Wazuh ou CrowdStrike : tarifs, détection et choix pour votre équipe

Wazuh ou CrowdStrike en un coup d’œil

Ces deux solutions figurent souvent sur les mêmes listes restreintes, mais elles n’appartiennent pas exactement à la même catégorie. Wazuh est une plateforme SIEM/XDR open source et gratuite que vous déployez et exploitez vous-même (ou que vous pouvez faire héberger par Wazuh). CrowdStrike Falcon est une plateforme EDR/XDR propriétaire, fournie dans le cloud et facturée par endpoint. Le tableau ci-dessous donne l’essentiel ; les sections suivantes détaillent les tarifs, la détection et le coût total de possession pour vous aider à prendre une véritable décision.

Ce que sont réellement ces deux plateformes

Wazuh associe un agent universel léger à trois composants côté serveur : le serveur Wazuh (corrélation et analyse des règles), l’indexer Wazuh (recherche et stockage) et le tableau de bord Wazuh. Issu à l’origine d’un fork d’OSSEC, le projet est devenu une plateforme SIEM et XDR complète : analyse des journaux, surveillance de l’intégrité des fichiers, détection des vulnérabilités, évaluation de la configuration et réponse aux incidents. Le tout est distribué sous les licences GPLv2 et Apache 2.0, comme l’a documenté l’équipe d’ingénierie de Wazuh. Vous pouvez l’exécuter entièrement sur votre propre infrastructure, sans frais de licence, ou souscrire à Wazuh Cloud pour le faire héberger.

CrowdStrike Falcon repose sur un agent cloud natif unique qui transmet la télémétrie au backend de CrowdStrike. Les modèles de machine learning et les propres renseignements de CrowdStrike sur les menaces s’y chargent de la détection. Vous n’avez rien à auto-héberger, aucune règle de corrélation à écrire ni aucun cluster d’indexation à dimensionner : vous choisissez un niveau, déployez le capteur et CrowdStrike assure la maintenance de la logique de détection.

Cette différence — « vous construisez et réglez le moteur de détection » contre « vous achetez le moteur de détection en tant que service » — constitue le véritable point de divergence. Elle explique presque toutes les autres différences de ce comparatif.

Wazuh ou CrowdStrike : taux de détection

C’est la question que l’on veut réellement résoudre quand on demande « lequel est le meilleur », mais elle mérite une réserve importante : les deux solutions ne sont pas évaluées selon la même méthode.

CrowdStrike participe aux évaluations ATT&CK indépendantes de MITRE Engenuity, lors desquelles les éditeurs sont testés face à des groupes d’attaquants du monde réel émulés, dans des conditions où les règles du test ne sont pas communiquées à l’avance. CrowdStrike a publié de très bons résultats sur plusieurs campagnes, notamment une prévention à 100 % lors d’un test simulant les groupes WIZARD SPIDER et VOODOO BEAR (Sandworm), ainsi qu’une couverture de détection de 99 % (75 techniques sur 76) lors de la première évaluation Security Service Provider, qui simulait OilRig. Il s’agit de synthèses publiées par CrowdStrike à partir des résultats de MITRE, mais la méthodologie et les données brutes de l’évaluation sont publiées indépendamment par MITRE Engenuity, ce qui rend la comparaison entre éditeurs pertinente.

Wazuh ne figure pas actuellement dans ces campagnes d’évaluation d’éditeurs de la même manière. Sa qualité de détection repose sur des règles de corrélation (dont beaucoup proviennent de son héritage OSSEC), les décodeurs que vous configurez et les flux de renseignements sur les menaces que vous connectez, notamment VirusTotal, YARA, Suricata et vos listes d’IOC personnalisées. Le taux de détection de Wazuh n’est donc pas un chiffre fixe que l’on peut citer : il dépend du temps consacré par votre équipe au réglage des règles et à l’intégration des flux. Une installation Wazuh par défaut avec les règles d’origine détectera bien moins de menaces qu’une installation CrowdStrike Enterprise dès sa mise en service. En revanche, un déploiement Wazuh soigneusement réglé par une personne qui maîtrise le jeu de règles peut combler une grande partie de l’écart face aux menaces connues et de sophistication moyenne. Il n’égalera toutefois pas la détection comportementale par ML de CrowdStrike contre les techniques inédites, sans fichier ou de type living-off-the-land, sans un travail d’ingénierie supplémentaire conséquent.

En pratique, si le « taux de détection » doit être un chiffre à présenter à un auditeur ou à une direction, les résultats évalués indépendamment de CrowdStrike constituent l’élément le plus solide. Si vous disposez des ressources d’ingénierie nécessaires pour faire de la qualité de détection une pratique continue, Wazuh peut s’en approcher de manière honorable pour une fraction du coût.

