Uma alternativa open source à Stellar Cyber, construída sobre Wazuh

O que é cada plataforma

A Stellar Cyber vende Open XDR guiado por IA para MSSPs e equipes de segurança enxutas de empresas. Uma licença reúne seu NG-SIEM e data lake com UEBA, NDR com sandbox de malware, uma plataforma de inteligência de ameaças, IDS e orquestração no estilo SOAR. Os materiais do fornecedor descrevem multi-tenancy em múltiplos níveis, com MSSPs gerenciando milhares de clientes finais sob uma única licença.

SocTalk é um plano de controle open source que provisiona um manager e um indexer Wazuh dedicados por cliente no seu Kubernetes, ou se conecta a um deployment Wazuh que você já opera. O plano de dados é somente Wazuh hoje.

Implantação

Os dois são auto-hospedáveis. Stellar Cyber roda em qualquer nuvem pública (AWS, Azure, GCP, OCI), on-premises no seu hardware ou nos appliances dela, ou em modo híbrido, com controles de residência de dados por site. SocTalk instala em Kubernetes 1.30+ padrão, de k3s de nó único a EKS, AKS e GKE, com suporte a air gap. Uma VM de demonstração sobe em cinco minutos, e uma instalação de produção leva cerca de uma hora.

Camada de endpoint

A postura da Stellar Cyber é traga seu próprio EDR, com 32 integrações bidirecionais mantidas pelo fornecedor, incluindo CrowdStrike, SentinelOne e Microsoft Defender. A camada de endpoint do SocTalk é o agente Wazuh, sem integrações com EDR de terceiros hoje. Se EDR BYO é central para a sua operação, esse ponto favorece a Stellar Cyber.

Licenciamento e custo

A Stellar Cyber trabalha com cotação e licencia por ativo: cada licença de ativo inclui 60 MB por dia de ingestão, na média entre todos os ativos, e o excedente se converte em licenças de ativo adicionais. 'One Platform, One License' coloca toda capacidade em cada licença; a mecânica de atacado para MSSPs não é publicada.

SocTalk não tem taxa de licença e não tem teto de ingestão medido por licença. Plano de controle, pipeline de IA, integração com o Wazuh e charts Helm são todos Apache 2.0, sem divisão entre community e enterprise, sem recursos bloqueados. Os custos são infraestrutura mais tokens de LLM e variam bastante. Um exemplo documentado de ordem de grandeza fica perto de $9 por dia por tenant com 30 alertas por dia; um Ollama local leva o custo por token a zero.

Postura de IA

A Stellar Cyber descreve um 'Human-Augmented Autonomous SOC' cuja IA agêntica faz a triagem de alertas, constrói narrativas de ameaça e escreve resumos de caso, posicionado como decisão guiada por IA com supervisão humana. SocTalk roda um funil determinístico primeiro; muitos alertas nunca chegam a um modelo, e o LLM apenas roteia e emite o veredicto. Escalações passam sempre por revisão humana, contenção sempre precisa de aprovação de analista, e os tenants trazem seu próprio LLM, Ollama totalmente local incluído.

Onde a Stellar Cyber se encaixa melhor

Se você quer a pilha de detecção inteira de um único fornecedor com suporte, a Stellar Cyber entrega isso hoje. SocTalk cobre um trabalho mais estreito, triagem e resposta sobre Wazuh, deixando peças como enriquecimento via Cortex ou exportação de casos para o TheHive como integrações que você opera.

Onde os ambientes dos clientes já padronizam um EDR de terceiros, a Stellar Cyber consome essa telemetria por integrações que a própria equipe dela mantém. SocTalk não oferece equivalente hoje.

Segundo seu próprio anúncio de dezembro de 2025, um terço dos 250 maiores MSSPs roda Stellar Cyber; a empresa tem certificação ISO 27001, anunciada em março de 2025, e oferece relatórios SOC 2 pelo seu portal de segurança. SocTalk é um projeto open source jovem, em v0.1.x, sem certificações de fornecedor. Sua documentação suporta auditorias no estilo SOC 2, com evidências vivendo em infraestrutura que você hospeda, mas nenhuma atestação acompanha o software. Compradores que exigem atestações de fornecedor as têm arquivadas na Stellar Cyber e não, hoje, no SocTalk.

Onde o SocTalk difere

O modelo de licença é a divisão mais profunda. Apache 2.0 permite ler, fazer fork e auditar exatamente o código que você roda, sem imposição de licença em lugar nenhum. Avaliar a Stellar Cyber começa com uma conversa de vendas.

A Stellar Cyber conta ativos e faz média de ingestão; SocTalk não mede nada, então o custo vive nas suas escolhas de infraestrutura e de modelo.

A pilha de cada cliente fica no seu próprio namespace Kubernetes, com row-level security no Postgres como garantia e testes de isolamento que precisam passar no CI. Testado até ~50 tenants em um cluster de 3 nós, é um isolamento que você consegue demonstrar a um auditor. A IA é contida da mesma forma, com verificações determinísticas rodando antes de qualquer chamada a modelo.