Notre expertise a deux adresses ! Pour découvrir l’univers Collaboration & Espaces de réunion :
Dans la plupart des post-mortems, l’alerte existait. Elle avait été générée, horodatée, stockée. Personne ne l’a lue.
C’est le vrai sujet des outils SOC. Pas la couverture fonctionnelle, mais la capacité d’un signal à atteindre la bonne personne avec assez de contexte pour décider. Une confusion revient d’ailleurs constamment sur ce terrain : beaucoup d’outils présentés comme des outils SOC n’en sont pas. Ils surveillent la disponibilité, pas l’intention. La distinction change tout au moment d’arbitrer un budget.
À retenir
Une croyance tenace veut que la maturité d’un SOC se mesure au nombre de briques déployées. Les données disent l’inverse.
Le rapport State of the SOC: Unify Now or Pay Later, réalisé par Omdia pour Microsoft, établit que les équipes de sécurité jonglent avec un nombre de consoles à deux chiffres et que près de la moitié des alertes ne font jamais l’objet d’une investigation (source : Omdia / Microsoft, février 2026). Le SANS Institute converge : 73 % des organisations citent les faux positifs comme leur principal obstacle en détection (source : SANS 2025 Detection and Response Survey).
Le goulet d’étranglement n’est pas technologique. Il est cognitif. Chaque console ajoute un contexte à reconstruire, une syntaxe de requête, une convention de nommage. Sous pression, ce coût de bascule pèse plus lourd que n’importe quelle fonctionnalité avancée.
Le SIEM ne mesure pas la santé d’un système. Il collecte des journaux et fait émerger des séquences qu’aucun outil isolé ne verrait.
Splunk s’est construit comme une plateforme d’analyse de données avant de devenir un SIEM via sa surcouche Enterprise Security. Son langage de requête en fait un outil d’enquête redoutable, capable de remonter loin dans l’historique. Le revers est connu : une facturation historiquement indexée sur le volume ingéré transforme chaque nouvelle source de logs en arbitrage budgétaire. Le produit est aujourd’hui dans le giron de Cisco.
QRadar raisonne autour de la notion d’offense. Le moteur agrège plusieurs événements corrélés en un incident unique, ce qui limite mécaniquement le bruit présenté à l’analyste.
Un point demande vigilance avant tout projet. Palo Alto Networks a finalisé le 31 août 2024 le rachat des actifs QRadar SaaS d’IBM, puis annoncé leur fin de commercialisation à compter du 14 avril 2025, avec une trajectoire de migration vers Cortex XSIAM. La version installée sur site n’est pas concernée : IBM continue d’en assurer le support, les correctifs et les mises à jour de connecteurs. Toute organisation qui envisage QRadar doit donc clarifier d’emblée le mode de déploiement retenu.
Wazuh, issu de l’écosystème OSSEC, combine des fonctions de SIEM et de protection des terminaux : contrôle d’intégrité des fichiers, détection d’intrusion sur hôte, tableaux de bord de conformité. Aucun coût de licence. Le budget se déplace intégralement vers l’ingénierie interne, ce qui en fait un excellent point d’entrée pour les structures disposant d’une vraie équipe technique, et un piège pour celles qui comptent sur deux personnes polyvalentes.
SolarWinds mérite une mention à part, car le nom recouvre deux réalités. La suite Observability relève de la supervision IT. En revanche, Security Event Manager est bien un SIEM, distribué sous forme d’appliance virtuelle sur site, avec une licence assise sur le nombre de sources émettrices de logs plutôt que sur le volume. Ce modèle de facturation constitue son principal argument face aux plateformes qui taxent le téraoctet.
Voici l’angle mort. Une plateforme de supervision surveille la disponibilité et la performance : un service qui tombe, une charge anormale, un processus qui redémarre en boucle. Ce sont parfois les traces qu’un attaquant laisse sans le vouloir, mais aucun de ces outils n’est conçu pour reconnaître un mode opératoire adverse.
Centreon occupe une place à part dans le paysage français. Éditeur hexagonal, collecteurs distribués, socle open source complété par des éditions commerciales. Sa capacité à modéliser des services métier permet de traduire un incident technique en impact compréhensible par une direction. Précieux en salle de crise, inopérant en détection.
Zabbix offre une couverture remarquable pour un budget logiciel nul, au prix d’une configuration exigeante. WhatsUp Gold vise les équipes réseau réduites : découverte automatique, cartographie visuelle. L’outil fait rapidement apparaître ce qui est branché où, information que beaucoup peinent à produire en pleine crise.
NinjaOne relève encore d’une autre catégorie, celle de la gestion de parc : inventaire, correctifs, prise en main à distance. Son intérêt pour un SOC tient à la remédiation. L’ANSSI observe que près de 29 % des vulnérabilités exploitées en 2025 l’ont été le jour même de leur divulgation, voire avant (source : ANSSI, Panorama de la cybermenace 2025). La vitesse de déploiement d’un correctif devient un paramètre de sécurité à part entière.
| Outil | Catégorie réelle | Rôle vis-à-vis du SOC |
| Splunk ES | SIEM | Détection et enquête |
| IBM QRadar | SIEM | Détection, corrélation par offense |
| Wazuh | SIEM et XDR open source | Détection, conformité |
| SolarWinds SEM | SIEM sur site | Détection, licence par source |
| Centreon | Supervision IT | Source de contexte, services métier |
| Zabbix | Supervision IT | Source de contexte infrastructure |
| WhatsUp Gold | Supervision réseau | Cartographie, inventaire |
| NinjaOne | Gestion de parc | Remédiation, correctifs |
Aucun SIEM ne suffit seul. Trois compléments s’imposent selon le périmètre.
