Elastic Security ou Wazuh : quel SIEM pour votre PME ?

Elastic Security ou Wazuh : la réponse en bref

Elastic Security et Wazuh répondent au même besoin — collecter les journaux et les données des postes, les corréler avec des indicateurs de menace et fournir à une équipe de sécurité un espace d investigation — mais reposent au départ sur deux philosophies de licence opposées. Wazuh est entièrement open source (GPLv2), sans aucun niveau de licence payant ; vous ne payez que si vous souhaitez utiliser l hébergement géré de Wazuh. Elastic Security repose sur du code ouvert intégré à un abonnement commercial : un niveau Basic véritablement gratuit existe, mais les fonctionnalités que recherchent réellement la plupart des PME — détection d anomalies par machine learning et actions de réponse sur les postes avec Elastic Defend — sont réservées aux niveaux payants.

Ce tableau résume l essentiel. La suite de ce guide détaille les tarifs, l adéquation aux petites entreprises, les enjeux propres aux MSP et la signification réelle des affirmations sur le « taux de détection », avant tout déploiement sur un poste.

Comment chaque plateforme est réellement conçue

Elastic Security

Elastic Security fonctionne au-dessus de l Elastic Stack : Elasticsearch stocke et indexe les données, Kibana fournit l interface et l application Security ajoute un moteur de détection, la gestion des incidents et, avec les niveaux payants, un agent pour les postes appelé Elastic Defend. Le moteur de détection fournit des règles préconfigurées associées à MITRE ATT&CK et, à partir du niveau Platinum, des tâches de machine learning non supervisé qui signalent les valeurs statistiquement atypiques dans les données indexées au lieu de rechercher uniquement des signatures connues. Vous pouvez gérer toute la stack gratuitement (licence Basic) ou laisser Elastic l exploiter pour vous avec Elastic Cloud Hosted ou le nouveau Elastic Cloud Serverless, qui facture séparément l ingestion et le stockage au lieu de vous faire provisionner des nœuds fixes.

Wazuh

Wazuh repose sur trois composants. L agent s installe sur le poste (Windows, Linux, macOS, mais aussi HP-UX, Solaris et AIX) et assure la collecte locale : transfert des journaux, surveillance de l intégrité des fichiers, évaluation de la configuration et actions de réponse active. Le serveur reçoit ces données, les traite avec un moteur de règles et de décodeurs, les corrèle avec des indicateurs de compromission connus et peut évoluer horizontalement en cluster lorsque le nombre d agents atteint plusieurs centaines ou milliers. Le Wazuh indexer — un fork open source d OpenSearch, et non d Elasticsearch — stocke les alertes obtenues et fournit l interface web basée sur OpenSearch Dashboards. Comme Wazuh s est séparé de la stack détenue par Elastic, un déploiement Wazuh auto-hébergé ne dépend d aucune licence Elastic.

Déployer et optimiser correctement l une ou l autre stack — créer des décodeurs personnalisés, connecter les intégrations ou mettre en place un cluster Elastic Cloud correctement dimensionné ou un cluster Wazuh auto-hébergé — relève d un travail d ingénierie sur l ensemble du cycle de vie, et non d une installation réalisée en un week-end, surtout dès que vous lui envoyez un volume réel de journaux de production.

Tarifs d Elastic Security et de Wazuh

Aucun des deux éditeurs ne facture par poste comme le font généralement les outils EDR commerciaux, ce qui explique précisément pourquoi les comparaisons de prix sont parfois difficiles ici.

La différence concrète est la suivante : les niveaux d Elastic constituent une barrière de fonctionnalités ajoutée à une consommation calculée selon les ressources. Votre facture augmente donc avec le volume de données et la durée de rétention, et non avec le nombre de comptes. Les niveaux de Wazuh Cloud sont des paliers fondés sur le nombre d agents : le prix reste fixe que vous exécutiez 40 ou 100 agents, car c est le plafond qui est mesuré, et non le volume de journaux produit par ces agents.

