La liste (définitive) des plateformes SIEM open source à évaluer

Les équipes de sécurité qui évaluent un SIEM en 2026 font face à un paysage open source dense, chaque option ayant ses forces, son modèle de déploiement et ses conditions de licence. Ce guide passe en revue les plateformes SIEM open source qui méritent votre attention, les critères qui comptent vraiment pour les comparer, et la raison pour laquelle le SIEM n’est qu’une partie de la réponse : sans couche structurée de renseignement sur les menaces pour l’alimenter, même le meilleur moteur de détection travaille avec un contexte incomplet.

Relu et maintenu par l’équipe produit et contenu de Filigran.

L’essentiel

Les SIEM open source vont d’outils légers centrés sur l’hôte (OSSEC) aux plateformes de détection complètes (Wazuh, Elastic Security), en passant par des distributions dédiées à la surveillance réseau (Security Onion).
Évaluez la couverture des sources de logs, la qualité des règles de détection, la scalabilité, l’écosystème d’intégrations, la santé de la communauté et la couverture conformité - pas seulement les listes de fonctionnalités.
Wazuh offre aujourd’hui l’expérience la plus complète prête à l’emploi ; Elastic Security offre la plus grande flexibilité aux équipes capables de l’ajuster.
Un SIEM seul vous dit seulement ce qui s’est passé. L’associer à une plateforme de renseignement (TIP) comme OpenCTI ajoute le contexte : qui est derrière l’attaque et que faire.
Le renseignement dit quoi détecter ; les outils de simulation d’attaques (BAS/AEV) comme OpenAEV vérifient que votre SIEM détecte réellement, bouclant la boucle entre renseignement et détection validée.
La plateforme XTM de Filigran connecte nativement OpenCTI et OpenAEV, supprimant le travail d’intégration sur mesure pour opérer renseignement et validation comme une seule pile.
Tout ce qui est présenté comme un « SIEM gratuit » n’est pas open source pour autant - Splunk Free est un exemple notable à comprendre avant de l’évaluer.

Que rechercher dans un SIEM open source

Choisir un SIEM open source ne se résume pas à des listes de fonctionnalités. Voici les critères qui comptent vraiment pour les praticiens.

Couverture des sources de logs

Endpoints, charges cloud (AWS, Azure, GCP), équipements réseau et applications SaaS génèrent tous de la télémétrie pertinente. Vérifiez ce qui est supporté nativement et ce qui exige du parsing sur mesure.

Qualité des règles de détection

Un SIEM ne vaut que par sa logique de détection. Recherchez des communautés de règles actives (la compatibilité SIGMA est un signal fort), des mises à jour fréquentes et une documentation claire.

Scalabilité et déploiement

Certains outils tournent confortablement sur un seul nœud ; d’autres exigent une architecture distribuée. Connaissez vos besoins en événements par seconde avant de vous engager.

Écosystème d’intégrations

Votre SIEM doit se connecter aux EDR, aux outils de ticketing, aux SOAR et, surtout, aux sources de renseignement. Le support natif de TAXII 2.1 ou des connecteurs TIP sont des critères clés.

Maintenance et santé de la communauté

Vérifiez la fréquence des commits GitHub, les délais de réponse aux issues et les forums. Un projet abandonné vous laisse seul face à la charge de maintenance.

Couverture conformité

Soumis à PCI DSS, HIPAA, SOC 2 ou au RGPD ? Vérifiez que l’outil fournit des tableaux de bord et rapports de conformité prêts à l’emploi - ou que la communauté les a construits.

Notre sélection de SIEM open source pour 2026

#1 - Wazuh

Ce que c’est : la plateforme SIEM/XDR open source la plus déployée. Née d’un fork d’OSSEC, elle est devenue une plateforme complète d’opérations de sécurité : analyse de logs, détection d’intrusion, détection de vulnérabilités, contrôle d’intégrité des fichiers et rapports de conformité.

Idéal pour : les équipes qui veulent une plateforme open source unique couvrant SIEM, IDS hôte et XDR sans assembler plusieurs outils.

Un agent unifié couvre la télémétrie des endpoints, l’envoi de logs et la réponse active.
Un contenu de conformité solide prêt à l’emploi (PCI DSS, HIPAA, NIST, CIS).
Le renseignement d’OpenCTI s’intègre via TAXII 2.1 ou flux CSV pour enrichir les indicateurs.

Ses limites : l’indexeur Wazuh (basé sur OpenSearch) peut devenir gourmand à grande échelle, et la personnalisation de l’interface reste limitée face aux alternatives ELK. Licence / déploiement : GPLv2, auto-hébergé ; une option cloud existe (Wazuh Cloud).

