SIEM

01 — DéfinitionQu'est-ce qu'un SIEM ?

Le SIEM, pour Security Information and Event Management, est une plateforme logicielle qui collecte, normalise et corrèle les événements de sécurité et les logs provenant de toutes les sources d'une organisation : endpoints, serveurs, réseau, applications, cloud, identité. Son objectif est double :

• Détection — identifier les menaces en croisant des événements qui, pris isolément, seraient anodins.
• Conformité — conserver et rendre analysables les logs exigés par les réglementations (NIS2, DORA, PCI DSS, ISO 27001).

Le terme SIEM est apparu en 2005 dans les rapports Gartner pour désigner la fusion de deux catégories d'outils historiques : le SIM (Security Information Management, orienté rétention et reporting) et le SEM (Security Event Management, orienté analyse et alerte temps réel). La combinaison de ces deux fonctions a donné naissance au marché SIEM moderne.

Le SIEM est l'outil cœur du SOC depuis près de deux décennies. Il reste aujourd'hui incontournable pour les grandes organisations, en complément (et non en remplacement) des plateformes plus récentes comme l'XDR. Sa flexibilité extrême — on peut y ingérer n'importe quelle source pourvu qu'elle produise des logs — en fait un point pivot universel de la sécurité opérationnelle.

Un SIEM bien configuré est un atout stratégique considérable. Un SIEM mal configuré est un gouffre financier et un générateur de fausse sécurité — le bruit masque les signaux.

02 — MécaniqueComment fonctionne un SIEM

Un SIEM opère en plusieurs étapes séquentielles, chacune essentielle.

1. Collecte

Ingestion des logs depuis les sources du SI — via des agents installés sur les machines, via des API, via syslog, via des connecteurs dédiés. Les sources typiques : pare-feux, proxies, systèmes d'exploitation, applications métier, bases de données, plateformes cloud, outils de sécurité (EDR, passerelle email, IdP), équipements réseau.

2. Normalisation

Les logs arrivent dans des formats extrêmement divers (JSON, CSV, XML, formats propriétaires, syslog RFC5424…). Le SIEM les transforme en un schéma unifié — aussi appelé « common event format » chez les éditeurs. Cette normalisation est la fondation de la corrélation ultérieure : sans schéma commun, pas de jointure possible entre sources différentes.

3. Enrichissement

Les événements normalisés sont enrichis avec du contexte : résolution d'IP en hostname, géolocalisation, classification de l'utilisateur (département, criticité), réputation de l'IP ou du domaine via threat intelligence, référencement MITRE ATT&CK. Un événement enrichi devient beaucoup plus exploitable qu'une ligne de log brute.

4. Corrélation

Le cœur du SIEM. Des règles de corrélation identifient des patterns à travers plusieurs événements et sources. Exemple classique : « Un utilisateur se connecte depuis la France, puis depuis le Vietnam dans les 10 minutes, puis télécharge plus de 100 fichiers du SharePoint — générer alerte d'exfiltration potentielle. » Les SIEM modernes complètent les règles par des moteurs ML comportementaux (UEBA — User and Entity Behavior Analytics).

5. Alerte et visualisation

Les patterns détectés génèrent des alertes, triées par sévérité. Les analystes SOC consultent des dashboards, investiguent les alertes, pivotent sur les événements liés. La qualité de l'interface et du moteur de recherche est critique pour l'efficacité opérationnelle.

6. Rétention et archivage

Les événements sont stockés pour permettre l'investigation a posteriori, la recherche historique et la conformité. La politique typique sépare deux horizons : un stockage « chaud » rapidement accessible (3-6 mois) et un stockage « froid » archivé plus longtemps (12 à 36 mois, parfois 7 ans pour PCI DSS et certaines obligations réglementaires).

7. Réponse (selon maturité)

Les SIEM modernes intègrent souvent des capacités SOAR (Security Orchestration, Automation and Response) pour déclencher des actions : isolation d'un endpoint, révocation d'un token, blocage d'un compte, ouverture d'un ticket. La limite entre SIEM avec SOAR et XDR s'estompe avec le temps.

03 — FonctionsLes capacités clés d'un SIEM moderne

Règles de corrélation

Cœur de la détection. Les SIEM fournissent des centaines à milliers de règles pré-définies couvrant les scénarios connus (détection de brute-force, mouvement latéral, exfiltration, élévation de privilège). Les équipes SOC ajoutent leurs propres règles adaptées à leur contexte. La qualité d'un SIEM se mesure largement à la qualité et à l'adaptabilité de son moteur de règles.