Elastic Security ou Wazuh pour une petite entreprise

Pour une PME disposant de quelques personnes en informatique et d aucun ingénieur sécurité dédié, le point de départ honnête est le niveau gratuit auto-hébergé de Wazuh ou le niveau Basic gratuit d Elastic : les deux offrent une véritable couverture de détection sans coût de licence. La différence apparaît dans ce que vous devez abandonner pour rester dans le gratuit :

• Elastic Basic (auto-géré, gratuit) : visualisation complète dans Kibana et règles de détection préconfigurées, mais aucune détection des anomalies par machine learning ni action de réponse Elastic Defend ; vous exploitez donc un SIEM sans la composante EDR.
• Wazuh (auto-hébergé, gratuit) : plateforme complète, avec réponse active et détection des vulnérabilités, mais vous assumez 100 % de la charge opérationnelle : mise à jour de l indexeur, optimisation des règles et maintien en bon état du cluster.

Lorsqu une PME souhaite que quelqu un d autre assure la surveillance de l infrastructure, les offres payantes divergent fortement : le niveau Standard Cloud d Elastic, à 99 $/mois, constitue un véritable point d entrée abordable, mais n inclut pas les fonctionnalités de réponse sur les postes que recherchent réellement la plupart des acheteurs (elles nécessitent Enterprise, à partir d environ 184 $/mois, et la facture continue d augmenter avec le volume de journaux). Le niveau Small de Wazuh Cloud coûte 571 $/mois au forfait, que vous ayez 20 ou 100 postes ; le montant ne change pas tant que vous restez dans ce palier.

Elastic Security ou Wazuh pour les MSP

Les MSP qui évaluent l une ou l autre plateforme se heurtent à la même question, mais sous deux angles différents : quel niveau de contrôle conservez-vous réellement lorsque l hébergement est assuré par un tiers ? Wazuh Cloud le documente explicitement : il s agit d un service géré avec des garde-fous délibérés pour assurer la sécurité multitenant : accès limité au tableau de bord, aucun accès direct en CLI ou au shell de l infrastructure sous-jacente, et API du serveur et de l indexeur désactivées par défaut (un accès en lecture seule peut être demandé au support, mais les opérations d écriture via l API de l indexeur sont totalement interdites). C est un compromis raisonnable pour un client unique, mais les MSP qui souhaitent créer des décodeurs personnalisés, automatiser l intégration de nombreux tenants ou connecter étroitement leurs propres outils finissent généralement par auto-héberger Wazuh, précisément parce que son cœur entièrement open source et gratuit n impose pas de restriction équivalente.

Elastic ne publie pas non plus de produit distinct de gestion multitenant pour les MSP. La plupart des MSP qui exécutent Elastic Security pour leurs clients provisionnent donc des organisations Elastic Cloud ou des clusters auto-gérés distincts pour chaque client, puisque la facturation d Elastic selon les ressources isole déjà les coûts par cluster. Le compromis pratique est le même que pour les PME, mais multiplié par le nombre de comptes : Wazuh maintient le coût des licences à zéro, quel que soit le nombre de déploiements clients, tandis que la facturation d Elastic selon les ressources et par cluster signifie que votre marge dépend de votre capacité à contrôler étroitement le volume d ingestion de chaque client.

Les taux de détection d Elastic Security et de Wazuh

Les recherches sur les « taux de détection » dans ce comparatif attendent généralement un pourcentage issu d un benchmark. Il faut toutefois préciser pourquoi un tel chiffre n existe pas de manière fiable : ni Elastic Security ni Wazuh ne publie actuellement de résultats issus d un test d efficacité indépendant et standardisé comparable aux évaluations MITRE ATT&CK auxquelles soumettent leurs agents les éditeurs commerciaux d EDR. Sur les sites d avis, vous trouverez plutôt des scores de satisfaction des utilisateurs (G2, PeerSpot), utiles pour évaluer l utilisation au quotidien, mais qui ne mesurent pas le nombre de techniques d attaque réelles détectées par chaque plateforme.

