Construya su propio SOC sobre Wazuh, o despliegue uno ya construido

Qué hay que construir

Wazuh de fábrica le da un manager, un indexer y un agente. Todo lo que va encima es el proyecto: managers e indexers por cliente, un plano de control para aprovisionarlos, aislamiento de tenants a nivel de base de datos, política de red, la plomería de enrolamiento de agentes, un flujo de triaje y herramientas de actualización. Cada pieza es abordable por separado; integrarlas todas, y mantenerlas integradas a medida que llegan clientes, es donde se van los meses de ingeniería. Agregue una capa de triaje por AI y también le pertenecen los prompts, la orquestación de herramientas contra Wazuh y sus fuentes de enriquecimiento, guardrails para que el modelo no cierre lo que no debe, presupuestos de tokens y un flujo de revisión alrededor de todo eso.

SocTalk entrega esas piezas ensambladas: un plano de control que ejecuta pilas Wazuh por cliente en namespaces aislados de Kubernetes, con el pipeline de triaje y la cola de revisión incluidos. Un embudo determinista de deduplicación, coalescencia y correlación resuelve muchas alertas antes de cualquier llamada al modelo, cada escalamiento pasa por revisión humana sin modo de aprobación automática, y el LLM lo elige usted por tenant, incluido un Ollama totalmente local. Todo es Apache 2.0, el chart apunta a Kubernetes 1.30+ estándar, y una instalación de producción toma aproximadamente una hora en un clúster preparado.

Aislamiento de tenants

La multi-tenencia es la decisión de diseño que hay que resolver bien desde temprano, y en la ruta de construcción propia le toca a usted demostrarla. Eso significa políticas de row-level security en cada tabla con alcance de tenant, la identidad del tenant hilada en cada consulta y cada dashboard, política de red y cuotas de recursos por tenant, y una suite de pruebas que demuestre que las consultas entre tenants realmente fallan. Los scripts de aprovisionamiento que escribe para el cliente tres todavía tienen que funcionar para el cliente treinta.

SocTalk aplica FORCE ROW LEVEL SECURITY en cada tabla Postgres con alcance de tenant, respaldado por siete pruebas de aislamiento que deben pasar obligatoriamente en CI. Cada cliente recibe un manager y un indexer de Wazuh dedicados en su propio namespace, con NetworkPolicy de Cilium, ResourceQuota y secretos de enrolamiento de agentes con alcance de tenant. La pila está probada hasta ~50 tenants en un clúster de 3 nodos; planifique aproximadamente de 6 a 8 GB de RAM y 1.5 vCPU por tenant persistente.

Incorporación y actualizaciones

En una pila hecha en casa, cada cliente nuevo es un runbook: levantar su instancia de Wazuh, cablear DNS y secretos de enrolamiento, construir sus dashboards y conectar todo de vuelta con las herramientas centrales que usted haya escrito. Las actualizaciones se multiplican igual. Los saltos de versión de Wazuh por la cantidad de clientes, las migraciones de esquema, la rotación de certificados y el ciclo de vida de Kubernetes suman tiempo de ingeniería recurrente que crece con cada tenant.

SocTalk incorpora clientes desde el plano de control. El aprovisionamiento ejecuta nueve fases ordenadas con reintentos idempotentes, creando el namespace, las cuotas, la pila Wazuh y el endpoint de enrolamiento, y los agentes se enrolan por ingress enrutado por hostname con secretos con alcance de tenant. El cableado de DNS y balanceador de carga por tenant sigue siendo manual en V1, y un perfil 'provided' conecta un Wazuh que usted ya opera. Ambos charts se actualizan vía helm upgrade con migraciones de base de datos aplicadas automáticamente, aunque las actualizaciones de toda la flota hoy son un bucle manual documentado sobre los namespaces de los tenants; una API de actualización de flota está en la hoja de ruta, no entregada.

Cuánto cuesta

Las tarifas de licencia son cero en ambas rutas. Wazuh es de código abierto, y SocTalk es Apache 2.0 sin división community/enterprise y sin funciones bloqueadas. La diferencia es dónde cae el gasto. Una construcción propia cuesta meses de ingeniería por adelantado más el tiempo continuo para mantenerla funcionando, un intercambio razonable si la plataforma es donde quiere a su equipo. Con SocTalk usted paga su propia infraestructura y tokens de LLM, del orden de $9 al día por tenant con 30 alertas al día en una configuración económica, muy variable, o costo por token cero con un Ollama local.

Cuándo tiene sentido construirlo usted mismo

SocTalk asume un plano de datos Wazuh. El plano de datos de SocTalk hoy es solo Wazuh; otros SIEMs son adiciones factibles a su superficie de herramientas, pero ninguna está entregada. Una práctica centrada en Splunk o Elastic queda mejor servida por su propio trabajo de integración.

Construya, también, si la plataforma SOC en sí es su diferenciador de producto. Lógica de correlación a medida, una experiencia de analista propietaria y flujos que sus competidores no pueden copiar argumentan a favor de ser dueño de cada capa, y una plataforma prearmada estaría mayormente en su camino.

Si de verdad no está seguro, el código fuente está en github.com/soctalk/soctalk bajo Apache 2.0. Lea las políticas de RLS, el modelo de red y el pipeline de triaje antes de decidir. El peor caso es que se vaya con una arquitectura de referencia funcional para su propia construcción.

Lo que conserva en cualquier caso

SocTalk corre en su propio Kubernetes, desde un equipo bare-metal hasta EKS, AKS o GKE, aislado de internet si lo necesita, con el LLM de su elección por tenant, incluido uno totalmente local. El autohospedaje es una constante en ambas rutas. Usted conserva su infraestructura y sus datos, y la relación con el cliente nunca pasa por un proveedor.

Es la pila de construcción propia con el ensamblaje ya hecho, y la licencia significa que el techo es el mismo que construirla usted mismo: todo lo que hay en el repositorio es Apache 2.0, no hay un nivel enterprise retenido, y si algún día no está de acuerdo con el rumbo del proyecto, puede hacer un fork y seguir operando.