques :
- Active Directory (connexions, modifications de groupes, comptes verrouillés)
- Firewall et VPN (connexions entrantes/sortantes, tentatives bloquées)
- Messagerie (tentatives de phishing, connexions suspectes)
- EDR/Antivirus (détections, quarantaines)
- Serveurs critiques (accès, erreurs, modifications de configuration)
2. Dimensionner le stockage
Estimez le volume de logs par jour. Règle empirique : 5-15 Go/jour pour une PME de 100 postes. Prévoyez 90 jours de rétention minimum (12 mois recommandés pour la conformité).
3. Créer les règles de détection
Commencez par les règles les plus simples et les plus impactantes :
- Connexion admin hors heures ouvrées
- Brute force sur les comptes (5+ échecs en 10 minutes)
- Création d’un compte admin
- Connexion VPN depuis un pays inhabituel
- Exécution de PowerShell encodé
- Désactivation de l’antivirus
4. Configurer les alertes
Envoyez les alertes critiques par email et SMS. Les alertes moyennes par email uniquement. Les alertes faibles dans un dashboard. L’objectif : zéro alert fatigue.
5. Opérer et améliorer
Un SIEM n’est pas un « fire and forget ». Revoyez les règles mensuellement, ajoutez de nouvelles sources progressivement, analysez les faux positifs pour affiner la détection.
SIEM interne vs SOC managé
| Critère | SIEM interne | SOC managé |
|---|---|---|
| Expertise requise | Forte (analyste SOC dédié) | Faible (externalisée) |
| Coût | Infrastructure + salaire analyste | 1 000 – 5 000 EUR/mois |
| Surveillance 24/7 | Difficile pour une PME | Incluse |
| Personnalisation | Totale | Limitée au contrat |
| Recommandation PME | Si équipe IT de 5+ personnes | Pour la majorité des PME |
FAQ
Un SIEM remplace-t-il un EDR ?
Non. L’EDR protège les endpoints (postes, serveurs). Le SIEM corrèle les événements de toute l’infrastructure, y compris les alertes EDR. Les deux sont complémentaires.
Combien de temps pour déployer un SIEM ?
Comptez 2 à 4 semaines pour un déploiement initial (sources prioritaires + règles de base). L’affinage se fait ensuite en continu sur 3 à 6 mois.
Contactez RM3A pour un audit de vos besoins en supervision et le choix de la bonne solution SIEM.
