Le SIEM (Security Information and Event Management) est une solution logicielle qui combine la gestion des informations de sécurité (SIM) et la gestion des événements de sécurité (SEM) en un seul système de gestion de la sécurité.

La fonction fondamentale du SIEM est de collecter, stocker et analyser les données provenant de multiples systèmes afin d'identifier les anomalies ou les cyberattaques potentielles et d'y réagir.

Les 10 meilleurs outils SIEM open source

SIEMonster

Il s'agit de la technologie d'outils SIEM open source la plus populaire, disponible gratuitement et sous forme de version payante. Elle comprend un logiciel de sécurité personnalisable, avantageux pour tous les types d'organisations. Elle combine plusieurs solutions open source au sein d'une plateforme centralisée et fournit des informations sur les menaces en temps réel pour se protéger contre les attaques en direct, tout en permettant une utilisation dans le cloud.

Caractéristiques:

• Comportement basé sur l'activité humaine : SIEMonster, associé à l'analyse comportementale de ResponSight, est capable de détecter toute anomalie dans la manière dont un utilisateur interagit avec son système, ce qui pourrait indiquer un risque de cybersécurité.
• Renseignement sur les menaces : Palo Alto MineMeld, l'un des outils de SIEMonster, collecte des informations provenant de diverses sources de renseignement. Ces informations peuvent ensuite être utilisées pour filtrer les domaines malveillants.
• Apprentissage profond : Il s'agit probablement de l'une des fonctionnalités les plus importantes de SIEMonster. Le système est capable d'assimiler facilement toutes les données et d'établir des corrélations avec des événements et des données passés afin de détecter toute anomalie.

OSSEC

OSSEC (Open Source HIDS SECurity) est compatible avec divers systèmes d'exploitation tels que Windows, macOS, FreeBSD, Linux, OpenBSD et Solaris.

Il permet l'analyse et la vérification de l'intégrité des journaux, la surveillance du registre Windows, les alertes basées sur le temps et la détection des rootkits. Il analyse également les journaux d'autres services réseau open source tels que les serveurs web, les pare-feu, les serveurs DNS, FTP, de messagerie et de bases de données.

Outre son caractère open source, OSSEC est entièrement personnalisable pour répondre à vos besoins. Vous pouvez modifier son script pour adapter ses règles d'alerte.

Snort

Il s'agit d'une technologie open source proposée par Cisco. Elle surveille le trafic en temps réel, inspecte chaque paquet en détail et détecte diverses attaques ou anomalies suspectes, telles que les attaques CGI, les dépassements de tampon, les sondes SMB, et bien d'autres.

Snort propose trois modes principaux : renifleur, enregistreur de paquets et détection d'intrusion réseau. En mode renifleur, le programme affiche les paquets réseau en temps réel sur une console.

En mode enregistreur de paquets, il enregistre les paquets sur le disque dur. En mode détection d'intrusion réseau, il surveille le trafic réseau et effectue des analyses en fonction de règles prédéfinies.

Snort a publié sa dernière version, la 2.9.13.0, qui apporte de nouvelles mises à jour, notamment le rechargement des règles Snort et la possibilité d'ajouter des paquets à la liste noire.

Cette nouvelle version inclut également quelques améliorations, comme la modification du calcul du hachage des fichiers et la correction d'un problème d'authentification du portail bloquée en état semi-fermé.

Snort est disponible en trois formules d'abonnement : Personnel, Entreprise et Intégrateurs.

Personnel : Cet abonnement coûte jusqu'à 29,99 $ par an et par utilisateur et est principalement destiné aux réseaux domestiques ou à des fins éducatives.

Entreprise : Cet abonnement coûte jusqu'à 399 $ par an et, comme son nom l'indique, est principalement utilisé en entreprise. Cette formule n'autorise pas la redistribution de la licence.

Intégrateur : Cette formule permet d'intégrer Snort à votre application.

The ELK Stack

TL'Elastic Stack est l'outil open source le plus populaire actuellement. Il fait partie de l'architecture d'OSSEC, Apache Metron, SIEMonster et Wazuh.

Il se compose de plusieurs produits SIEM gratuits : Elasticsearch, Logstash, Kibana et Beats.

Elasticsearch est le deuxième logiciel open source le plus téléchargé après le noyau Linux. Il assure l'indexation et le stockage des données et utilise un mécanisme de file d'attente pour maintenir les liens entre les données.