La comparaison honnête porte donc sur la méthode de détection, qui détermine la couverture :

• Wazuh repose entièrement sur les signatures et les règles : son moteur de décodeurs et de règles compare les données collectées avec des indicateurs de compromission connus et des ensembles de règles associés à MITRE ATT&CK. Cette approche est déterministe et vérifiable ; vous pouvez comprendre exactement pourquoi une alerte s est déclenchée, mais elle ne détecte que ce pour quoi une règle a été créée.
• Le niveau Basic d Elastic Security est similaire sur le plan de l architecture : des règles de détection préconfigurées, de type signature. La différence apparaît uniquement avec Platinum et Enterprise, où des tâches de machine learning non supervisé évaluent les anomalies comportementales par rapport à une base statistique. Elles peuvent révéler de nouveaux schémas d attaque qu un ensemble de règles statiques manquerait, au prix d un réglage plus important pour maintenir les faux positifs à un niveau acceptable.

En pratique, si votre équipe sait créer et maintenir de bonnes règles de détection, le moteur de règles gratuit de Wazuh et Elastic Basic offrent des performances comparables. L écart apparaît spécifiquement sur la détection comportementale et des anomalies, et uniquement si vous payez les niveaux supérieurs d Elastic pour y accéder.

Coût total de possession pour une PME de 50 postes

Cinquante postes représentent un seuil courant pour les PME : trop nombreux pour être surveillés manuellement, mais pas encore assez pour justifier un recrutement dédié en sécurité. Voici comment se répartissent les véritables facteurs de coût, au-delà du simple prix catalogue :

Pour 50 postes, Wazuh auto-hébergé est la solution la moins chère sur le papier. Cela n est vrai que si quelqu un dans l équipe dispose du temps nécessaire en ingénierie de plateforme pour maintenir un cluster de production en bon état ; sinon, la licence « gratuite » est absorbée par des heures de travail qui n avaient pas été budgétées. Le forfait de 571 $/mois de Wazuh Cloud est simple à prévoir, car il ne varie pas selon le volume de journaux. Le coût réel d Elastic Security pour 50 postes dépend entièrement de la quantité de données journalisées et de la durée de conservation : le prix d appel de 99 $/mois est réaliste pour un petit cluster Standard, mais il n inclut pas la capacité de réponse sur les postes qui a généralement motivé l achat.

Alors, lequel choisir : Elastic Security ou Wazuh ?

Aucune solution ne l emporte dans tous les cas : la réponse honnête dépend de la ressource qui vous manque le plus, le budget ou le temps d ingénierie.

• Choisissez Wazuh si vous disposez déjà, ou pouvez développer, les compétences internes nécessaires pour exploiter une infrastructure open source et souhaitez maintenir le coût des licences à zéro indéfiniment, quel que soit le nombre de postes ou de déploiements clients ajoutés.
• Choisissez Elastic Security si vous utilisez déjà l Elastic Stack pour la journalisation ou l observabilité et souhaitez intégrer la sécurité à la même plateforme, ou si la détection comportementale par machine learning justifie le prix du niveau Enterprise.
• Préférez une option gérée à l auto-hébergement de l une ou l autre solution si le temps de votre équipe vaut plus que l abonnement. La tarification de Wazuh Cloud, fondée sur des paliers fixes d agents, est plus facile à prévoir que la facture d Elastic liée au volume, mais le prix d entrée d Elastic est inférieur si vous pouvez maintenir un volume de données et une durée de rétention limités.

Si vous hésitez encore sur la formule réellement adaptée à votre environnement, une courte discussion gratuite est généralement plus rapide qu une semaine supplémentaire à comparer des spécifications : demandez à Netalith une consultation gratuite sur la visibilité IA et l infrastructure pour examiner les chiffres réels de votre configuration.