L’EDR couvre les terminaux, et c’est là que naît l’essentiel des alertes : les remontées endpoint constituent le premier déclencheur d’intervention pour 85 % des analystes interrogés par le SANS Institute (source : SANS 2025 SOC Survey). Cette domination traduit aussi la faiblesse de la couverture ailleurs.
Le NDR prend le relais sur les actifs qui refusent tout agent. Sur un site industriel, automates, capteurs et matériels anciens se comptent par dizaines. Ce sont exactement les équipements que visait l’attaque Triton en 2017, quand des assaillants ont ciblé les systèmes de sécurité d’une usine pétrochimique saoudienne. Un défaut dans le code malveillant a provoqué l’arrêt de l’installation, ce qui a permis de découvrir l’intrusion.
Le SOAR absorbe enfin les gestes répétitifs. Selon IBM, les organisations qui recourent massivement à l’IA et à l’automatisation raccourcissent de 80 jours le cycle de vie d’une violation et économisent 1,9 million de dollars en moyenne (source : IBM, Cost of a Data Breach Report 2025).
Un analyste travaille sur ses écrans. Une équipe travaille sur une vision partagée. Dès qu’il faut réunir un RSSI, un responsable réseau et une direction générale, la différence devient sévère.
Le mur d’images hiérarchise : état du périmètre, incidents en cours, charge des équipes. Il permet surtout de basculer instantanément l’écran d’un poste opérateur vers l’affichage commun. Tout le monde regarde alors la même chose au même moment.
Dès qu’un SIEM et une plateforme de supervision cohabitent, l’hypervision ajoute une couche de synthèse au-dessus des outils spécialisés. Motilde intègre ces plateformes sans parti pris pour un éditeur, ce qui permet de conserver l’existant. L’intérêt saute aux yeux quand un SOC et un NOC coexistent : la lecture croisée distingue souvent une panne d’une attaque en quelques minutes.
Reste le facteur humain. Le SANS Institute relève que 70 % des analystes ayant cinq ans d’expérience ou moins quittent leur poste dans les trois ans. Or repérer une anomalie suppose de connaître intimement ce qui est normal ici. Cette connaissance part avec les gens, et l’ergonomie de l’espace de contrôle figure parmi les leviers de rétention les plus concrets.
Acheter avant de savoir ce qu’on cherche. Dix à quinze scénarios de détection prioritaires suffisent à orienter la sélection. L’inverse produit un SIEM gorgé de logs et vide de détections. Le SANS Institute observe d’ailleurs que 42 % des SOC déversent l’intégralité de leurs données dans leur SIEM sans plan d’analyse.
Confondre supervision et détection. Un Centreon ou un Zabbix parfaitement déployé ne remplacera jamais un SIEM. Il l’alimente.
Traiter la salle comme un détail de fin de chantier. La question de l’aménagement de l’espace de contrôle se pose en même temps que celle des licences, pas avec le budget résiduel.
La supervision IT, avec Centreon, Zabbix ou WhatsUp Gold, mesure la disponibilité et la performance. Le SIEM, avec Splunk, QRadar ou Wazuh, cherche des séquences révélatrices d’une intention malveillante. Un pic de charge inexpliqué intéresse les deux équipes, mais seul le SIEM sait le rapprocher d’une authentification suspecte survenue trois heures plus tôt.
Un SIEM pour corréler, un EDR pour les terminaux, un outil de gestion de cas pour tracer les investigations. Le NDR devient nécessaire dès que le périmètre comporte des actifs sans agent. Le SOAR s’impose quand le volume dépasse la capacité de traitement manuel.
Techniquement oui. Wazuh couvre une bonne partie du spectre SIEM et endpoint, Zabbix assure la supervision d’infrastructure, le socle open source de Centreon complète sur les services métier. Le coût ne disparaît pas, il se déplace vers l’ingénierie interne.
En version sur site, oui : IBM continue d’en assurer le support et les mises à jour. La version SaaS, en revanche, a été cédée à Palo Alto Networks en 2024 puis retirée de la vente en 2025, avec une trajectoire de migration vers Cortex XSIAM. La question du mode de déploiement doit être tranchée avant toute décision.
Quatre indicateurs suffisent : délai de détection, délai de confinement, taux de faux positifs et part d’alertes clôturées sans investigation. Ce dernier chiffre est le plus honnête.
Les outils SOC ne se choisissent pas un par un. Ils forment une chaîne, et la première décision consiste à distinguer ce qui détecte de ce qui observe.
La suite se joue sur un terrain encore peu occupé. L’ANSSI recense 196 incidents liés à des exfiltrations de données en 2025 contre 130 l’année précédente, et souligne l’émergence d’attaques aux effets physiques. Les centres opérationnels devront réunir dans un même espace des données de sécurité, de réseau et de procédé. C’est le terrain de Motilde, de l’architecture technique à la conception de l’espace.
Copyright © 2026. MOTILDE. All rights reserved.