#2 - Elastic Security (stack ELK)

Ce que c’est : un SIEM bâti sur Elasticsearch, Logstash et Kibana, avec moteur de détection, vues d’investigation chronologiques et détection d’anomalies par machine learning. Le favori des développeurs pour sa flexibilité maximale.

Idéal pour : les équipes très techniques à l’aise avec le tuning de leur stack et l’écriture de logique de détection sur mesure.

Des langages de requête extrêmement puissants (KQL, EQL) pour la chasse aux menaces.
Conversion de règles SIGMA via l’outillage communautaire ; scalabilité horizontale pour les gros volumes.
L’un des connecteurs natifs officiellement maintenus d’OpenCTI : le connecteur de flux Elastic Security Intel pousse le renseignement directement dans les index Elasticsearch.

Ses limites : le palier gratuit (licence Basic) comporte de vraies restrictions - certaines capacités de détection et de ML exigent un abonnement payant - et la complexité de déploiement est élevée. Licence / déploiement : Elastic License 2.0 par défaut (source disponible) ; depuis 2024, le même code est aussi proposé sous AGPLv3, approuvée OSI. Auto-hébergé ou Elastic Cloud.

#3 - Security Onion

Ce que c’est : une distribution Linux dédiée à la chasse aux menaces, à la surveillance réseau et à la gestion de logs. Elle réunit Suricata (IDS), Zeek (analyse réseau), la stack Elastic et une console analyste dans une plateforme préconfigurée.

Idéal pour : les équipes SOC qui veulent une plateforme de surveillance réseau prête à déployer, sans des semaines d’intégration.

Une pile de détection pré-intégrée, sans assemblage.
Une forte visibilité réseau via Zeek et Suricata, en plus de la télémétrie hôte.
Une communauté active avec des mises à jour régulières de règles et de contenu.

Ses limites : une architecture volontairement rigide qui contraint les déploiements sur mesure, et un passage à l’échelle au-delà d’un capteur qui se planifie. Le renseignement s’intègre via TAXII 2.1 ou CSV. Licence / déploiement : GPL, auto-hébergé, conçu pour l’on-premise.

#4 - OpenSearch Security Analytics

Ce que c’est : le composant SIEM du projet OpenSearch, fork open source d’Elasticsearch soutenu par AWS : ingestion de logs, règles de détection compatibles SIGMA et intégration du renseignement dans l’écosystème OpenSearch.

Idéal pour : les équipes qui exploitent déjà OpenSearch, ou les environnements AWS natifs.

Support natif des règles SIGMA - importez les règles communautaires sans conversion.
Maintenu activement par AWS et la communauté ; s’intègre naturellement à CloudTrail, GuardDuty et VPC Flow Logs.
Licence open source pleinement approuvée OSI (Apache 2.0).

Ses limites : un projet plus jeune qu’Elastic Security - bibliothèque de contenu de détection et écosystème moins matures, intégration du renseignement plus manuelle. Licence / déploiement : Apache 2.0, auto-hébergé ou AWS OpenSearch Service.

#5 - Graylog Open

Ce que c’est : une plateforme de gestion de logs dotée de capacités SIEM. L’édition open source se concentre sur la collecte centralisée, la recherche et les alertes ; les paliers commerciaux ajoutent contenu sécurité et conformité.

Idéal pour : les équipes qui privilégient la gestion et la recherche de logs à l’ingénierie de détection, notamment avec de gros volumes de logs applicatifs et d’infrastructure.

Excellentes performances de recherche sur de grands volumes.
Traitement en pipeline flexible pour la normalisation et un système d’alerte solide.
Une charge opérationnelle plus faible qu’un déploiement ELK complet pour les usages centrés logs.

Ses limites : un contenu de détection sécurité intégré limité face à Wazuh ou Elastic Security - un outil de gestion de logs d’abord, un SIEM ensuite. Licence / déploiement : SSPL (non approuvée OSI), auto-hébergé.

#6 - OSSEC

Ce que c’est : l’un des plus anciens systèmes open source de détection d’intrusion hôte (HIDS) : analyse de logs, contrôle d’intégrité, détection de rootkits et réponse active.

Idéal pour : une surveillance hôte légère quand un agent SIEM complet n’est pas envisageable, et les environnements historiques où OSSEC est déjà déployé.

