Nous sommes partis de Wazuh. Voici l'étage que nous avons construit au-dessus.

Si vous faites tourner un SOC interne de quelques personnes ou un MSSP de taille modeste en Europe, Wazuh tourne probablement déjà sur les machines que vous protégez, et pour de bonnes raisons : les règles sont ouvertes, les alertes sont honnêtes, l'indexeur vous appartient et l'ingestion ne coûte rien. Seculogik est parti de là, et l'édition Free y est toujours. Autant le dire tout de suite : ce n'est pas la seule porte d'entrée. Seculogik est la couche de décision qui se pose au-dessus de la stack de détection que vous exploitez déjà. Wazuh est simplement celle avec laquelle nous avons grandi.

La tête de pont, pas les fondations

L'édition Free ne parle qu'à Wazuh, c'est un choix, et elle contient exactement ce que la page des tarifs annonce : les alertes, les dossiers, les écrans analyste et les notifications ; la file et les échéances SLA ; les 72 packs de détection alignés sur MITRE ATT&CK, activables en un clic, pour qu'un parc neuf ait une vraie couverture de détection dès le premier jour au lieu d'un jeu de règles vide ; le SSO, le MFA et les accès par rôle ; et une piste d'audit dont la moindre altération se voit. Elle se branche sur votre manager et votre indexeur Wazuh, rien d'autre. Ce n'est pas une version d'essai : gardez-la aussi longtemps qu'elle vous suffit.

Ces packs comptent plus que le chiffre ne le laisse croire : écrire autant de règles soi-même, c'est de l'ingénierie de détection qu'une équipe de trois personnes a rarement le temps de faire — le travail reste dans le backlog, et le parc n'est pas couvert.

Mieux vaut savoir tout de suite ce qu'elle ne contient pas, plutôt qu'au moment du devis. En Free, une alerte donne un dossier : le moteur de corrélation, les connecteurs vers les plateformes du marché qui rendent Seculogik indépendant de la source et le Vulnerability Operations Centre démarrent tous à l'édition Client, et SIROC, notre analyste IA, est le module Advanced AI.

C'est de la modularité, pas un piège : vous activez ce que votre parc réclame, et vous ne payez que cela. La plupart des équipes franchissent le pas pour une raison qu'elles savent nommer — une deuxième source à corréler avec la première, un burst d'alertes qui aurait dû faire un seul dossier, un rapport qu'un comité des risques peut lire.

Ce point de départ a fixé deux règles dont nous ne nous sommes jamais écartés : aucun compteur sur vos propres logs, et la valeur se mesure aux décisions, pas au volume ingéré. Wazuh nous a donné un flux d'alertes honnête, abondant et gratuit — et il nous a menés vers les équipes les moins disposées à payer au Go le droit de lire leurs propres logs. Il fallait donc exceller sur la partie difficile — le premier tri, celui qui ramène ce flux à une poignée de décisions sur lesquelles un humain peut agir — et non sur la facturation.

Les alertes Wazuh arrivent en outre déjà propres, avec le contexte qu'il faut pour les qualifier et les poser devant le bon analyste : nous avons pu valider le modèle tôt au lieu de nous battre avec des formats. Toute autre source atteint le même état par son connecteur dédié, ou par un mapping unique dans la carte de données universelle.

Wazuh est notre point de départ. Il n'a jamais eu vocation à être l'endroit où l'on décide.

Ce qu'un agent de détection n'a jamais eu vocation à faire

Une règle se déclenche sur un événement. Une campagne, c'est des dizaines d'événements — sur l'EDR, l'IdP et le firewall — étalés sur plusieurs jours. Un agent de détection produit des alertes, pas des dossiers : ni cycle de vie, ni affectation, ni SLA, et aucune trace de ce qui a motivé la décision de qui que ce soit.

Rien qu'un N1 puisse qualifier puis escalader, rien qu'un N2 puisse reprendre, rien qui survive à une relève. Vous avez un flux d'alertes à plat, là où il faudrait des dossiers avec un responsable, une échéance et un historique — et, pour un MSSP qui sert plusieurs clients, aucun mur entre le travail de l'un et celui du suivant.

