Un serveur domestique exposé à internet est découvert en minutes, pas en heures. Les scanners IPv4 modernes balayent tout l’espace d’adressage toutes les quelques heures, et n’importe quel port répondant sur 22, 80, 443, 8080 ou 32400 commencera à recevoir des attaques par force brute, des tests d’exploits et des tentatives de connexion volumétriques presque immédiatement. L’hypothèse selon laquelle “ma maison est trop petite pour être une cible” a cessé d’être vraie vers 2018. Le trafic est automatisé et se moque de quel serveur il atterrit.
Nous avons testé les 7 meilleures applications de détection d’intrusion pour serveurs domestiques en 2026, s’exécutant toutes du côté bureau de la pile (principalement Linux, avec couverture Windows et macOS le cas échéant). La liste couvre les parseurs de journaux qui bloquent les attaquants avant qu’ils ne terminent de taper, les flux de menaces collaboratifs qui partagent la réputation des IP entre les utilisateurs, les systèmes complets de détection d’intrusion basés sur l’hôte qui surveillent l’intégrité des fichiers et le comportement des processus, et les capteurs côté réseau qui inspectent les flux de paquets pour les modèles d’attaque connus.
Ce qu’il faut rechercher dans une application de détection d’intrusion pour serveur domestique
Choisissez un outil qui :
- S’exécute sur le même hôte que vous avez déjà. Ajouter une machine entièrement nouvelle pour exécuter les outils de sécurité, c’est comment les laboratoires domestiques accumulent la poussière.
- Dispose d’un ensemble de règles par défaut fonctionnel. Un outil qui nécessite deux semaines d’ajustement avant de bloquer quoi que ce soit finit par être désactivé.
- Interdit au niveau du pare-feu, pas seulement dans l’application. Bloquer l’IP d’un scanneur avec iptables ou nftables est beaucoup moins cher que de faire négocier SSH 400 fois.
- Envoie des alertes là où vous les lisez réellement (webhook Discord, push Gotify, email). Les journaux que personne ne lit ne sont que de la décoration.
- N’exige pas de s’inscrire à un service cloud pour fonctionner. Le but est de réduire les dépendances, pas de les augmenter.
Comparaison rapide
| Application | Meilleur pour | Plates-formes | Portée de détection | Renseignement communautaire |
|---|---|---|---|---|
| CrowdSec | Parseur de journaux avec réputation partagée | Linux, Docker, Windows | Basée sur les journaux | Oui, flux IP partagé |
| Fail2ban | Le classique, toujours livré partout | Linux, FreeBSD | Basée sur les journaux | Non |
| Wazuh | HIDS complet avec tableau de bord et intégrité des fichiers | Linux, Windows, macOS | Journaux + FIM + rootkit | Optionnel |
| Suricata | IDS réseau avec écosystème de signatures riche | Linux, Windows, FreeBSD | Inspection des paquets réseau | Via ET Open |
| Snort | IDS réseau original avec règles Cisco Talos | Linux, Windows, FreeBSD | Inspection des paquets réseau | Via règles communautaires |
| OSSEC | HIDS open source de longue date | Linux, Windows, macOS | Journaux + FIM + rootkit | Non |
| Security Onion | Distribution IDS/SIEM complète | Appliance Linux dédiée | Réseau + hôte + SIEM | Oui |
Pourquoi les serveurs domestiques ont besoin de la détection d’intrusion maintenant
L’économie de la numérisation s’est industrialisée. Les botnets louent le temps de numérisation, les listes d’objectifs sont échangées sur les canaux Telegram, et le temps moyen entre l’exposition d’un nouveau port et la réception de la première tentative de connexion est inférieur à dix minutes. Une fois qu’un attaquant obtient des identifiants valides, il revend ces identifiants à une deuxième couche d’acheteurs qui les utilisent pour l’exploitation minière de cryptomonnaies, le relais de spam ou comme saut proxy pour d’autres attaques. Un serveur domestique n’a pas besoin de contenir des données précieuses pour être une cible précieuse ; les identifiants valides eux-mêmes constituent la charge utile.
