3 incidents réels qui ont révélé des menaces cachées dans mon réseau domestique intelligent
Chez ZimaSpace, nous sommes entièrement dédiés à équiper les makers, bricoleurs et passionnés de homelab avec du matériel compact mais extrêmement performant qui fonctionne 24h/24 et 7j/7 sans faire exploser votre facture d’électricité. C’est pourquoi nous sommes ravis d’adapter et de partager ce guide approfondi de BeardedTinker, un YouTuber passionné de domotique et de homelab, connu pour transformer des projets d’infrastructure complexes en tutoriels pratiques et concrets sur sa chaîne.
Merci à BeardedTinker pour avoir créé une vidéo aussi complète et transparente. Nous avons transformé la transcription originale en cet article de blog en anglais soigné afin que davantage de lecteurs dans la communauté tech puissent en bénéficier. L’objectif ? Montrer exactement comment le ZimaBoard 2 — notre serveur domestique monocarte hyper-performant — alimente un système SIEM (Security Information and Event Management) professionnel mais accessible, qui offre à votre maison intelligente et à votre homelab une véritable visibilité sur ce qui se passe sur le réseau.
Il y a deux semaines, à 2h13 du matin, quelque chose a commencé à scanner le réseau : SSH, puis HTTPS, puis Home Assistant. Des bots scannent constamment des plages d’IP à la recherche de services exposés, mais la vraie question n’est pas de savoir si cela arrive. La vraie question est : votre maison intelligente le remarquerait-elle ?
Cette simple pensée a déclenché un projet complet qui a nécessité plus de quatre mois de planification, de tests et d’itérations. Aujourd’hui, nous le décomposons étape par étape pour que vous puissiez décider si un SIEM a sa place dans votre propre installation.
Qu’est-ce qu’un SIEM (et pourquoi c’est important à la maison)
SIEM signifie Security Information and Event Management. En termes simples, il collecte les journaux de chaque appareil sur votre réseau puis les corrèle pour détecter des motifs que les systèmes individuels ne verraient pas. Une simple chute de firewall peut sembler anodine. Mais quand le SIEM voit un scan de ports depuis la même IP, suivi d’échecs de connexion sur votre NAS, puis d’une authentification réussie sur Home Assistant, il raconte soudain une histoire complète.
Pour la plupart des maisons intelligentes simples, c’est excessif. Mais dès que votre installation ressemble davantage à une vraie infrastructure qu’à un simple ensemble de gadgets, la visibilité devient extrêmement utile — car le plus gros problème dans la plupart des réseaux domestiques n’est pas les attaques, c’est simplement de ne pas savoir ce qui se passe.
L’architecture : la surveillance indépendante est primordiale
La décision de conception la plus importante a été de faire fonctionner le SIEM complètement en dehors des systèmes qu’il surveille. Les systèmes de surveillance doivent toujours être indépendants des systèmes qu’ils surveillent. Si Home Assistant plante ou si le NAS est hors ligne, le SIEM doit toujours pouvoir voir et enregistrer ces événements.
Dans cette architecture :
- Les journaux du firewall et IDS UniFi arrivent via syslog.
- Les événements d’authentification du NAS Synology sont transmis.
- Home Assistant envoie lui-même des événements structurés via un add-on agent Wazuh personnalisé.
Tous les signaux convergent en un seul endroit où des règles de corrélation transforment les journaux bruts en alertes exploitables.
Choix du matériel : pourquoi le ZimaBoard 2 est le serveur domestique basse consommation parfait
Pour le serveur SIEM lui-même, BeardedTinker a choisi le matériel ZimaBoard — plus précisément le ZimaBoard 2, le serveur domestique monocarte hyper-performant qui fait tourner Plex, Pi-hole, Proxmox, ou même Minecraft 24h/24 tout en restant frais et silencieux.
Le ZimaBoard 2 gère sans effort le streaming média, les firewalls, les homelabs et les conteneurs IA. Faible consommation, haute fiabilité.
SATA & PCIe natifs — pas besoin d’extensions compliquées. Branchez des disques durs/SSD 2,5", installez une carte réseau 10G, un GPU ou un adaptateur NVMe, et il est prêt pour le stockage personnel ou l’extension. Le double Ethernet 2,5G intégré le rend idéal pour un NAS local rapide, un accès distant à faible latence ou le routage de plusieurs services réseau à la maison.
Vous pouvez faire tourner ce qui vous convient — ZimaOS, TrueNAS, Proxmox, Debian, pfSense… Les utilisateurs adorent tester différentes configurations OS pour les sauvegardes, serveurs Plex, labs Docker ou les clusters.
Petit, hackable et plutôt mignon — beaucoup le qualifient de mini serveur qui ressemble à un jouet mais fonctionne comme une bête. Parfait pour les créateurs DIY et les passionnés de tech qui veulent un serveur domestique fiable et toujours allumé sans le bruit ni la chaleur d’un mini PC traditionnel.
Comparé à un mini PC complet (qui consomme souvent entre 20 et 40 W au repos), le ZimaBoard 2 consomme beaucoup moins, ce qui en fait le choix intelligent pour une infrastructure devant tourner 24/7.