UEBA — User and Entity Behavior Analytics

Analyse comportementale qui complète les règles statiques. Apprend le comportement normal de chaque utilisateur et entité (machine, application) et détecte les déviations. Utile pour repérer les compromissions de compte et les menaces internes. Les grandes plateformes modernes (Exabeam, Securonix, Splunk, Microsoft Sentinel) ont toutes un moteur UEBA intégré.

Threat intelligence intégrée

Intégration en continu d'IOC (Indicators of Compromise) provenant de flux publics et commerciaux. Permet de repérer instantanément les communications vers des serveurs C2 connus, les IP associées à des campagnes en cours, les domaines de phishing récemment identifiés.

Moteur de recherche

Indispensable pour l'investigation. Splunk a popularisé le concept avec son langage SPL ; Elasticsearch avec KQL/Lucene ; Microsoft Sentinel avec KQL. Un bon moteur permet de naviguer dans des téraoctets de logs en quelques secondes.

Dashboards et reporting

Tableaux de bord temps réel pour l'équipe SOC, rapports périodiques pour la direction et les auditeurs, rapports de conformité prédéfinis (PCI DSS, ISO 27001, NIS2). La capacité à produire rapidement un rapport d'audit est un critère différenciant important.

Intégration SOAR

Automatisation des réponses et des workflows d'investigation. Playbooks qui déclenchent des actions selon le type d'alerte. Splunk SOAR (ex-Phantom), IBM SOAR (ex-Resilient), Microsoft Logic Apps dans Sentinel, etc.

Data lake et rétention

Les SIEM modernes s'appuient sur des data lakes cloud (Snowflake, Databricks, BigQuery) pour découpler le coût de stockage du coût d'analyse. Permet de retenir beaucoup plus de données à coût raisonnable. Tendance forte ces dernières années.

04 — ComparaisonSIEM vs XDR

Philosophies différentes

Le SIEM est une plateforme généraliste et flexible : il accepte n'importe quel log, permet des corrélations personnalisées, s'adapte à tout cas d'usage métier. En contrepartie, il demande beaucoup de configuration, d'expertise, et de temps pour atteindre une efficacité opérationnelle réelle.

Le XDR est une plateforme spécialisée et préconfigurée : il se concentre sur les domaines sécurité essentiels (endpoints, réseau, email, cloud, identité), avec des corrélations et des dashboards prêts à l'emploi. Moins flexible mais beaucoup plus rapide à rendre opérationnel.

Cas d'usage complémentaires

• SIEM exclusif : pertinent pour les grandes organisations historiques avec des besoins de conformité et de corrélation sur-mesure exigeants, et des SOC matures capables d'exploiter la flexibilité.
• XDR exclusif : pertinent pour les PME et ETI avec un besoin de détection opérationnelle rapide sans lourdeur d'intégration.
• SIEM + XDR : modèle dominant chez les grands comptes matures. XDR pour la détection temps réel des cas standards, SIEM pour la rétention longue, la conformité, et les corrélations spécifiques.

Convergence en cours

Plusieurs éditeurs poussent des plateformes convergentes qui fusionnent SIEM et XDR :

• Palo Alto XSIAM : réécriture native, approche data lake moderne.
• Microsoft Sentinel : SIEM cloud natif avec forte intégration Defender XDR.
• Google Chronicle / Security Operations : SIEM conçu comme un moteur de recherche à l'échelle Google.
• Splunk Mission Control + Attack Analyzer : extension vers les capacités XDR.

La frontière SIEM/XDR va probablement s'estomper dans les prochaines années, au profit d'une catégorie unique orientée « Security Operations Platform ».

05 — MarchéPrincipaux éditeurs en 2026

Leaders historiques

• Splunk : référence historique, racheté par Cisco en 2024. Fort chez les grands comptes, puissance du langage SPL, écosystème très riche.
• IBM QRadar : un des plus déployés en France, forte présence grandes entreprises et secteur public. Évolue vers des offres cloud.
• Microsoft Sentinel : cloud-native sur Azure, domine la nouvelle vague. Excellente intégration avec l'écosystème Microsoft.

Leaders modernes

• Palo Alto XSIAM : plateforme convergente SIEM + XDR, en forte croissance.
• Google Chronicle / Security Operations : cloud-native sur Google Cloud, tarification au nombre d'utilisateurs plus qu'au volume.
• CrowdStrike Next-Gen SIEM : lancé en 2023, approche unifiée avec Falcon XDR.