Logstash fournit un système d'enregistrement des journaux : il collecte les données de journalisation, les filtre, les traite et les enrichit, et prend en charge les plugins personnalisés.

Kibana offre des fonctionnalités de visualisation extrêmement performantes et permet aux utilisateurs d'analyser les données selon leurs besoins.

Beats est un agent léger et rapide de collecte et de transmission des journaux. Il peut être utilisé sur les hôtes périphériques pour suivre différents types de données.

OSSIM

Il se compose de plusieurs composants SIEM, tels que le traitement, la collecte d'événements et la normalisation.

Il comprend à la fois l'évaluation des menaces à long terme et l'enregistrement des événements à court terme, en plus de la surveillance, de la collecte et de l'analyse des données.

Caractéristiques:

• Gestion des actifs : Ce système assure le suivi des activités et des actifs du réseau tout en détectant les nouveaux actifs qui accèdent au réseau.
• Gestion des journaux : Il stocke les données en lieu sûr pour consultation ultérieure.
• Veille sur les menaces : Il stocke les données relatives aux menaces et propose des solutions pour résoudre les problèmes.

Sagan

Sagan fonctionne comme Snort et prend en charge les règles Snort. Sagan est un système de surveillance des journaux d'événements en temps réel et multithread, conçu pour éviter les blocages.

Caractéristiques:

• Il est conçu pour être facile à installer.
• Il peut être utilisé pour surveiller tout type de système ou d'appareil, comme les pare-feu, les systèmes de détection/prévention d'intrusion (IDS/IPS), les journaux d'événements Windows, et bien d'autres.
• Il consomme peu de ressources mémoire et processeur.

Prelude

À l'instar d'OSSIM, Prelude accepte les données et les événements provenant de différentes sources et les stocke en un seul endroit grâce au format IDMEF.

Il offre des fonctionnalités de collecte, de filtrage, d'analyse et de visualisation. Grâce à un développement continu, il bénéficie des dernières informations sur les menaces.

Ses agents tiers sont les suivants :

• OSSEC
• Snort
• Auditd
• Suricata
• Filtré par UFW

Caractéristiques:

• Pilote : Prelude SIEM fournit des données facilement exploitables pour un meilleur contrôle du système d'information de sécurité.
• Détection : Il détecte toute tentative de piratage du système de sécurité grâce à la combinaison de diverses technologies de détection.
• Réaction : Il gère toute intrusion dans le système de sécurité et assure la restauration du système après l'incident.

Wazuh

Wazuh est issu d'OSSEC, mais propose désormais ses propres solutions uniques. Il assure la surveillance du registre Windows, les alertes basées sur le temps, l'analyse des journaux et la détection des rootkits.

Il contribue à améliorer la visibilité de la sécurité en surveillant l'hôte au niveau du système d'exploitation. Il surveille les menaces avancées et y réagit immédiatement.

Il permet de bloquer les attaques réseau ou d'arrêter les processus malveillants.

Caractéristiques:

• Surveillance de l'intégrité des fichiers : ce système surveille les journaux et les fichiers, identifie les modifications et attribue les attributs aux fichiers.
• Gestion et analyse des journaux : il lit les journaux du système d'exploitation et les transmet à un gestionnaire central pour analyse et stockage.
• Détection d'intrusions et d'anomalies : il peut détecter les fichiers cachés, les écouteurs réseau non enregistrés et les incohérences du système afin de déclencher des actions correctives.

MozDef

La plateforme de défense de Mozilla (MozDef) est un ensemble de micro-services qui peuvent être utilisés conjointement avec Elasticsearch.

MozDef sert à enquêter sur les activités suspectes, à gérer les incidents de sécurité, à signaler les problèmes de sécurité et à classer les menaces.

Elle détecte tout incident de sécurité et gère le processus, tout en optimisant le traitement des activités en temps réel.

Caractéristiques:

• Servir d'interface pour des systèmes tels que les solutions de protection cloud, les pare-feu et autres configurations basées sur des API.
• Assurer une communication en temps réel entre les intervenants en cas d'incident.
• Mettre en place des processus répétitifs et prévisibles pour la gestion des incidents.
• Automatiser la gestion des incidents, la réponse aux incidents, la collecte de métriques et le partage d'informations, en allant au-delà des systèmes SIEM traditionnels.

Apache Metron

Il offre un cadre de sécurité avancé développé en collaboration avec la communauté Hadoop. Il permet également de vérifier d'énormes quantités de données afin de détecter d'éventuelles anomalies.