Wazuh est une plateforme de sécurité libre et gratuite qui surveille vos machines pour détecter des comportements suspects : modifications de fichiers sensibles, tentatives de connexion répétées, logiciels vulnérables, fichiers malveillants. Elle regroupe des fonctions de SIEM (collecte et corrélation de journaux) et d’XDR (détection et réponse sur les postes). Voici comment elle est organisée, comment la mettre en place, et par où commencer.
Ce que fait Wazuh
- Analyse des journaux : collecte et analyse les logs système et applicatifs avec des milliers de règles prêtes à l’emploi.
- Intégrité des fichiers (FIM) : alerte quand un fichier ou une clé de registre important change.
- Détection de vulnérabilités : compare les logiciels installés aux bases de vulnérabilités connues.
- Évaluation de la configuration : vérifie la conformité à des référentiels de durcissement (comme CIS).
- Détection de rootkits et de menaces, et réponse active (blocage d’une adresse IP, par exemple).
- Conformité : cartographie des alertes vers des cadres comme PCI DSS ou le RGPD.
Les composants
| Composant | Rôle |
|---|---|
| Agent Wazuh | Installé sur chaque machine supervisée (Windows, Linux, macOS) |
| Serveur Wazuh | Reçoit les données des agents, les analyse avec les règles, génère les alertes |
| Indexeur Wazuh | Stocke et indexe les alertes (basé sur OpenSearch) |
| Tableau de bord Wazuh | Interface web de consultation et d’administration |
Pour une première installation ou un petit parc, les trois composants serveur peuvent tourner sur la même machine. Pour des centaines d’agents, on les sépare.
Prérequis
- Un serveur Linux 64 bits récent (par exemple Ubuntu LTS ou une distribution de la famille RHEL), avec des ressources correctes : prévoyez au moins 4 vCPU et 8 Go de RAM pour un petit environnement, et de l’espace disque selon la rétention des alertes. Vérifiez les chiffres exacts dans la documentation de la version choisie.
- Un accès administrateur (root) et Internet pour télécharger les paquets.
Installation tout-en-un
Wazuh fournit un script d’installation assistée qui installe serveur, indexeur et tableau de bord. Récupérez la commande exacte pour la version en cours sur la page « Quickstart » de la documentation officielle (elle contient le numéro de version à utiliser), puis exécutez-la en tant que root. À la fin, le script affiche l’adresse du tableau de bord et un mot de passe administrateur généré : notez-le immédiatement.
Ouvrez ensuite https://adresse-du-serveur dans le navigateur (le certificat est auto-signé) et connectez-vous avec l’utilisateur admin.
Ajouter un premier agent
- Dans le tableau de bord, ouvrez la section de déploiement d’agents.
- Choisissez le système (Windows, Linux, macOS), saisissez l’adresse du serveur Wazuh et un nom pour l’agent.
- Copiez la commande générée et exécutez-la sur la machine à superviser (une commande PowerShell sous Windows, des commandes de paquet sous Linux).
- Démarrez le service de l’agent : il apparaît comme « Actif » dans le tableau de bord.
Les ports à connaître
| Port | Usage |
|---|---|
| 1514 (TCP par défaut) | Communication des agents avec le serveur |
| 1515 (TCP) | Enregistrement des agents |
| 55000 (TCP) | API du serveur Wazuh |
| 443 (TCP) | Tableau de bord |
Si un agent n’apparaît pas, vérifiez que ces ports sont joignables depuis la machine (voir comment tester un port). Évitez d’exposer le tableau de bord sur Internet : passez par un réseau privé ou un VPN comme Tailscale.
Bien démarrer sans se noyer sous les alertes
- Commencez par quelques machines critiques (serveurs exposés, contrôleur de domaine).
- Surveillez la détection de vulnérabilités et l’intégrité des fichiers sur les dossiers sensibles seulement.
- Traitez les alertes de niveau élevé d’abord, puis ajustez ou désactivez les règles trop bruyantes.
- Prévoyez des sauvegardes de la configuration et surveillez la place disque de l’indexeur.
Wazuh ou un autre outil ?
Wazuh couvre la détection côté postes et journaux. Il ne remplace ni un pare-feu, ni une supervision de la disponibilité comme Zabbix, ni des sauvegardes et un plan de reprise : voir PRA et PCA.
Questions fréquentes
Wazuh est-il gratuit ?
Oui, le logiciel est libre. L’éditeur propose un service cloud et du support payants.
Quelle différence avec Elastic ou Splunk ?
Wazuh fournit les agents, les règles de détection de sécurité et des tableaux de bord prêts à l’emploi, alors qu’Elastic ou Splunk sont des plateformes généralistes de données.
Faut-il une compétence en sécurité pour l’utiliser ?
Pour l’installation, non. Pour interpréter les alertes et réagir, oui : l’outil détecte, mais l’analyse reste humaine.