Spécialistes et challengers

• Exabeam : pionnier UEBA, maintenant SIEM complet orienté analytique avancée.
• Securonix : SIEM cloud-native orienté UEBA.
• LogRhythm, Rapid7 InsightIDR : alternatives mid-market.
• Sumo Logic : SIEM cloud-native avec approche observabilité.
• Elastic Security : basé sur la stack Elastic, populaire chez les équipes tech.

Open source et alternatives européennes

• Wazuh : SIEM open source avec capacités endpoint intégrées. Popularité croissante.
• Graylog : plateforme open source de gestion de logs avec capacités de sécurité.
• Logpoint : éditeur danois, présent dans les grands comptes européens.
• Sekoia.io SOC Platform : acteur français, approche SIEM + SOAR + TIP unifiée.

06 — DéploiementLes étapes d'une mise en place réussie

07 — PiègesLes erreurs classiques à éviter

Ingérer tout sans discernement

L'erreur la plus coûteuse. Tout ingérer fait exploser la facture sans améliorer la détection. Chaque source doit justifier son intégration par un cas d'usage concret. Les logs de debug applicatif, les logs d'infrastructure sans valeur sécurité, les flux redondants doivent être filtrés en amont.

Sous-estimer le coût d'exploitation

Un SIEM sans équipe pour l'exploiter est un investissement gâché. Prévoir au minimum 3 à 5 ETP pour un SIEM actif en grande entreprise. Pour les organisations qui ne peuvent assumer cela, privilégier un MDR ou un service managé.

Laisser les règles non tunées

Les règles génériques fournies par l'éditeur génèrent énormément de faux positifs dans chaque environnement spécifique. Un SIEM mal tuné produit des milliers d'alertes quotidiennes que personne ne traite — c'est pire qu'une absence de SIEM.

Négliger la qualité des logs

Un log mal formaté, avec des champs manquants ou non normalisés, casse toute la chaîne de corrélation. Le travail préparatoire sur la qualité des logs côté sources est aussi important que la plateforme SIEM elle-même.

Oublier la conformité

Les contraintes de rétention, d'intégrité, de traçabilité des accès aux logs sont souvent sous-estimées. Un auditeur qui demande 3 ans de logs d'accès à une application critique doit les recevoir rapidement. L'architecture doit anticiper ces besoins dès la conception.

Verrouillage fournisseur

Changer de SIEM est extrêmement complexe — règles, dashboards, intégrations, historique de logs. Privilégier les standards ouverts (OCSF, Sigma rules) pour limiter la dépendance à un éditeur spécifique.

08 — FAQQuestions fréquentes

Le SIEM est-il encore pertinent en 2026 ?

Oui pour les grandes organisations, avec des évolutions importantes : les SIEM modernes sont cloud-native, reposent sur des data lakes, intègrent ML et UEBA, se rapprochent des XDR. Le SIEM tel qu'il existait en 2015 (on-prem, règles statiques, interface lourde) est effectivement en voie d'extinction. Le SIEM 2026 est une plateforme de security operations moderne, loin de son ancêtre.

Peut-on avoir un SIEM sans SOC ?

Techniquement possible, opérationnellement absurde. Un SIEM sans équipe pour exploiter ses alertes produit de la donnée sans valeur. Pour les organisations sans SOC interne, deux options : soit MDR qui exploite la plateforme pour vous, soit pas de SIEM du tout et utilisation d'un XDR plus autonome.

Quelle volumétrie typique par salarié ?

Indicatif très variable selon l'activité : pour une organisation tertiaire classique, compter 50-200 Mo/jour/salarié ingéré complet. Pour une entreprise industrielle, 20-100 Mo/jour/salarié. Pour une banque ou une entreprise très réglementée, jusqu'à 500 Mo/jour/salarié. Ces ordres de grandeur aident à dimensionner budgétairement une prospection initiale.

Sigma rules, qu'est-ce que c'est ?

Standard ouvert pour écrire des règles de détection de manière agnostique (indépendante de l'éditeur). Une règle Sigma peut être convertie pour Splunk, Microsoft Sentinel, Elastic, etc. L'adoption de Sigma facilite le partage de règles dans la communauté et limite le verrouillage fournisseur. Référentiel public : github.com/SigmaHQ.

Faut-il un SIEM cloud ou on-premise ?

Cloud dans la majorité des cas : meilleure scalabilité, moins d'infrastructure à gérer, mises à jour continues. Les freins sont la souveraineté (certaines organisations défense, santé, opérateurs critiques peuvent imposer on-prem), la volumétrie extrême où le cloud devient cher, ou l'existence d'infrastructure on-prem déjà amortie. Pour la majorité des organisations, les offres cloud (Sentinel, Chronicle, XSIAM) sont le bon choix en 2026.