# Wazuh vs ELK Stack : quel SIEM open source pour centraliser les logs ?

- Link: https://dpioch.aristeecampus.org/veille/wazuh-vs-elk-stack-quel-siem-open-source-pour-centraliser-les-logs/
- Published: 2025-10-14T09:00:00+02:00
- Author: Admin

[⌊Capture réelle de la page source : Documentation Wazuh⌉⌊Capture réelle de la page
source : Documentation Wazuh⌉[

Page de documentation Wazuh présentant les rubriques Getting started, Quickstart,
Installation guide et Installation alternatives. Capture du 7 octobre 2026. [Consulter la source](https://documentation.wazuh.com/)

## Contexte

Centraliser les journaux est une brique d’un centre opérationnel de sécurité (SOC).
Deux approches sont comparées ici : Wazuh, orienté sécurité, et la stack ELK (Elasticsearch,
Logstash, Kibana), orientée observabilité et recherche.

## Analyse

Wazuh s’appuie sur un indexeur dérivé d’OpenSearch (fork d’Elasticsearch 7.10) et
embarque nativement un système de détection d’intrusion sur hôte (HIDS), un moteur
de règles de corrélation, le contrôle d’intégrité des fichiers et l’Active Response.
Côté ELK, ces fonctions demandent des modules supplémentaires, parfois soumis à 
licence, ou du développement.

  |  Critère |  Wazuh |  ELK |  
   |  Détection prête à l’emploi |  Oui (règles + décodeurs) |  À construire |  
 |  Agent hôte (HIDS, FIM) |  Natif |  Via Beats / Elastic Agent |  
 |  Réponse automatisée |  Active Response |  Selon licence / outils tiers |  
 |  Recherche & dashboards |  Correcte |  Très riche |

## À retenir

 * Pour un environnement maîtrisé en interne, les fonctions intégrées de Wazuh peuvent
   simplifier le déploiement et l’exploitation.
 * ELK reste plus flexible pour la recherche de logs pure et des tableaux de bord
   très personnalisés.
 * Le choix dépend du besoin : sécurité tout-en-un (Wazuh) ou observabilité large(
   ELK).

## Application dans mon lab

Wazuh est retenu comme SIEM/EDR du lab SOC GSB : un agent sur chaque VM, corrélation
centralisée et alertes remontées dans le tableau de bord du SOC.