Un'alternativa open source a Stellar Cyber, costruita su Wazuh

Cos'è ciascuna piattaforma

Stellar Cyber vende Open XDR guidato dall'AI per MSSP e squadre di sicurezza enterprise snelle. Una sola licenza raggruppa il suo NG-SIEM e il data lake con UEBA, NDR con sandbox per malware, una piattaforma di threat intelligence, IDS e orchestrazione in stile SOAR. I materiali del fornitore descrivono una multi-tenancy a più livelli, con MSSP che gestiscono migliaia di clienti finali sotto una singola licenza.

SocTalk è un unico piano di controllo open source che effettua il provisioning di un manager e un indexer Wazuh dedicati per cliente sul vostro Kubernetes, oppure si aggancia a un deployment Wazuh che già gestite. Il piano dati oggi è solo Wazuh.

Deployment

Entrambi sono self-hostable. Stellar Cyber gira in qualsiasi cloud pubblico (AWS, Azure, GCP, OCI), on-premises sul vostro hardware o sulle sue appliance, oppure in modalità ibrida, con controlli di residenza dei dati per sito. SocTalk si installa su Kubernetes 1.30+ standard, dal k3s a nodo singolo fino a EKS, AKS e GKE, con supporto air-gap. Una VM demo parte in cinque minuti e un'installazione di produzione richiede circa un'ora.

Livello endpoint

La postura di Stellar Cyber è bring your own EDR, con 32 integrazioni bidirezionali mantenute dal fornitore, tra cui CrowdStrike, SentinelOne e Microsoft Defender. Il livello endpoint di SocTalk è l'agente Wazuh, senza integrazioni EDR di terze parti a oggi. Se il BYO EDR è centrale nella vostra pratica, questo punto favorisce Stellar Cyber.

Licenze e costi

Stellar Cyber lavora su preventivo e concede licenze per asset: ogni licenza asset include 60 MB al giorno di ingest, mediati su tutti gli asset, e lo sforamento si converte in licenze asset aggiuntive. 'One Platform, One License' mette ogni capacità in ciascuna licenza; le meccaniche wholesale per MSSP non sono pubblicate.

SocTalk non ha costi di licenza e nessun tetto di ingest misurato dalla licenza. Piano di controllo, pipeline AI, integrazione Wazuh e chart Helm sono tutti Apache 2.0, senza divisione tra community ed enterprise, senza funzionalità bloccate. I costi sono infrastruttura più token LLM e variano molto. Un esempio documentato come ordine di grandezza si aggira intorno a $9 al giorno per tenant a 30 alert al giorno; un Ollama locale porta il costo per token a zero.

Postura AI

Stellar Cyber descrive un 'Human-Augmented Autonomous SOC' la cui AI agentica fa il triage degli alert, costruisce narrazioni di minaccia e scrive sintesi dei casi, posizionato come processo decisionale guidato dall'AI con supervisione umana. SocTalk esegue prima un imbuto deterministico; molti alert non raggiungono mai un modello, e l'LLM si limita a instradare ed emettere il verdetto. Le escalation passano sempre dalla revisione umana, il contenimento richiede sempre l'approvazione di un analista e i tenant portano il proprio LLM, Ollama completamente locale incluso.

Dove Stellar Cyber è la soluzione più adatta

Se volete l'intera pila di detection da un unico fornitore con supporto, Stellar Cyber la consegna oggi. SocTalk copre un compito più circoscritto, triage e risposta su Wazuh, lasciando pezzi come l'arricchimento con Cortex o l'export dei casi verso TheHive come integrazioni che operate voi.

Dove i parchi dei clienti sono già standardizzati su un EDR di terze parti, Stellar Cyber consuma quella telemetria tramite integrazioni mantenute dalla sua stessa squadra. SocTalk a oggi non offre un equivalente.

Secondo il suo stesso annuncio di dicembre 2025, un terzo dei primi 250 MSSP usa Stellar Cyber; l'azienda detiene la certificazione ISO 27001, annunciata a marzo 2025, e offre report SOC 2 tramite il suo portale di sicurezza. SocTalk è un giovane progetto open source in versione v0.1.x senza certificazioni del fornitore. La sua documentazione supporta audit in stile SOC 2, con le evidenze che vivono su infrastruttura ospitata da voi, ma nessuna attestazione viene consegnata. Chi in fase di acquisto richiede attestazioni del fornitore le trova pronte presso Stellar Cyber e non, a oggi, presso SocTalk.

Dove SocTalk si differenzia

Il modello di licenza è la spaccatura più profonda. Apache 2.0 vi lascia leggere, forkare e auditare esattamente il codice che eseguite, senza alcun enforcement di licenza. La valutazione di Stellar Cyber comincia con una conversazione commerciale.

Stellar Cyber conta gli asset e media l'ingest; SocTalk non misura nulla, quindi il costo vive nelle vostre scelte di infrastruttura e di modello.

La pila di ogni cliente sta nel proprio namespace Kubernetes, con la row-level security di Postgres come rete di protezione e test di isolamento che devono passare in CI. Testata fino a ~50 tenant su un cluster a 3 nodi, è un isolamento che potete dimostrare a un auditor. L'AI è presidiata allo stesso modo, con controlli deterministici eseguiti prima di qualsiasi chiamata al modello.