Deuxièmement, les services auto-hébergés ont grandi. Immich, Jellyfin, Vaultwarden, Home Assistant et Nextcloud contiennent tous des données importantes : photos de famille, coffres-forts de mots de passe, caméras de sécurité domestique. Le rayon de blast d’un compromis est maintenant réel, et les outils qui avaient l’habitude d’être “SOC d’entreprise” sont maintenant expédiés sous forme d’emballage pour les ménages.
Les applications
1. CrowdSec — meilleur parseur de journaux avec réputation partagée
CrowdSec analyse les journaux locaux (SSH, Nginx, Apache, Traefik, Home Assistant, Docker et des dizaines d’autres), détecte les comportements abusifs avec des scénarios enfichables et pousse les adresses IP contrevenantes vers un bouncer par hôte qui interdit au niveau du pare-feu. Le différentiateur est le flux communautaire partagé : chaque agent CrowdSec contribue des signaux d’attaque anonymisés, et chaque agent bénéficie de la liste de réputation agrégée. Les bouncers de liste noire pour iptables, nftables, Nginx, Traefik, Cloudflare, HAProxy et Windows Defender sont expédiés en tant que packages de première partie.
Où il faut court: Le système de scénarios est puissant mais a une courbe d’apprentissage. Certains bouncers tiers (Windows Firewall, anciennes versions nginx) prennent du retard sur le chemin Linux/Docker en matière de fonctionnalités.
Plates-formes: Linux (paquets Debian/Ubuntu/RHEL/Alpine), Docker, Windows, FreeBSD.
Télécharger: CrowdSec install
Conclusion: Le bon choix par défaut pour un serveur domestique moderne exécutant un mélange de services web derrière un proxy inverse.
2. Fail2ban — meilleur classique toujours livré partout
Fail2ban est l’outil que chaque distribution livraie dans ses dépôts par défaut et que chaque tutoriel de “durcissement” de fournisseur VPS mentionne. Suivez un fichier journal, correspondez à un motif d’échec avec une expression régulière, et après N correspondances dans une fenêtre, interdisez l’IP source avec iptables pour une durée configurable. Il le fait de manière fiable depuis 2004, et les configurations des prisons pour les services courants sont bien testées.
Où il faut court: Aucun flux de réputation partagée, aucune inspection de paquets, aucune surveillance de l’intégrité des fichiers. Chaque serveur domestique exécutant Fail2ban commence à partir de zéro connaissance ; un bot qui a déjà scanné un million d’autres serveurs est toujours un visiteur de première fois.
Plates-formes: Linux, FreeBSD. Largement emballé.
Télécharger: Fail2ban install
Conclusion: Le strict minimum sur n’importe quel serveur Linux, même s’il est ensuite remplacé par CrowdSec.
3. Wazuh — meilleur HIDS complet avec tableau de bord et intégrité des fichiers
Wazuh est la plateforme de détection d’intrusion basée sur l’hôte open source qui a grandi à partir de la base de code OSSEC et est maintenant livrée avec un tableau de bord moderne, une couche de gestionnaire et des agents pour chaque système d’exploitation majeur. Au-delà de l’analyse des journaux, Wazuh surveille l’intégrité des fichiers (signale les modifications apportées à /etc, /root ou des chemins spécifiés), détecte les rootkits, surveille les violations des points de repère CIS et corrige les données de vulnérabilité par rapport aux packages installés. Le tableau de bord utilise OpenSearch et offre une vue d’investigation appropriée de ce qui s’est passé.
Où il faut court: Lourd pour un déploiement domestique : le gestionnaire et le tableau de bord veulent une quantité décente de RAM et de disque. Conçu pour les flottes de dizaines à des milliers d’agents ; l’exécuter pour deux serveurs domestiques est excessif à moins que vous n’aimiez les outils.
Plates-formes: Gestionnaire sur Linux ; agents pour Linux, Windows, macOS, Solaris, AIX. Les déploiements Docker et Kubernetes sont pris en charge.
