Zeek est un outil d’analyse du trafic réseau qui, plutôt que de lever une alerte sur chaque paquet suspect, consigne de façon méthodique tout ce qui transite sur un lien. Il s’appelait Bro jusqu’en 2018. Vern Paxson, alors chercheur au Lawrence Berkeley National Laboratory, en a écrit la première version en 1995, et l’article qui le présentait a reçu le prix du meilleur article au symposium USENIX Security de 1998, d’après l’historique publié dans la documentation.
Le code est distribué sous licence BSD à trois clauses. Le projet est porté par une communauté et une équipe dirigeante bénévole, tandis que la société Corelight se décrit comme son gardien, sans en être propriétaire, et finance une partie du travail. La version 9.0.0, publiée sur GitHub le 21 août 2026, est présentée sur zeek.org comme la version à support long actuelle.
À quoi sert Zeek
Zeek se branche sur une copie du trafic, fournie par un port miroir de commutateur ou par un boîtier de dérivation, et reconstitue les échanges couche par couche. Il en tire des journaux séparés par protocole : un fichier pour toutes les connexions, d’autres pour les requêtes DNS, les échanges HTTP, les certificats TLS, les fichiers transférés, les sessions SSH ou SMB. Ces journaux, au format texte tabulé ou JSON, sont compacts comparés à une capture complète et s’intègrent facilement dans un SIEM ou une base de recherche.
Tout le comportement de Zeek est écrit dans son propre langage de script, y compris la journalisation par défaut. Un analyste peut donc ajouter une détection taillée pour son réseau, extraire automatiquement les fichiers d’une session, repérer une tentative de force brute sur SSH ou signaler un certificat dont la chaîne de confiance ne se vérifie pas. Un gestionnaire de paquets, créé en 2016 grâce à une subvention de la fondation Mozilla, permet d’installer des extensions écrites par la communauté. Pour les gros débits, plusieurs machines se répartissent le trafic en cluster, et la documentation évoque des sites qui surveillent des liens à 10 puis 100 Gbit/s.
La documentation précise elle-même ce que Zeek n’est pas. Il ne bloque rien et ne modifie aucun paquet, et pour un système de prévention placé en coupure elle renvoie vers Suricata ou Snort. Il n’est pas non plus conçu pour la recherche de signatures octet par octet, domaine où Suricata excelle, ni pour afficher les trames une à une comme Wireshark. Face à Wazuh, qui surveille les machines grâce à des agents, Zeek apporte la vue réseau, et ntopng, présent dans notre logithèque, reste plus adapté au suivi des volumes et des performances.
Pour qui ?
Zeek vise les équipes de sécurité qui ont besoin d’un historique fiable de ce qui s’est passé sur le réseau, pour la chasse aux menaces comme pour l’enquête après incident. Les universités, les laboratoires de recherche, les centres de calcul, les grandes entreprises et les administrations cités par la documentation en font un usage courant.
Il réclame en revanche un vrai investissement. Il faut disposer d’un point d’écoute sur le réseau, dimensionner la machine selon le débit et apprendre un langage de script spécifique pour aller au-delà des journaux par défaut. Zeek n’a pas d’interface graphique : ses journaux se lisent en ligne de commande ou s’envoient vers un outil de visualisation. Une structure qui veut surtout bloquer des attaques connues se tournera vers Suricata, et celle qui cherche à surveiller ses serveurs de l’intérieur vers Wazuh.
Télécharger Zeek sans risque
La page Get Zeek de zeek.org rassemble les archives de code source, hébergées sur download.zeek.org, et renvoie vers les paquets binaires pour Linux construits sur l’openSUSE Build Service, avec un canal par branche de versions. Le projet publie aussi des images Docker officielles sous le nom zeek/zeek, avec les étiquettes latest et lts. Sous macOS, FreeBSD et OpenBSD, Zeek s’installe via Homebrew ou les ports, que la documentation signale comme non maintenus par le projet. Sous Windows, seule une compilation expérimentale est décrite.
Zeek n’a aucune édition payante. Corelight commercialise ses propres sondes construites autour de lui, mais le logiciel publié par le projet reste complet et gratuit. Une sonde Zeek voit passer l’ensemble du trafic d’une organisation, mots de passe en clair et données sensibles compris, ce qui rend inacceptable toute version récupérée hors des canaux du projet.
Questions fréquentes
Quelle différence entre Bro et Zeek ?
Il s’agit du même logiciel. L’équipe dirigeante a décidé de le renommer à l’automne 2018, et Zeek 3.0, sortie en 2019, a été la première version publiée sous ce nom.
Zeek peut-il bloquer une attaque ?
Non. Zeek est un outil passif qui observe une copie du trafic. Il peut appeler un pare-feu ou un commutateur par script, mais pour bloquer en ligne, la documentation conseille Suricata ou Snort en mode prévention.
Zeek fonctionne-t-il sous Windows ?
Pas officiellement. Le projet décrit une compilation expérimentale avec Visual Studio et Npcap, sans binaire prêt à l’emploi. Linux reste la plateforme de référence, avec des paquets et des images Docker officiels.
