Sommaire
Introduction
Un SIEM est un engagement de plusieurs années. Les règles de détection, tableaux de bord, playbooks et compétences des analystes se construisent autour d’un langage de requête et d’un modèle de données, et changer plus tard coûte cher. Le bon choix dépend moins des listes de fonctions que de l’endroit où se trouvent vos journaux, de la façon dont vous voulez payer les données et du lieu où elles peuvent être stockées.
Le modèle tarifaire compte plus que les fonctions
La plupart des surprises de coût d’un SIEM viennent du modèle tarifaire plutôt que du prix catalogue. La tarification à l’ingestion facture par gigaoctet et par jour, ce qui pénalise les sources verbeuses et pousse les équipes à abandonner des journaux utiles. La tarification à la charge de travail ou au calcul facture plutôt la capacité de recherche et d’analyse. La tarification par actif ou par utilisateur rend le coût prévisible, mais peut masquer des limites de conservation ou de volume. Modélisez vos volumes réels pour chaque option avant de comparer les devis.
Les principales plateformes en un coup d’œil
| Plateforme | Réputée pour | Points d’attention | Convient à |
|---|---|---|---|
| Microsoft Sentinel | SIEM et SOAR natifs du cloud, KQL, ingestion gratuite de nombreuses sources Microsoft, unifié avec le portail Defender | Coûts d’ingestion pour les sources non Microsoft ; hébergé uniquement dans Azure | Les organisations centrées sur Microsoft, déjà sur Azure |
| Splunk Enterprise Security | Recherche SPL très souple, vaste écosystème d’applications, cloud ou sur site, désormais chez Cisco | Coût à fort volume ; exige des administrateurs compétents | Les grands SOC aux données complexes et variées, avec une ingénierie mature |
| Google Security Operations | Recherche rapide sur une longue conservation, détections YARA-L, renseignement Google et Mandiant intégré | Écosystème tiers plus restreint ; cloud uniquement | Les environnements à fort volume qui veulent une longue conservation à chaud |
| Elastic Security | Règles de détection ouvertes, ES|QL, autogéré ou cloud, tarification selon les ressources | Vous exploitez et réglez le cluster en mode autogéré | Les équipes pilotées par l’ingénierie et les besoins sur site |
| IBM QRadar SIEM | SIEM sur site établi de longue date, avec une corrélation mature | QRadar SaaS est passé chez Palo Alto Networks en 2024 ; vérifiez la feuille de route à long terme | Les parcs QRadar existants qui préparent la suite |
| Wazuh | Gratuit et open source, à base d’agents, contrôle d’intégrité des fichiers et correspondance de conformité | La montée en charge et le support sont à votre charge | Les petites équipes, les labs et les déploiements à budget serré |
Résidence des données dans le Golfe et au-delà
Les journaux de sécurité contiennent des noms d’utilisateur, des adresses IP, des objets d’e-mails et parfois des données clients : ils relèvent donc du droit de la protection des données. En Arabie saoudite, aux Émirats et au Qatar, les banques, les entités publiques et les opérateurs d’infrastructures critiques sont souvent soumis à des règles qui imposent de garder certaines données dans le pays ou dans des clouds approuvés. Vérifiez dans quelles régions chaque SIEM SaaS peut fonctionner, si les sauvegardes et les accès du support quittent la région, et s’il existe une option sur site ou dans un cloud local si le régulateur l’exige.
Mener une évaluation équitable
- Choisissez cinq à dix cas de détection qui comptent pour vous, comme un déplacement impossible, une élévation de privilèges dans la console cloud ou une suppression massive de fichiers.
- Intégrez les mêmes sources de journaux dans chaque SIEM présélectionné et mesurez le temps d’analyse et de normalisation.
- Écrivez chaque détection dans chaque langage de requête. L’effort nécessaire en dit long sur le quotidien avec la plateforme.
- Rejouez une attaque réaliste et chronométrez la détection, l’investigation et le passage au SOAR ou à la billetterie.
- Chiffrez trois ans selon la croissance prévue du volume, y compris la conservation et les niveaux de données premium.
Gardez des détections portables
Quel que soit votre choix, écrivez les détections en Sigma lorsque c’est possible et conservez-les sous contrôle de version. Les règles Sigma se convertissent en KQL, SPL, ES|QL et d’autres langages de requête, ce qui protège votre investissement en cas de migration et facilite le partage de la logique de détection avec vos partenaires et les ISAC.
Comment nous choisirions
Choisissez Sentinel si Microsoft est déjà votre plateforme principale. Choisissez Splunk si vous avez des données complexes et variées, ainsi que le budget et les personnes pour en tirer le meilleur. Choisissez Google Security Operations si la priorité est une conservation longue et rapide à fort volume. Choisissez Elastic ou Wazuh si vous avez besoin de contrôle, d’un déploiement sur site ou d’un coût de licence plus bas, et si vous avez la capacité d’ingénierie pour les exploiter. Dans tous les cas, la qualité de vos données et de vos détections comptera plus que le logo de la console.
Conclusion
Un SIEM est un engagement à long terme, et les tarifs et la résidence des données l’influencent autant que les fonctions. Évaluez votre présélection avec vos propres sources de journaux, estimez le coût à un volume réaliste et gardez des détections portables pour pouvoir changer de plateforme plus tard.
- SIEM
- Microsoft Sentinel
- Splunk
- Google SecOps
- Elastic
- QRadar
- Wazuh
- Comparatif d’outils