Quand une même règle part des centaines de fois en quelques minutes, elle produit des centaines de lignes, pas un dossier. C'est là que commence la fatigue des alertes : rien ne regroupe ces lignes, et le même événement est lu puis écarté cent fois. Sa réponse tient dans un script, quand un SOC a besoin d'un playbook qui s'arrête et attend un humain avant d'isoler une machine. Et un dashboard n'est pas un rapport qu'un comité des risques peut lire.

Rien de tout cela n'est un reproche fait à Wazuh. C'est la forme même d'une couche de détection, quelle que soit celle que vous exploitez, et c'est précisément pour cela qu'une couche de décision doit exister au-dessus. C'est cela, The Verdict Layer : ni un SIEM, ni un EDR, ni un remplaçant de vos sondes ou de votre stockage de logs, mais l'endroit où ce qu'ils produisent devient une décision.

L'étage au-dessus, et il est indépendant de la source

Voici ce que les analystes gagnent et qu'aucune couche de détection ne peut leur donner. Un déluge d'alertes devient une file courte de dossiers qui méritent vraiment un humain, ordonnée par impact métier et non par la règle qui a crié le plus fort. Des centaines de répétitions en faible sévérité sont dédupliquées en un seul dossier correctement scoré, et non des centaines de lignes. Une activité déjà classée en faux positif ne revient plus poser la même question. Et rien ne se perd si un composant redémarre au milieu d'un burst.

Au centre, le moteur de corrélation, notre joyau et la vraie raison de passer en édition Client : neuf contrôles indépendants regardent chaque alerte sous un angle différent — les entités en jeu, l'avancement de l'attaque, la convergence ou non de plusieurs sources, les dérives lentes, les scénarios d'attaque connus, le regroupement par attaquant — et doivent s'accorder sur un seul verdict.

Chaque dossier garde une trace lisible de la décision : quels signaux ont pesé, comment le verdict s'est formé, et ce qui l'aurait fait basculer. Les scénarios reconnus — un phishing qui mène à une prise de contrôle de compte, une exploitation qui installe un accès persistant, une exécution qui finit en ransomware — font qu'un dossier se lit comme un récit, et sa position dans la kill chain avance avec les preuves : la file remonte en tête ce qui est réellement le plus avancé.

Autour de lui, The Verdict Layer, dans toutes les éditions payantes : une file qui dit quoi ouvrir ensuite, des échéances SLA, et une affectation qui tient compte de la charge, pour que le dossier suivant tombe chez un analyste qui a de la place. Le Vulnerability Operations Centre — inclus dans l'édition Client, pas vendu à part — recoupe les constats entre scanners et fait tourner un cycle de remédiation avec des échéances et un registre des acceptations de risque qui, elles, expirent.

Viennent ensuite les modules que vous décidez d'activer.

SIROC, l'analyste IA — module Advanced AI — plaide dans les deux sens avant de répondre, puis rend un verdict, un niveau de confiance et son raisonnement ; ce raisonnement est recoupé avec les alertes du dossier lui-même, et un verdict non étayé est déclassé sous les yeux de l'analyste.
Les playbooks de réponse — module Automations — exigent une validation avant action dès qu'un geste est destructeur, l'isolement d'une machine par exemple, et aucun playbook ne peut abaisser ce seuil.
Le reporting — module SOC Reporting — sort des grilles de score NIST CSF, ISO 27001, RGPD, DORA et NIS2, et des dossiers de preuves qui exposent leur propre méthodologie et leur propre couverture : chaque chiffre porte sa preuve, et une métrique qui ne peut pas être calculée le dit.

Enfin, si vous êtes un MSSP avec plusieurs clients, l'édition MSSP pose par-dessus tout cela un mur étanche entre eux et un reporting en marque blanche.

Rien de tout cela n'est propre à Wazuh. À partir de l'édition Client, l'étage se pose au-dessus de ce que vous exploitez déjà : les SIEM et stacks de données open source — Wazuh, OpenSearch, Elastic / ELK, ClickHouse ; les plateformes du marché — Splunk, Microsoft Sentinel, CrowdStrike, Microsoft Defender, SentinelOne, Cortex XDR, Fortinet, Okta, Entra ID, soit 23 connecteurs au total ; plus les webhooks en push et la lecture passive du SIEM dont vous disposez.