Un agent extrêmement léger avec un large support de plateformes (Linux, Windows, macOS, Solaris, AIX).
Une vaste bibliothèque de règles communautaires construite sur deux décennies.
Wazuh en est le successeur moderne, rétrocompatible avec les configurations OSSEC.

Ses limites : un développement du cœur nettement ralenti, une interface minimale, et un outil inadapté comme SIEM principal d’un SOC moderne. Licence / déploiement : GPLv2, auto-hébergé.

#7 - AlienVault OSSIM (retiré - pour référence)

Ce que c’est : le SIEM open source d’AT&T Cybersecurity, combinant découverte d’actifs, évaluation de vulnérabilités, détection d’intrusion et corrélation SIEM. Le développement est arrêté : dernière version en mai 2022, retrait confirmé.

Idéal pour : le contexte hérité uniquement - les équipes déjà sur OSSIM qui doivent planifier leur migration, généralement vers Wazuh. À noter : OTX (Open Threat Exchange) reste l’un des connecteurs natifs d’OpenCTI, indépendamment du retrait d’OSSIM.

Ses limites : aucun développement actif, des besoins matériels lourds et une interface datée - à ne pas évaluer pour de nouveaux déploiements. Licence / déploiement : GPLv2, appliance ou VM auto-hébergée.

#8 - UTMStack

Ce que c’est : une plateforme SIEM + SOAR open source plus récente qui combine gestion de logs, détection, réponse à incident et rapports de conformité dans une seule pile, à destination du mid-market.

Idéal pour : les équipes qui veulent un SIEM et des capacités SOAR de base sans déployer des plateformes séparées.

Des playbooks SOAR intégrés aux côtés de la corrélation SIEM.
Des modules de conformité PCI DSS, HIPAA et ISO 27001.
Une complexité de déploiement plus faible que les alternatives ELK, avec un développement actif.

Ses limites : une communauté et un écosystème plus réduits que Wazuh ou Elastic Security, et moins d’éprouvé à l’échelle entreprise. Licence / déploiement : AGPLv3 (copyleft - les modifications distribuées dans une offre hébergée doivent aussi être publiées), auto-hébergé.

Un mot sur Splunk Free (pas open source)

Le palier gratuit de Splunk n’est techniquement pas open source - le code n’est pas publié. Il revient souvent dans les évaluations, d’où l’importance de ses contraintes : le moteur de recherche et d’analytique le plus puissant de la catégorie et un immense écosystème d’applications, mais un plafond d’ingestion de 500 Mo/jour qui le rend impraticable en production. Un palier « essayer avant d’acheter », pas une option de production gratuite.

L’architecture qui manque à la plupart des équipes

Un SIEM traite des logs et génère des alertes - il vous dit qu’un événement s’est produit. Il ne dit pas qui est derrière l’activité, à quelle campagne elle appartient, ni quels autres actifs sont exposés. Ce contexte vient du renseignement sur les menaces, structuré et injecté automatiquement dans votre pile de détection.

SIEM

Collecte de logs, corrélation, alertes. Exemples : Wazuh, Elastic Security, Security Onion.

Plateforme de renseignement (TIP)

Stockage structuré de la CTI, enrichissement, gestion des indicateurs. Exemple : OpenCTI.

BAS / AEV

Tester en continu que vos détections SIEM se déclenchent face à de vraies techniques adverses. Exemple : OpenAEV.

Gestion de cas / SOAR

Réponse à incident et exécution de playbooks. Exemples : TheHive, Shuffle.

Comment OpenCTI se connecte à votre SIEM

OpenCTI est une plateforme de renseignement bâtie sur le modèle de données STIX 2.1. Elle stocke des objets CTI structurés - indicateurs, TTPs, acteurs, campagnes, malwares, vulnérabilités - et les met à disposition des systèmes en aval :

Collections TAXII 2.1 : des collections filtrables que votre SIEM interroge à intervalle régulier - la voie recommandée pour les SIEM sans connecteur dédié, dont Wazuh et Security Onion.
Connecteurs de flux natifs : diffusion temps réel des événements STIX vers Elastic Security Intel, AlienVault OTX et Splunk SOAR.
Flux CSV : des flux HTTP simples pour tout type d’entité.

Quand votre SIEM alerte sur une IP ou un hash suspect, l’analyste voit immédiatement l’attribution, les campagnes associées et la cartographie MITRE ATT&CK - sans quitter son workflow.

Découvrir OpenCTI

OpenCTI bi-directional integrations with SIEM, EDR and enrichment tools

Les intégrations SIEM/SOAR natives d’OpenCTI en un coup d’œil

Les trois intégrations à évaluer en premier si la synchronisation native temps réel est une exigence - plus TAXII 2.1 et les flux CSV pour toutes les autres plateformes.

