Un serveur non supervisé n'est pas un serveur sécurisé : sans collecte et sans analyse des journaux, une intrusion ou une panne peut passer inaperçue pendant des semaines. Ce guide décrit la démarche de cybersécurité et de supervision appliquée avec Wazuh : audit, plateforme SIEM, alertes, durcissement et exploitation au quotidien.
1. Cadrer l'audit et le périmètre
Avant d'installer un outil, on sait ce que l'on protège : liste des serveurs et machines virtuelles, services exposés sur Internet, comptes à privilèges, flux réseau entrants et sortants, données sensibles et leurs obligations de conservation. L'audit relève également les journaux déjà disponibles, ceux qui manquent et les correctifs en retard. Le résultat est une cartographie des risques hiérarchisée, qui sert de base à toute la suite.
2. Déployer la plateforme Wazuh
Wazuh est un SIEM libre composé d'un serveur de gestion (manager), d'un moteur d'indexation, d'un tableau de bord et d'un agent installé sur chaque hôte. Le manager applique les règles de détection et centralise les événements ; l'indexeur stocke et permet la recherche ; le tableau de bord restitue l'état du parc. La plateforme est hébergée sur un serveur dédié, les agents sur les systèmes surveillés, et la communication est chiffrée. Les agents remontent les journaux système, d'authentification, web et applicatifs.
3. Écrire des règles utiles, réduire le bruit
Une règle de détection n'a de valeur que si elle est comprise et actionnable. Au-delà des règles fournies par défaut (échecs d'authentification, élévation de privilèges, modification de fichiers sensibles, erreurs de services), on adapte le décodage aux journaux réellement produits et on ajoute des règles maison pour les services du parc. On exclut aussi les faux positifs connus : sans ce travail, les alertes deviennent un fond sonore que plus personne ne lit.
4. Organiser les alertes et le triage
Toutes les alertes ne se valent pas. On définit des niveaux et des canaux : un service arrêté ou une connexion réussie depuis un pays inattendu déclenche une notification immédiate ; une rafale d'échecs SSH part en revue quotidienne. Chaque canal a un destinataire et un délai de réponse ; chaque alerte critique a une procédure connue. Un tableau partagé consigne les événements traités et les décisions prises.
5. Durcir les hôtes et vérifier
La supervision ne remplace pas le durcissement, elle le mesure. On applique les bases : accès SSH par clé, comptes à privilèges limités, pare-feu en liste blanche, mises à jour et correctifs suivis, certificats TLS valides, secrets hors des scripts, sauvegardes testées par des restaurations réelles. Wazuh fournit ensuite la preuve que ces mesures tiennent : contrôle d'intégrité des fichiers, inventaire des paquets, détection des services inattendus.
systemctl status wazuh-agent tail -n 20 /var/ossec/logs/ossec.log
Ces deux commandes suffisent à vérifier qu'un agent est actif et qu'il dialogue avec le manager.
6. Exploiter et rendre compte
La valeur vient de la régularité : revue hebdomadaire des alertes ouvertes, revue mensuelle des tendances, rapport de synthèse (incidents, correctifs appliqués, points ouverts), et exercice annuel de réponse à incident pour savoir qui fait quoi et dans quel délai. On ajuste alors les règles et les seuils, et on étend la couverture aux nouveaux serveurs.
