MDR Microsoft Sentinel : MSSP français sur le SIEM cloud Azure

Microsoft Sentinel est le SIEM cloud-native d'Azure, lancé en 2019 sous le nom Azure Sentinel et rebaptisé en 2021. C'est aujourd'hui le SIEM le plus déployé dans le tissu économique français pour deux raisons : la base installée Microsoft 365 chez les ETI et grands comptes (la télémétrie est déjà dans l'écosystème) et l'intégration native avec Defender XDR qui permet de construire un SOC unifié sans agrégateur tiers. La plateforme est éditée par Microsoft (Nasdaq MSFT, Redmond), donc soumise au Cloud Act et au FISA 702, et hébergée sur Azure avec des régions UE (Paris, Marseille, Frankfurt, Dublin).

Concrètement, Microsoft Sentinel agrège la télémétrie multi-sources (cloud, EDR, identity, on-prem) dans un Log Analytics Workspace, applique un moteur de détection KQL (Kusto Query Language), et permet d'orchestrer la réponse via Logic Apps et Defender XDR. Le pricing par volume de logs ingérés (en GB/jour) est le grand sujet d'attention : sans optimisation, la facture peut rapidement dépasser celle d'un Splunk ou d'un Sekoia.io facturé par actif.

L'écosystème MSSP français autour de Sentinel est dense et structuré, dominé par les intégrateurs Microsoft : grands comptes via Capgemini, Sopra Steria, Orange Cyberdefense ; mid-market via Devensys (1er Microsoft Verified MXDR français), Almond CWATCH, Metsys, AISI ; PME via Dataxium qui publie une grille tarifaire de 25/50/75 € par actif/mois. Certains acteurs comme Devoteam, Thales ou I-Tracing supportent Sentinel en BYO mais ne le mettent pas systématiquement par défaut.

L'écart par rapport à Sekoia.io ou Splunk se joue sur trois axes : profondeur de couverture Microsoft (M365, Entra ID, Defender for Cloud) où Sentinel reste imbattable ; économie (Sentinel devient cher au-delà d'un certain volume de logs, là où Sekoia.io facture par actif et Splunk négocie par contrat) ; juridiction (la plateforme reste américaine, et l'EU Data Boundary ne couvre pas l'ensemble des sous-services Defender). Pour un acheteur sous LPM ou avec une exigence PDIS stricte, Sentinel n'est pas éligible en propre sans une qualification SecNumCloud encore inexistante (Bleu vise H1 2026 sur Azure/M365 core, sans Defender Experts).

Microsoft Sentinel est un SIEM cloud-native édité par Microsoft, lancé en 2019 (ex-Azure Sentinel). Il agrège la télémétrie multi-sources (M365, Defender XDR, Entra ID, AWS, GCP, on-prem) dans un Log Analytics Workspace, applique un moteur KQL pour la détection, et orchestre la réponse via Logic Apps et Defender XDR. Hébergement Azure avec régions UE (Paris, Marseille), mais plateforme soumise au Cloud Act et FISA 702. Pricing au volume de logs ingérés (GB/jour) — sujet d'attention central.

Microsoft Sentinel est édité par Microsoft (US), hébergé sur Azure, et soumis au Cloud Act et au FISA 702. L'EU Data Boundary garantit que les données Sentinel et Defender XDR core stockées dans une région UE (Paris, Marseille) y restent, mais cela ne couvre pas tous les sous-services Defender (for Endpoint, for Identity, for Cloud Apps, for Office 365) qui font encore transiter une partie des données vers les États-Unis. Le projet Bleu (JV Capgemini/Orange/Microsoft) vise une qualification SecNumCloud sur Azure et M365 core (étape 1 validée avril 2025, qualification visée H1 2026), mais ne couvrira pas le service Defender Experts opéré par Microsoft global. Pour un OIV LPM ou un PDIS strict, Sentinel reste aujourd'hui inéligible en propre : la conformité s'obtient via une stack souveraine alternative (Sekoia.io, Cybels) ou via le bundle Bleu une fois qualifié.

Microsoft Sentinel offre l'écosystème de connecteurs le plus dense du marché et une intégration native imbattable avec M365/Defender XDR. Pour une organisation déjà investie dans Microsoft 365, c'est le SIEM le plus rapide à déployer et le plus profond sur les workloads natifs. Vs Sekoia.io, l'avantage technique reste net côté couverture cloud Microsoft, mais le pricing par GB ingéré est imprévisible et le facteur juridictionnel est défavorable (Cloud Act + FISA 702). Vs Splunk, l'écart d'industrialisation s'est largement comblé, et Sentinel a généralement un meilleur TCO sur les workloads cloud-native. La vraie réserve est juridictionnelle : pour un OIV LPM ou un acheteur sous exigence PDIS stricte, Sentinel n'est pas éligible en propre. Le projet Bleu (Capgemini/Orange/Microsoft) vise une qualification SecNumCloud H1 2026 sur Azure et M365 core, sans couvrir le service Defender Experts. Pour ces cas-là, une stack Sekoia.io ou Cybels reste l'arbitrage par défaut.

Pour un acheteur Microsoft 365, le choix entre fournisseurs MDR sur Sentinel se structure ainsi : (1) pour une PME/petite ETI cherchant un tarif transparent et clé en main, Dataxium offre la grille la plus lisible du marché ; (2) pour une ETI mid-market voulant un MDR français certifié Microsoft, Devensys et Metsys sont les deux MXDR Microsoft Verified français ; (3) pour une grand compte ou ETI exigeant un SOC FR avec qualifications ANSSI partielles, Almond, Capgemini, Orange Cyberdefense et Sopra Steria couvrent le segment ; (4) pour un grand compte multi-stack souhaitant le pluralisme (Sentinel + Splunk + Sekoia + SecOps), Devoteam et I-Tracing sont les deux MSSP les plus polyvalents. Garder en tête que la couche juridictionnelle reste américaine : l'arbitrage final dépend du profil de risque et des exigences PDIS/LPM.