基于 Wazuh 的开源 Stellar Cyber 替代方案

两个平台各是什么

Stellar Cyber 面向 MSSP 和精简的企业安全团队销售 AI 驱动的 Open XDR。一份许可打包其 NG-SIEM 和数据湖，以及 UEBA、带恶意软件沙箱的 NDR、威胁情报平台、IDS 和 SOAR 式编排。供应商材料描述了多层级多租户，MSSP 可在单一许可下管理数千个终端客户。

SocTalk 是一个开源控制平面，在你的 Kubernetes 上为每个客户开通专属的 Wazuh manager 和 indexer，或挂接到你已在运行的 Wazuh 部署。今天其数据平面仅支持 Wazuh。

部署

两者都可自托管。Stellar Cyber 可运行在任意公有云（AWS、Azure、GCP、OCI），可在你的硬件或其设备上本地部署，也可采用混合模式，并提供按站点的数据驻留控制。SocTalk 安装在原生 Kubernetes 1.30+ 上，从单节点 k3s 到 EKS、AKS 和 GKE，支持气隙。演示虚拟机五分钟启动，生产安装约一小时。

端点层

Stellar Cyber 的取向是自带 EDR，由供应商维护 32 个双向集成，包括 CrowdStrike、SentinelOne 和 Microsoft Defender。SocTalk 的端点层是 Wazuh 代理，今天没有第三方 EDR 集成。如果 BYO EDR 是你业务的核心，这一点利于 Stellar Cyber。

许可与成本

Stellar Cyber 按报价销售，以资产计许可：每个资产许可包含每天 60 MB 的摄取量，在所有资产间取平均，超出部分折算为额外的资产许可。'One Platform, One License' 让每份许可包含全部能力；MSSP 批发机制未公布。

SocTalk 没有许可费，也没有按许可计量的摄取上限。控制平面、AI 流水线、Wazuh 集成和 Helm chart 全部采用 Apache 2.0，没有社区版与企业版之分，没有功能门槛。成本是基础设施加 LLM 令牌，波动很大。文档中的一个数量级示例是每天 30 条告警时约每租户每天 $9；本地 Ollama 把按令牌的成本降到零。

AI 立场

Stellar Cyber 描述了一个 'Human-Augmented Autonomous SOC'，由其智能体 AI 分诊告警、构建威胁叙事并撰写案例摘要，定位为在人工监督下由 AI 驱动决策。SocTalk 先运行确定性漏斗；许多告警根本到不了模型，LLM 只负责路由和给出裁决。升级始终经人工复核，遏制始终需要分析师批准，租户自带 LLM，包括完全本地的 Ollama。

Stellar Cyber 更合适的场景

如果你想从一家提供支持的供应商那里获得完整的检测技术栈，Stellar Cyber 今天就能交付。SocTalk 覆盖的职责更窄，即 Wazuh 之上的分诊与响应，像 Cortex 富化或 TheHive 案例导出这类环节要作为集成由你自己运营。

在客户环境已统一采用第三方 EDR 的情况下，Stellar Cyber 通过其自有团队维护的集成来消费这些遥测。SocTalk 今天没有对等能力。

按其自己在 2025 年 12 月的公告，前 250 大 MSSP 中有三分之一在运行 Stellar Cyber；该公司持有 ISO 27001 认证（2025 年 3 月宣布），并通过其安全门户提供 SOC 2 报告。SocTalk 是一个年轻的 v0.1.x 开源项目，没有供应商认证。其文档支持 SOC 2 风格的审计，证据存放在你托管的基础设施上，但不附带任何鉴证。需要供应商鉴证文件的买家在 Stellar Cyber 那里拿得到，在 SocTalk 这里今天拿不到。

SocTalk 的不同之处

许可模式是最深的分野。Apache 2.0 让你可以阅读、fork 和审计你实际运行的每一行代码，任何地方都没有许可校验。评估 Stellar Cyber 要从一次销售沟通开始。

Stellar Cyber 清点资产并平均摄取量；SocTalk 不做任何计量，成本落在你的基础设施和模型选择上。

每个客户的技术栈都位于自己的 Kubernetes 命名空间中，以 Postgres 行级安全兜底，隔离测试在 CI 中必须通过。在 3 节点集群上测试至 ~50 个租户，这是可以向审计方演示的隔离。AI 也以同样的方式设关口，确定性检查在任何模型调用之前运行。