Elastic Security Intel

Connecteur de flux temps réel qui pousse les indicateurs STIX directement dans Elasticsearch pour la corrélation de détection.

Voir sur le XTM Hub

AlienVault OTX

Connecteur de flux communautaire qui ingère pulses et indicateurs d’Open Threat Exchange dans OpenCTI.

Voir sur le XTM Hub

Splunk SOAR

Intègre le renseignement OpenCTI dans la gestion de cas et les playbooks du SOAR de Splunk.

Voir sur le XTM Hub

Choisir le bon SIEM open source pour votre pile

Il n’existe pas de réponse universelle, mais des tendances claires :

Pour l’expérience la plus complète prête à l’emploi : commencez par Wazuh. Il couvre le plus de terrain avec le moins d’assemblage et possède la communauté la plus active.
Pour une flexibilité maximale avec une forte capacité d’ingénierie : Elastic Security offre les capacités de requête et d’analytique les plus puissantes, plus un connecteur OpenCTI natif - au prix d’un investissement de tuning conséquent.
Si la visibilité réseau est votre priorité : Security Onion réunit Zeek et Suricata aux côtés des capacités SIEM, conçu pour la surveillance réseau.
Si vous êtes AWS natif : OpenSearch Security Analytics est le choix naturel, avec le support SIGMA natif et une intégration propre aux services AWS.

Quel que soit votre choix : prévoyez la couche de renseignement dès le départ. Ajouter une intégration TIP à un déploiement SIEM mature est plus difficile que de la concevoir en amont.

Questions fréquentes

Quel est le meilleur SIEM open source en 2026 ?

Il n’y a pas de « meilleur » unique - tout dépend de vos priorités. Wazuh offre l’expérience la plus complète prête à l’emploi. Elastic Security offre la plus grande flexibilité aux équipes capables de l’ajuster. Security Onion est conçu pour la surveillance réseau, et OpenSearch Security Analytics est le choix naturel des environnements AWS.

Elastic Security est-il vraiment open source ?

C’est compliqué. Elastic Security est livré par défaut sous Elastic License 2.0, dont le code est disponible mais qui n’est pas approuvée OSI. Depuis 2024, Elastic propose aussi le même code sous AGPLv3, approuvée OSI. Vérifiez quelle licence s’applique à la version que vous déployez.

OpenCTI s’intègre-t-il avec Wazuh ?

Pas via un connecteur de flux natif dédié à ce jour. Les connecteurs natifs officiellement maintenus d’OpenCTI concernent Elastic Security Intel, AlienVault OTX et Splunk SOAR. Les utilisateurs de Wazuh et Security Onion peuvent intégrer le renseignement via les collections TAXII 2.1 ou les flux CSV d’OpenCTI, supportés nativement par la plupart des SIEM modernes.

Quelle est la différence entre un SIEM et une plateforme de renseignement (TIP) ?

Un SIEM collecte, corrèle et alerte sur des logs - il vous dit qu’un événement s’est produit. Une TIP comme OpenCTI stocke des données de menace structurées et contextualisées (indicateurs, TTPs, acteurs, campagnes) et enrichit ces alertes : qui est probablement derrière l’activité et que faire. Les deux couches sont complémentaires, pas interchangeables.

Qu’est-ce que le BAS/AEV et quel rapport avec mon SIEM ?

Les outils de simulation d’attaques / validation adversariale des expositions (BAS/AEV), comme OpenAEV, exécutent de vraies techniques adverses dans votre environnement pour vérifier que vos règles de détection SIEM se déclenchent réellement. Ils bouclent la boucle entre « nous avons écrit une règle » et « nous avons vérifié qu’elle fonctionne », et leurs résultats alimentent le tuning de votre SIEM.

Splunk Free est-il vraiment open source ?

Non. Le palier gratuit de Splunk est un logiciel propriétaire avec un plafond d’ingestion de 500 Mo/jour - le code source n’est pas publié. Utile pour l’évaluation, le développement ou de très petits déploiements, mais ce n’est pas un SIEM open source et ce n’est pas viable pour un SOC de production à l’échelle.

Rendez votre SIEM informé par la menace.

Parcourez plus de 390 connecteurs, flux et intégrations pour OpenCTI - dont les connecteurs natifs Elastic Security Intel, AlienVault OTX et Splunk SOAR - sur le XTM Hub.

Explorer le XTM Hub Demander une démo