Télécharger: Wazuh installation
Conclusion: Le bon choix pour un laboratoire domestique qui a grandi en une petite flotte et qui veut un vrai tableau de bord d’investigation.
4. Suricata — meilleur IDS réseau avec écosystème de signatures riche
Suricata inspecte le trafic réseau au débit ligne, fait correspondre les menaces émergentes ou les flux de règles commerciales, et émet des alertes et (en mode inline) des rejets pour les modèles d’attaque connus. L’exécuter sur la passerelle réseau ou sur un port en miroir détecte les attaques que les journaux d’application ne voient jamais : des exploits contre les services que vous ne saviez pas être à l’écoute, un mouvement latéral entre les appareils compromis, des tentatives d’exfiltration DNS. L’écosystème de règles via ET Open est grand et mis à jour fréquemment.
Où il faut court: Le mode inline (IPS) nécessite une architecture tap ou miroir qu’un routeur domestique ne peut généralement pas fournir sans matériel supplémentaire. La triage des alertes est une compétence réelle ; attendez-vous au bruit jusqu’à ce que l’ensemble de règles soit réglé.
Plates-formes: Linux, Windows, FreeBSD, macOS. Packages natifs pour la plupart des distributions.
Télécharger: Suricata download
Conclusion: Le bon choix lorsque le laboratoire domestique dispose d’un routeur dédié ou d’une carte NIC de secours et que quelqu’un au foyer apprécie les détails au niveau des paquets.
5. Snort — meilleur IDS réseau original avec règles Cisco Talos
Snort est l’IDS réseau auquel tout le reste se compare. Snort 3 a réécrit les éléments internes, ajouté le multi-threading et rendu la création de règles plus accessible. L’ensemble de règles de la communauté Cisco Talos couvre un large éventail de signatures d’exploit, et le niveau d’abonnement ajoute des versions de règles plus rapides si cela vous importe. La configuration est plus accessible que Suricata pour quelqu’un qui commence à zéro.
Où il faut court: Historiquement plus lent que Suricata au débit ligne ; l’écart s’est réduit avec Snort 3 mais existe toujours sur les liaisons lourdes. L’ensemble de règles d’abonnement est significativement meilleur que les règles communautaires gratuites, ce qui complique le message “open source et gratuit”.
Plates-formes: Linux, Windows, FreeBSD, macOS.
Télécharger: Snort downloads
Conclusion: Le bon choix lorsque vous voulez un IDS réseau avec le plus grand ensemble de règles de fournisseur unique et une courbe plus douce que Suricata.
6. OSSEC — meilleur HIDS open source de longue date
OSSEC est le système de détection d’intrusion basé sur l’hôte qui fonctionne silencieusement depuis 2008. Les agents transfèrent les événements de journal, les vérifications d’intégrité des fichiers et les analyses de rootkit vers un gestionnaire qui corrige et alerte. L’ensemble de règles est mature, l’empreinte des ressources est petite et le modèle de déploiement est simple.
Où il faut court: L’histoire du tableau de bord est à la traîne de Wazuh (qui s’est d’ailleurs séparée d’OSSEC précisément pour corriger cela). Le tempo des versions est plus lent que les projets plus récents ; attendez-vous à moins de fonctionnalités étendues par an.
Plates-formes: Gestionnaire sur Linux ; agents pour Linux, Windows, macOS, Solaris, AIX, HP-UX.
Télécharger: OSSEC download
Conclusion: Le bon choix lorsque vous voulez un petit HIDS stable et que vous préférez l’historique d’OSSEC au tableau de bord de Wazuh.
7. Security Onion — meilleure distribution IDS/SIEM complète
Security Onion est la distribution emballée qui combine Suricata, Zeek, Wazuh, une pile OpenSearch et une interface de gestion de cas dans un appareil clé en main. Démarrez l’ISO, suivez l’assistant, et finissez par un IDS réseau, un HIDS, un SIEM complet et un espace de travail de chasse sur une seule machine dédiée. La courbe d’apprentissage est réelle mais les outils sont les mêmes utilisés dans les SOC d’entreprise.
