Flavien
PRADIER

L'hôte est relié à la box en Wi-Fi, et une carte Wi-Fi en mode client ne sait pas faire de pont. La machine devient donc un routeur : routage IP, traduction d'adresses en sortie, DHCP et DNS internes. Chaque périmètre a son sous-réseau, et le passage de l'un à l'autre est refusé par défaut.

Tailscale, et aucun port ouvert. Chaque machine rejoint un réseau privé chiffré et reçoit sa propre adresse ; je joins le serveur depuis n'importe où sans rien publier sur Internet, sans redirection de port et sans toucher à la configuration de la box. Une redirection, c'est une porte ouverte en permanence sur un service qu'il faut alors durcir tout seul — ici, il n'y a pas de porte du tout.

Security Operations Center — l'équipe et les outils qui surveillent un système d'information en continu. Techniquement, trois gestes.

Le but n'est pas d'empêcher l'attaque : le pare-feu s'en charge, et il échoue parfois. Le but, c'est de la voir — le délai moyen entre une intrusion et sa découverte se compte encore en semaines.

Liste écrite avant d'installer quoi que ce soit. Elle sert deux fois : d'objectif, puis de recette de test.

Le point où les deux chapitres se rejoignent : ce n'est pas un script maison qui porte les alertes, c'est le n8n du chapitre 1. Il tourne déjà, il sait parler à Discord, et toute la logique de tri vit chez lui plutôt que dans le SIEM.

Ça se lit de haut en bas. Les machines écrivent leurs journaux, Wazuh les compare à ses règles et met une note de gravité, n8n reçoit l'alerte et choisit le canal. Tout arrive sur Discord — seule l'insistance change : une alerte critique me mentionne et fait sonner le téléphone, une alerte d'information se dépose dans un canal calme que je lis quand je veux. Rien n'est jamais enterré en silence.

Le compromis, assumé : n8n devient un point de passage obligé. S'il tombe, plus rien ne part. Dans un SOC d'entreprise ce serait rédhibitoire ; ici, faire surveiller n8n par Wazuh suffit à le rattraper.

Chaque brique fait une seule chose. C'est leur assemblage qui fait le SOC.

Les agents

L'oreille sur chaque machine. Un petit programme installé sur chaque poste Windows et Linux : il envoie les journaux, surveille les fichiers sensibles et signale ce qui change. Sans lui, chaque machine garde ses traces pour elle et personne ne les lit jamais.

Wazuh

Le cerveau. C'est le SIEM : il rassemble les journaux de tout le monde au même endroit, les confronte à des règles de détection et attribue une note de gravité. C'est lui qui transforme une ligne de log illisible en « quelqu'un essaie de forcer un mot de passe ».

Suricata

Le témoin indépendant. Il n'écoute pas les machines, il regarde les paquets qui circulent sur le réseau. La nuance est décisive : Wazuh entend ce que les machines déclarent, Suricata voit ce qu'elles font. Le jour où une machine est compromise et se tait, c'est lui qui parle.

n8n

Le facteur. Il ne détecte rien du tout : il reçoit l'alerte de Wazuh, la met en forme et décide où l'envoyer selon sa gravité. Tout le tri vit ici — changer un seuil, c'est déplacer une condition, sans toucher au SIEM ni redémarrer quoi que ce soit.

Le bot Discord

La sortie. C'est là que l'alerte arrive, formatée et lisible d'un coup d'œil : quoi, où, à quel point c'est grave. Discord est déjà l'application où tombe ma veille technologique — une seule à surveiller, donc des alertes réellement lues.

Hermes

Le traducteur. Mon agent IA du chapitre 1, branché sur le même Discord. Quand une règle sonne et que son intitulé ne me dit rien, je lui demande ce qu'elle surveille et ce qu'il faut vérifier en premier. Il ne décide pas à ma place, il raccourcit le temps de compréhension.

Maquettes — le dispositif n'est pas encore monté. Ce sont les deux premières alertes que je devrai voir arriver pour de vrai.

Six étapes. Chacune doit tenir seule avant la suivante, sinon on ne sait plus ce qui casse.