Wazuh est une plateforme de sécurité défensive qui réunit dans un même outil la collecte de journaux d’un SIEM et la surveillance des postes propre à un XDR. Elle est développée par la société Wazuh Inc., qui date ses débuts de 2015, et son code repose sur OSSEC, le système de détection d’intrusion lancé par Daniel Cid, comme le rappelle le dépôt officiel. L’ensemble est publié pour l’essentiel sous licence GPL v2, avec quelques parties plus récentes sous AGPL v3.
La version 4.14.9, publiée le 14 octobre 2026 selon les notes de version de la documentation, renforce notamment la compilation des binaires Linux et corrige plusieurs défauts de l’agent.
À quoi sert Wazuh
Le principe tient en quatre composants. Un agent unique s’installe sur chaque machine à surveiller et remonte les journaux du système et des applications, l’inventaire des logiciels installés et les modifications de fichiers sensibles. Le serveur reçoit ces données, les décode et les confronte à un vaste jeu de règles. L’indexeur, un dérivé d’OpenSearch publié sous licence Apache 2.0, stocke les alertes et les rend interrogeables, tandis que le tableau de bord web permet de les consulter, de filtrer par machine et de suivre l’état du parc.
Sur cette base, Wazuh couvre un large éventail de besoins. Il signale les fichiers modifiés en indiquant l’utilisateur ou le processus responsable, croise l’inventaire logiciel avec les bases de vulnérabilités CVE, vérifie la configuration des systèmes par rapport à des guides de durcissement et produit des rapports utiles pour des référentiels comme PCI DSS. Sa fonction de réponse active peut déclencher une contre-mesure automatique, par exemple bloquer une adresse à l’origine d’une attaque par force brute. Des modules récupèrent aussi les événements des comptes AWS, Azure et Google Cloud, et surveillent les hôtes Docker et leurs conteneurs.
Wazuh observe les machines de l’intérieur, à partir de ce qu’elles écrivent dans leurs journaux. Zeek et Suricata, eux, se placent sur le réseau et analysent le trafic qui passe entre les machines, tandis que Falco se concentre sur le comportement des conteneurs en cours d’exécution. Ces outils se complètent, et après un incident, Volatility ou Autopsy permettront d’examiner la mémoire ou le disque d’une machine signalée par Wazuh.
Pour qui ?
Wazuh s’adresse aux équipes de sécurité et aux administrateurs système qui veulent centraliser la surveillance d’un parc sans payer de licence par poste : PME, collectivités, établissements d’enseignement, prestataires de services managés qui suivent plusieurs clients, centres opérationnels de sécurité en construction. Les étudiants en cybersécurité peuvent aussi l’installer sur une seule machine virtuelle pour s’exercer.
Il faut toutefois en mesurer les exigences. La documentation demande au minimum quatre processeurs virtuels, 8 Go de mémoire et 50 Go de disque pour un serveur tout-en-un surveillant jusqu’à vingt-cinq agents, avec quatre-vingt-dix jours d’alertes conservées, et recommande une architecture distribuée au-delà d’une centaine d’agents. Les règles fournies génèrent beaucoup d’alertes au départ, et leur ajustement réclame du temps et une bonne connaissance des systèmes surveillés. Wazuh ne remplace pas non plus une sonde réseau ni un antivirus complet. Pour lire le contenu des échanges réseau, Zeek ou Suricata restent plus adaptés.
Télécharger Wazuh sans risque
Tout passe par documentation.wazuh.com et par l’organisation wazuh sur GitHub. Le guide de démarrage rapide fournit un assistant qui installe le serveur, l’indexeur et le tableau de bord sur une machine Linux 64 bits, Ubuntu, Red Hat Enterprise Linux, CentOS Stream ou Amazon Linux. La même documentation propose une machine virtuelle prête à l’emploi, un déploiement par conteneurs Docker et les paquets des agents : un fichier MSI pour Windows, deux paquets pour macOS selon qu’il s’agit d’un Mac Intel ou Apple Silicon, ainsi que des versions pour Linux, Solaris, AIX et HP-UX.
Le logiciel est entièrement gratuit. L’éditeur vend en revanche du support professionnel, du conseil, des formations et Wazuh Cloud, une version hébergée qu’il exploite et met à jour lui-même. Elle s’essaie quatorze jours sans carte bancaire, puis la formule Small est affichée à 571 dollars par mois pour cent agents, la formule Medium à 923 dollars pour deux cent cinquante agents et la formule Large à 1 467 dollars pour cinq cents agents. Un agent de sécurité tourne avec des privilèges élevés sur chaque poste : un paquet récupéré ailleurs que sur packages.wazuh.com ferait courir au parc exactement le risque que l’outil est censé surveiller.
Questions fréquentes
Wazuh est-il vraiment gratuit ?
Oui. Le serveur, l’indexeur, le tableau de bord et les agents sont libres et gratuits, quel que soit le nombre de machines surveillées. Seuls Wazuh Cloud, le support professionnel et les formations sont payants.
Quelle différence entre Wazuh et Zeek ?
Wazuh s’appuie sur des agents installés sur les machines et analyse leurs journaux, leurs fichiers et leur configuration. Zeek observe le trafic réseau depuis une sonde, sans rien installer sur les postes. Les deux approches sont souvent combinées.
Wazuh peut-il fonctionner sans serveur à installer ?
Oui, avec Wazuh Cloud, la version hébergée par l’éditeur. Il suffit alors de déployer les agents sur les machines. Cette formule est payante après un essai gratuit de quatorze jours.
