# Active Response de Wazuh : automatiser la réponse à incident

- Link: https://dpioch.aristeecampus.org/veille/active-response-de-wazuh-automatiser-la-reponse-a-incident/
- Published: 2026-02-17T09:00:00+01:00
- Author: Admin

[⌊Capture réelle de la page source : Wazuh — Active Response⌉⌊Capture réelle de 
la page source : Wazuh — Active Response⌉[

Page de documentation Wazuh décrivant le module « Active Response » de sa plateforme
SIEM et XDR. Capture du 7 octobre 2026. [Consulter la source](https://documentation.wazuh.com/current/user-manual/capabilities/active-response/index.html)

## Contexte

Détecter ne suffit pas : le temps entre la détection et le confinement conditionne
l’impact d’un incident. L’automatisation des premières actions est au cœur des démarches
d’orchestration, d’automatisation et de réponse de sécurité (SOAR).

## Analyse

Lorsqu’une règle de niveau suffisant se déclenche, Wazuh peut exécuter un script
sur l’agent concerné : blocage d’IP (`firewall-drop`), arrêt de processus, désactivation
de compte. Le paramètre `timeout` lève automatiquement l’action après un délai, 
ce qui limite l’impact d’un faux positif.

    ```
    <active-response>
      <command>firewall-drop</command>
      <location>local</location>
      <rules_id>5763</rules_id>
      <timeout>600</timeout>
    </active-response>
    ```

## À retenir

 * Automatiser la réponse peut réduire le délai entre détection et confinement.
 * Toujours prévoir un retour arrière : timeout, liste blanche des IP d’administration.
 * Tester les règles en simple journalisation avant de les passer en mode actif.