Splunk ou Wazuh : quel SIEM pour une PME ?

Quand une PME décide de centraliser ses journaux de sécurité, deux noms reviennent presque toujours : Splunk, la référence des grandes entreprises, et Wazuh, la solution open source qui monte. Les deux savent collecter des journaux, détecter des attaques et déclencher des alertes. Mais ils ne s'adressent pas au même type d'organisation, et ils ne coûtent pas du tout la même chose.

Nous travaillons avec les deux outils au quotidien. Voici notre lecture, sans parti pris commercial : ce que fait chacun, ce qu'il coûte vraiment, et dans quels cas l'un ou l'autre se justifie.

D'abord, a-t-on vraiment besoin d'un SIEM ?

Un SIEM rassemble les journaux de vos postes, serveurs, pare-feu et services cloud, les analyse et vous alerte quand quelque chose d'anormal se produit. Sans lui, une intrusion peut durer des semaines avant que quelqu'un s'en aperçoive, souvent le jour où un message de rançon s'affiche.

La vraie question n'est donc pas de savoir s'il faut surveiller, mais qui va regarder les alertes. Un SIEM installé et jamais consulté ne protège rien. C'est le point qui devrait guider votre choix, bien plus que la liste des fonctionnalités.

Splunk en quelques mots

Splunk existe depuis 2003 et appartient à Cisco depuis 2024. C'est un moteur de recherche extrêmement puissant pour tous types de données machine, avec son propre langage de requête, le SPL. Pour la sécurité, on l'utilise avec Splunk Enterprise Security, qui ajoute la corrélation, la gestion des incidents et des tableaux de bord pour les équipes SOC.

Ses points forts sont réels : il ingère à peu près n'importe quelle source, son langage permet des analyses très fines, son écosystème d'applications est immense, et beaucoup d'analystes savent déjà s'en servir. Sa principale limite, c'est le prix. Splunk se facture selon le volume de données ingérées chaque jour ou selon la puissance de calcul utilisée, et le module sécurité est payant en plus. Les tarifs ne sont pas publics et se négocient sur devis.

Il existe une version gratuite, Splunk Free, limitée à 500 Mo de données par jour. Elle est intéressante pour apprendre, mais pas pour surveiller une entreprise : elle ne permet ni les alertes, ni la gestion des utilisateurs.

Wazuh en quelques mots

Wazuh est une plateforme de sécurité open source et gratuite, dérivée d'OSSEC. Elle combine un SIEM et un XDR : un agent installé sur les postes et serveurs remonte les événements, et le serveur les analyse avec plusieurs milliers de règles de détection fournies d'origine.

Au-delà de la collecte de journaux, Wazuh fait beaucoup de choses sans module supplémentaire : surveillance de l'intégrité des fichiers, détection des vulnérabilités sur les postes, contrôle de la configuration, intégrations avec Microsoft 365, AWS ou GitHub, et réponse automatique, comme bloquer une adresse IP ou isoler un poste. Il n'y a pas de licence à payer, quel que soit le volume.

En contrepartie, le langage de recherche est moins riche que le SPL, l'interface demande un peu d'habitude, et il faut héberger et maintenir la plateforme soi-même, ou passer par l'offre cloud payante de l'éditeur.

La comparaison point par point

Le vrai coût d'un SIEM

On compare souvent les deux outils sur le prix de la licence, et c'est une erreur. Pour une PME, le poste de dépense le plus lourd n'est ni Splunk ni Wazuh : ce sont les personnes. Il faut quelqu'un pour installer la plateforme, l'alimenter en journaux, régler les règles pour éviter d'être noyé sous les fausses alertes, et surtout regarder ces alertes tous les jours, y compris le week-end.

Un analyste sécurité à temps plein coûte plusieurs dizaines de milliers d'euros par an, et une surveillance 24 heures sur 24 en demande au moins cinq. Avec Splunk, la licence s'ajoute à ce coût et grossit avec le volume de journaux. Avec Wazuh, il n'y a pas de licence, mais le besoin humain reste exactement le même.

