Une alternative open source à Stellar Cyber, construite sur Wazuh

Ce qu'est chaque plateforme

Stellar Cyber vend de l'Open XDR piloté par l'IA pour les MSSP et les équipes de sécurité d'entreprise réduites. Une seule licence regroupe son NG-SIEM et son data lake avec l'UEBA, le NDR avec sandbox de malware, une plateforme de threat intelligence, un IDS et une orchestration de type SOAR. Les supports de l'éditeur décrivent une multi-tenance à plusieurs niveaux, avec des MSSP gérant des milliers de clients finaux sous une licence unique.

SocTalk est un plan de contrôle open source unique qui provisionne un manager et un indexeur Wazuh dédiés par client sur votre Kubernetes, ou se rattache à un déploiement Wazuh que vous exploitez déjà. Le plan de données est aujourd'hui exclusivement Wazuh.

Déploiement

Les deux sont auto-hébergeables. Stellar Cyber tourne dans tout cloud public (AWS, Azure, GCP, OCI), sur site sur votre matériel ou ses appliances, ou en hybride, avec des contrôles de résidence des données par site. SocTalk s'installe sur un Kubernetes standard 1.30+, du k3s mono-nœud à EKS, AKS et GKE, avec prise en charge de l'air-gap. Une VM de démo démarre en cinq minutes, et une installation de production prend environ une heure.

Couche endpoint

La posture de Stellar Cyber est d'apporter votre propre EDR, avec 32 intégrations bidirectionnelles maintenues par l'éditeur, dont CrowdStrike, SentinelOne et Microsoft Defender. La couche endpoint de SocTalk est l'agent Wazuh, sans intégration EDR tierce aujourd'hui. Si le BYO EDR est central dans votre pratique, l'avantage va à Stellar Cyber.

Licence et coût

Stellar Cyber fonctionne sur devis et sous licence par actif : chaque licence d'actif inclut 60 MB par jour d'ingestion, moyennée sur l'ensemble des actifs, et le dépassement se convertit en licences d'actifs supplémentaires. « One Platform, One License » place chaque capacité dans chaque licence ; les mécanismes de gros pour MSSP ne sont pas publiés.

SocTalk n'a ni frais de licence ni plafond d'ingestion imposé par la licence. Plan de contrôle, pipeline IA, intégration Wazuh et charts Helm sont tous sous Apache 2.0, sans scission communauté contre entreprise, sans fonctionnalités bridées. Les coûts sont l'infrastructure plus les tokens LLM et varient fortement. Un exemple documenté d'ordre de grandeur atterrit près de $9 par jour et par tenant à 30 alertes par jour ; Ollama en local ramène le coût par token à zéro.

Posture IA

Stellar Cyber décrit un « Human-Augmented Autonomous SOC » dont l'IA agentique trie les alertes, construit des narratifs de menace et rédige des synthèses de cas, positionné comme une prise de décision pilotée par l'IA avec supervision humaine. SocTalk exécute d'abord un entonnoir déterministe ; de nombreuses alertes n'atteignent jamais un modèle, et le LLM se limite au routage et au verdict. Les escalades passent toujours par une revue humaine, le confinement nécessite toujours l'approbation d'un analyste, et les tenants apportent leur propre LLM, Ollama entièrement local compris.

Là où Stellar Cyber convient mieux

Si vous voulez toute la pile de détection auprès d'un seul éditeur avec support, Stellar Cyber la livre aujourd'hui. SocTalk couvre un périmètre plus étroit, le triage et la réponse sur Wazuh, en laissant des pièces comme l'enrichissement Cortex ou l'export de cas vers TheHive comme des intégrations que vous opérez.

Là où les parcs clients sont déjà standardisés sur un EDR tiers, Stellar Cyber consomme cette télémétrie via des intégrations que sa propre équipe maintient. SocTalk n'offre pas d'équivalent aujourd'hui.

Selon sa propre annonce de décembre 2025, un tiers des 250 premiers MSSP utilisent Stellar Cyber ; l'entreprise détient la certification ISO 27001, annoncée en mars 2025, et propose des rapports SOC 2 via son portail sécurité. SocTalk est un jeune projet open source en v0.1.x sans certification d'éditeur. Sa documentation prend en charge des audits de type SOC 2, avec des preuves résidant sur l'infrastructure que vous hébergez, mais aucune attestation n'est livrée. Les acheteurs qui exigent des attestations d'éditeur les trouveront chez Stellar Cyber et pas, aujourd'hui, chez SocTalk.

Là où SocTalk diffère

Le modèle de licence est la divergence la plus profonde. Apache 2.0 vous laisse lire, forker et auditer exactement le code que vous exécutez, sans aucune application de licence nulle part. Évaluer Stellar Cyber commence par une conversation commerciale.

Stellar Cyber compte les actifs et moyenne l'ingestion ; SocTalk ne mesure rien, le coût réside donc dans vos choix d'infrastructure et de modèles.

La pile de chaque client se trouve dans son propre namespace Kubernetes, avec la sécurité au niveau ligne de Postgres comme filet et des tests d'isolation dont la réussite est exigée en CI. Testée jusqu'à ~50 tenants sur un cluster de 3 nœuds, c'est une isolation que vous pouvez démontrer à un auditeur. L'IA est verrouillée de la même façon, avec des contrôles déterministes exécutés avant tout appel de modèle.