Si une source manque à l'appel, nous construisons le connecteur — ou vous poussez les événements par le webhook générique et vous les mappez une fois pour toutes dans la carte de données universelle. Le parc Wazuh par lequel vous avez démarré peut donc absorber Sentinel, CrowdStrike et Okta sans qu'il faille une deuxième plateforme ; et si vous êtes déjà sous Splunk, Elastic ou ClickHouse, l'étage n'est pas un second SIEM et ne remplace pas votre stockage de logs.

C'est la couche qui met ces sources d'accord : un verdict par campagne au lieu d'une alerte par outil, et un rapport qu'un régulateur peut lire — sur toutes à la fois, sans deuxième facture d'ingestion.

Toujours pas de taxe à l'ingestion

Ce que nous avons le plus veillé à ne pas casser, c'est l'économie du modèle. Gartner le dit sans détour : les acheteurs de SIEM sont de plus en plus exaspérés par l'inflation des coûts du SIEM (« SIEM cost bloat »). La plupart des éditeurs de SIEM et de XDR facturent au Go, à l'événement ou à l'actif le droit d'y déposer vos propres logs : la facture suit la taille de votre parc, pas le travail que vous en tirez.

La page des tarifs expose le modèle inverse. Seculogik ne compte pas vos logs. Le stockage reste chez vous — indexeur Wazuh, OpenSearch, Elastic, ClickHouse, ce que vous exploitez — et la plateforme se pose au-dessus, sur une seule machine que vous hébergez, VPS ou on-prem, sans GPU, installée en quelques minutes. C'est ce qui règle la question de l'enfermement fournisseur : le jour où vous nous remplacez, vos logs, vos règles et votre indexeur sont exactement là où ils ont toujours été, parce qu'ils n'ont jamais bougé.

La licence est sur devis, par déploiement et par an, sur trois éditions et six modules ; deux choses seulement font bouger le prix : l'édition que vous déployez et les modules que vous activez. Pas de facturation au Go, ni par endpoint, ni par utilisateur : votre ligne budgétaire se lit infrastructure plus exploitation. L'édition MSSP est un forfait par déploiement — un client ou cinquante, c'est le même montant, parce que votre croissance n'a pas à déclencher notre facturation.

Disons aussi la part honnête. Infrastructure plus exploitation, à grande échelle, coûte encore de l'argent bien réel : le gain, c'est l'absence de compteur, pas la gratuité. Et là où un parc Microsoft inclut déjà l'ingestion, le prix n'est pas l'argument — ce n'est d'ailleurs pas celui que nous mettons en avant.

Ce qu'aucun bundle ne vous vendra, c'est une couche de décision que vous hébergez vous-même, une séparation stricte entre les clients que vous servez si vous en servez plusieurs, et un analyste IA dont vous pouvez auditer chaque appel vers le cloud. Chez nous, la souveraineté est un interrupteur qui vous appartient, pas un slogan : l'IA tourne sur votre machine, par défaut sur un modèle local open source, vous apportez votre propre clé cloud tâche par tâche si vous le décidez, et chaque appel sortant est consigné dans un registre inaltérable. C'est sur cette comparaison-là que nous demandons à être jugés.

Par où commencer

Reste la question que tout lecteur finit par poser : quelle édition, et quels modules. Voir les trois éditions — Free sur votre Wazuh, sans frais, aussi longtemps que vous voulez ; Client le jour où une deuxième source ou un comité des risques rend le moteur de corrélation utile ; MSSP quand vous êtes le prestataire qui doit cloisonner les clients qu'il sert.

Si vous êtes sous Wazuh aujourd'hui, commencez en Free : pointez-la sur votre manager Wazuh et regardez la file se remplir dans la journée, sans licence, sans compteur, et sans que rien ne parte nulle part. La corrélation, les connecteurs, le Vulnerability Operations Centre et SIROC arrivent le jour où votre parc les réclame, pas avant. Quoi qu'il en soit, vous gardez la stack que vous avez : nous avons construit l'étage au-dessus.

Quand vous voudrez le voir sur vos propres données, apportez une semaine d'alertes en démonstration — Wazuh, Splunk, Sentinel, Elastic, ClickHouse ou un mélange — et nous les rejouerons en trente minutes pour vous montrer ce que le moteur de corrélation en fait.