C'est pour ça que, dans une PME, le choix réel se fait rarement entre Splunk et Wazuh. Il se fait entre monter sa propre équipe de surveillance et confier ce travail à un prestataire MDR. Notre article sur le coût du monitoring cyber pour une PME détaille ces chiffres.

Quand Splunk se justifie

Splunk est un très bon choix dans certaines situations, et il serait malhonnête de le nier. Si vous avez déjà une équipe SOC interne, avec des analystes formés au SPL, vous profiterez pleinement de sa puissance d'analyse. Si votre groupe ou votre maison mère l'utilise déjà, rester sur le même outil simplifie énormément les échanges. Si vous ingérez de gros volumes de données métier en plus des journaux de sécurité, par exemple pour la supervision applicative, Splunk fait les deux. Enfin, certains secteurs régulés ou certains grands donneurs d'ordre l'imposent de fait.

Quand Wazuh est le meilleur choix

Pour la plupart des PME, Wazuh est plus adapté. Le budget part dans la surveillance plutôt que dans une licence. L'agent apporte des fonctions de protection des postes que Splunk n'offre pas seul. Les règles fournies d'origine couvrent déjà les attaques courantes. Et il n'y a pas de mauvaise surprise sur la facture quand le volume de journaux augmente, par exemple après avoir ajouté Microsoft 365 ou un pare-feu.

Wazuh demande en revanche un vrai savoir-faire pour être utile. Installé avec les réglages par défaut et jamais ajusté, il produit beaucoup d'alertes et peu de valeur. Nos tutoriels pour ajouter des machines, comprendre le tableau de bord et surveiller Microsoft 365 vous donnent une idée du travail à prévoir.

Et si vous n'aviez ni à choisir ni à opérer ?

Pour une PME sans équipe sécurité, la solution la plus réaliste consiste souvent à ne gérer aucun des deux soi-même. Un service MDR (Managed Detection and Response) fournit l'outil, le configure, et surtout met des analystes derrière les alertes, jour et nuit. Vous payez un abonnement mensuel prévisible au lieu d'une licence, d'un serveur et de plusieurs salaires.

C'est le modèle de notre service MDR 24/7, construit sur Wazuh : nous déployons les agents, nous ajustons les règles à votre environnement, et nos analystes traitent les alertes et réagissent en cas d'incident. Si vous préférez garder la main, nous pouvons aussi installer la plateforme chez vous et former votre équipe.

Questions fréquentes

Wazuh est-il vraiment gratuit ?
Oui, le logiciel est open source et gratuit, sans limite de volume ni de nombre d'agents. Vous payez en revanche le serveur qui l'héberge et le temps nécessaire pour l'installer, l'ajuster et surveiller les alertes. L'éditeur propose aussi une version cloud payante, qui évite de gérer l'infrastructure.

Combien coûte Splunk pour une PME ?
Splunk ne publie pas ses tarifs : ils dépendent du volume de données ingérées ou de la puissance de calcul, de l'offre choisie (cloud ou sur site) et du module sécurité. Demandez un devis basé sur votre volume réel de journaux, et ajoutez le coût des personnes qui exploiteront la plateforme.

Peut-on migrer de Splunk vers Wazuh ?
Oui. Les sources de journaux restent les mêmes, il faut surtout réinstaller la collecte et traduire les règles de détection personnalisées. Certaines entreprises font aussi cohabiter les deux, avec Wazuh sur les postes et Splunk comme outil d'analyse central.

Wazuh est-il suffisant pour répondre aux exigences de NIS2 ?
Wazuh fournit la collecte des journaux, la détection et la traçabilité attendues. Mais NIS2 exige surtout de détecter et de signaler un incident important rapidement : c'est l'organisation humaine autour de l'outil qui fait la conformité, pas l'outil seul.

Pour ceux qui utilisent déjà Splunk, nous avons rassemblé 15 requêtes SPL pour détecter les attaques courantes, reliées au référentiel MITRE ATT&CK.