Système d’exploitation et plateforme SIEM
Le système d’exploitation choisi est Ubuntu LTS installé directement sur le matériel nu — pas d’hyperviseur, pas de couches supplémentaires. L’infrastructure de surveillance doit être ennuyeuse et prévisible.
La plateforme SIEM est Wazuh — open-source, largement utilisée et étonnamment performante pour des configurations prosommateurs. L’installation se fait via des commandes en ligne simples. Le vrai travail commence cependant après l’installation : connecter chaque élément d’infrastructure et lui fournir des journaux propres.
Toutes les règles personnalisées, décodeurs et logiques de détection utilisées dans la vidéo sont librement disponibles dans le dépôt GitHub public de BeardedTinker (liens dans la description de la vidéo originale).
Trois incidents réels — et comment le SIEM a réagi
Incident 1 : Scan de reconnaissance
Depuis une autre machine, des tentatives de connexion PowerShell simples ont été faites sur plusieurs ports. En quelques secondes, le firewall UniFi a enregistré l’activité. Le SIEM a analysé le syslog, appliqué les règles de corrélation et signalé un comportement de scan de ports car plusieurs ports ont été touchés depuis la même IP en peu de temps.
Incident 2 : Échecs de connexion sur le NAS
Plusieurs tentatives de connexion échouées ont été faites sur l’interface Synology. Les systèmes NAS sont en fait l’un des composants d’infrastructure les plus intéressants à surveiller car ils produisent des signaux riches : tentatives de connexion, échecs d’authentification, changements de permissions. Une fois ces journaux arrivés au SIEM, ils ont été automatiquement corrélés avec les événements réseau précédents.
Incident 3 : Événements d’authentification Home Assistant
Des tentatives de connexion échouées suivies d’une connexion réussie ont été déclenchées sur Home Assistant. Grâce à l’add-on agent Wazuh personnalisé (également créé par BeardedTinker et disponible sur GitHub), ces événements sont devenus visibles dans le SIEM comme n’importe quel autre signal d’infrastructure.
Si Home Assistant est compromis, les conséquences ne sont pas que numériques — il contrôle des dispositifs physiques réels.
Intégrer les alertes SIEM dans Home Assistant
La beauté de cette configuration est que les données ne restent pas enfermées dans la plateforme de surveillance. Les données SIEM peuvent être exposées sous forme de capteurs et de métriques résumées directement dans Home Assistant. Score de sécurité, nombre d’incidents, règles déclenchées récemment — tout apparaît sur les tableaux de bord et peut déclencher des automatisations : notifications, désactivation temporaire de l’accès distant, activation des caméras ou augmentation de la journalisation.
BeardedTinker a également lancé une discussion d’architecture dans la communauté Home Assistant proposant des journaux mieux structurés et des flux d’événements de sécurité. Si vous vous souciez de l’observabilité, le lien est dans la description de la vidéo.
Conclusions et ressources
Un système comme celui-ci n’est clairement pas pour tout le monde. Il demande du matériel, de la configuration et de la curiosité. Mais si votre maison intelligente évolue lentement vers une vraie infrastructure, ce niveau de visibilité est incroyablement précieux.
Tout ce qui est montré — règles, intégrations, l’agent Wazuh pour Home Assistant et les exemples de tableaux de bord — est publié dans des dépôts publics. Si vous déployez une configuration similaire dans votre homelab, la communauté serait ravie de savoir ce que vous surveillez et ce que vous ajouteriez ensuite.
Chez ZimaSpace, nous croyons que le ZimaBoard 2 est la base idéale de serveur domestique pour ce genre de projets avancés et toujours allumés. Sa faible consommation, son extensibilité native, son double réseau 2,5G et sa fiabilité à toute épreuve en font la plateforme parfaite que vous fassiez tourner un SIEM, un serveur média, un firewall ou un cluster homelab complet.
Regardez la vidéo originale ici pour les démonstrations complètes en direct
Si cet article vous a donné envie d’améliorer la sécurité et la surveillance de votre propre serveur domestique, laissez un commentaire ci-dessous ou rendez-vous sur la page produit du ZimaBoard 2 pour voir comment il peut alimenter votre prochain projet.
Restez visible, restez sécurisé, et bon hacking ! 🚀
Produits recommandés
Centre de Campagne Zima
Plus à lire
Pourquoi j'ai remplacé les serveurs en rack par un ZimaCube 2 — L'évolution d'un homelab
ZimaCube 2 remplace les serveurs en rack bruyants et les configurations mini PC limitées par un homelab tout-en-un silencieux, idéal pour Docker, le stockage...
Exécuter Docker, CI/CD et plus de 10 services auto-hébergés sur le ZimaCube 2
Ce focus communautaire présente le test complet de l'infrastructure auto-hébergée de Michael Luckenbill, pionnier du ZimaCube 2. Exécutant plus de 10 conteneurs Docker, un...
Que se passe-t-il lorsque deux agents IA se disputent un serveur ?
L'expérience de cybersécurité IA de Zero Noichi a utilisé deux appareils ZimaBoard 2 pour simuler des agents attaquants et défenseurs, démontrant comment les serveurs...