Où il faut court: Veut du matériel dédié : minimum 16 Go de RAM pour un petit déploiement, 32 Go ou plus pour quelque chose de sérieux. Ce n’est pas quelque chose à exécuter aux côtés de votre serveur multimédia sur la même boîte.
Plates-formes: Appliance Linux dédiée (base Ubuntu ou Oracle Linux). Options VMware, VirtualBox et image cloud.
Télécharger: Security Onion downloads
Conclusion: Le bon choix lorsque le laboratoire domestique dispose d’un mini PC de secours à consacrer aux outils de sécurité et que vous voulez la pile complète en une seule installation.
Comment choisir le bon
- Si vous voulez que la protection fonctionne avant le dîner et exécutez des services web derrière Nginx ou Traefik : CrowdSec.
- Si vous avez seulement besoin de protection contre les attaques SSH par force brute et que vous voulez zéro nouvelles dépendances : Fail2ban.
- Si votre laboratoire domestique a grandi en une petite flotte et que vous voulez un vrai tableau de bord : Wazuh.
- Si vous voulez voir les attaques que les journaux d’application ne peuvent pas montrer : Suricata.
- Si vous voulez un IDS réseau avec un grand ensemble de règles de fournisseur unique derrière : Snort.
- Si vous préférez le HIDS de longue date avec une petite empreinte : OSSEC.
- Si vous disposez d’une boîte de secours à consacrer et que vous voulez la pile SOC complète en une seule installation : Security Onion.
La plupart des ménages doivent exécuter un minimum Fail2ban sur n’importe quel serveur exposé plus CrowdSec sur le proxy inverse. Cette combinaison capture 95% du trafic automatisé avec une heure de configuration. Tout le reste est destiné aux laboratoires domestiques qui se sont lancés dans les petits environnements de production.
FAQ
Fail2ban est-il suffisant seul ?
Pour un serveur SSH légèrement exposé, oui. Pour un laboratoire domestique qui exécute également un proxy inverse, plusieurs applications web et un serveur multimédia, non : Fail2ban n’a aucune donnée de réputation partagée, donc chaque attaquant obtient un nouveau départ sur votre machine. Appariez-le avec CrowdSec ou remplacez-le entièrement.
Une application de détection d’intrusion ralentira-t-elle mon serveur ?
Les outils de parsage de journaux (CrowdSec, Fail2ban) utilisent un processeur négligeable. Les agents basés sur l’hôte (Wazuh, OSSEC) ajoutent quelques pourcentages sur une machine occupée. L’IDS réseau (Suricata, Snort) est le plus lourd et dépend de la vitesse du lien ; une ligne domestique gigabit est bien à portée de n’importe quel CPU moderne.
Ai-je besoin de la détection d’intrusion si j’utilise un VPN mesh au lieu de la redirection de port ?
Oui, mais une version plus légère. Un VPN mesh élimine la surface exposée à internet, mais un ordinateur portable compromis sur le maillage peut toujours accéder à chaque service exposé sur la superposition. Un HIDS sur le serveur détecte le mouvement latéral que le VPN ne peut pas voir.
Quelle est la différence entre HIDS et NIDS ?
Un système de détection d’intrusion basé sur l’hôte (HIDS) s’exécute sur le serveur et surveille ses journaux, ses fichiers et ses processus. Un système de détection d’intrusion réseau (NIDS) surveille le trafic sur le fil et détecte les modèles d’attaque connus. HIDS est ce que la plupart des laboratoires domestiques ont réellement besoin ; NIDS est une étape supplémentaire lorsque vous voulez voir les attaques que les applications elles-mêmes ne journalisent pas.
Dois-je utiliser le mode inline (IPS) ou l’alerte passive (IDS) ?
Commencez passive. Le mode inline abandonne le trafic basé sur l’ensemble de règles, ce qui est puissant et aussi comment vous bloquez accidentellement votre grand-mère de votre serveur photo. Exécutez passivement pendant une semaine, regardez ce qui déclenche, ajustez les règles bruyantes, puis décidez d’activer le mode inline pour des catégories de règles spécifiques.