Tarifs de Wazuh et CrowdStrike (2026)

La licence logicielle Wazuh est gratuite à tous les niveaux : le seul coût récurrent correspond à l’infrastructure (en auto-hébergement) ou à un contrat d’hébergement Wazuh Cloud sur devis. CrowdStrike Falcon est commercialisé selon quatre niveaux affichés sur la page tarifaire officielle de CrowdStrike. Le seuil le plus important est facile à manquer : le véritable EDR n’est disponible qu’à partir de Falcon Enterprise.

Les modules complémentaires (protection des identités, protection des workloads cloud, gestion de l’exposition et ingestion supplémentaire de journaux) sont tarifés et vendus séparément des quatre niveaux. La page tarifaire officielle de CrowdStrike les présente comme des options venant s’ajouter à l’offre de base : prévoyez donc un budget distinct au lieu de considérer le tarif par appareil comme le montant total.

Coût total de possession pour 50 endpoints

Cinquante endpoints constituent souvent un seuil charnière : un volume trop faible pour justifier un SOC dédié, mais assez important pour que « faire au mieux » commence à coûter cher. Voici le coût annuel réel de chaque solution, en supposant que vous recherchez une protection de niveau EDR plutôt qu’un simple antivirus :

Le chiffre oublié par la plupart des comparatifs : une licence Wazuh « gratuite » ne signifie pas que le coût total est nul. Quelqu’un doit assurer durablement le réglage des règles, l’application des correctifs et le triage des alertes. Une fois ce temps pris en compte honnêtement, il représente le principal poste de dépense. Le prix catalogue plus élevé de CrowdStrike vous évite l’essentiel de ce travail. Pour une structure de 50 endpoints dont un ingénieur maîtrise déjà la stack, le TCO de Wazuh peut être sensiblement inférieur à celui de CrowdStrike. Pour une structure de 50 endpoints sans temps d’ingénierie sécurité dédié, l’option « gratuite » finit souvent par coûter plus cher lorsque l’on tient compte de ce qui n’est ni réglé ni examiné.

Wazuh ou CrowdStrike pour une petite entreprise

Les petites entreprises se répartissent ici en deux profils bien distincts, et la bonne réponse dépend du vôtre :

• Vous avez une personne technique capable d’en prendre la responsabilité. Un développeur, un administrateur système ou un responsable informatique à temps partiel à l’aise avec Linux et YAML peut déployer Wazuh, tirer une réelle valeur de la surveillance de l’intégrité des fichiers et de la corrélation des journaux, tout en maintenant le coût de licence à zéro. C’est une solution particulièrement adaptée aux petites entreprises soumises à des exigences de conformité (PCI DSS, journalisation HIPAA) qui doivent fournir des preuves d’audit sans disposer d’un budget sécurité.
• Vous ne disposez d’aucune capacité dédiée en sécurité ou en ingénierie informatique. Falcon Go couvre jusqu’à 100 appareils avec un antivirus nouvelle génération pour environ 60 $ par appareil et par an, avec un effort de configuration presque nul. N’oubliez toutefois pas qu’il n’inclut pas d’EDR : en cas d’incident, vous disposez d’une prévention, mais pas de fonctions d’investigation ou de réponse. Les entreprises qui doivent réellement enquêter sur les incidents et les contenir, plutôt que simplement bloquer les fichiers connus comme malveillants, ont besoin de Falcon Enterprise ou d’un partenaire CrowdStrike managé, ce qui modifie sensiblement l’équation financière.

Wazuh ou CrowdStrike pour les MSP

C’est ici que l’argument du « gratuit » se complique. CrowdStrike propose un programme MSSP conçu pour ce cas : portail partenaire en libre-service, groupes de déploiement par client et offres pensées pour gérer plusieurs tenants depuis une console unique. Il s’agit d’une solution packagée, et non d’un dispositif à assembler vous-même.

La distribution open source de Wazuh ne propose pas de gestion native de la multilocation. Exploiter Wazuh pour plusieurs clients implique donc de concevoir soi-même l’architecture : généralement, un cluster d’indexation/manager dédié par client et un indexeur central pour la visibilité interclients de votre équipe, reliés au moyen de la recherche inter-clusters, ou une stack de VM par client pour renforcer l’isolation. Wazuh propose également un programme de partenariat MSSP payant avec Wazuh Cloud, qui fournit d’emblée des environnements isolés par client. C’est l’option la plus réaliste pour un MSP qui ne souhaite pas concevoir et maintenir cette architecture à partir de zéro.

En résumé pour les MSP : les outils MSSP de CrowdStrike sont plus immédiatement opérationnels, mais ajoutent un coût par endpoint chez chaque client. La multilocation Wazuh auto-hébergée est réellement gratuite au niveau des licences, mais constitue un véritable projet d’infrastructure, pas une simple case à cocher. Prévoyez le temps d’ingénierie nécessaire ou utilisez le programme de partenariat MSSP de Wazuh plutôt que de concevoir l’isolation de zéro.

La différence d’architecture derrière la panne de CrowdStrike en 2024

En juillet 2024, une mise à jour de contenu défectueuse du capteur Falcon de CrowdStrike a déclenché une boucle de plantages avec écran bleu de la mort sur un grand nombre de machines Windows dans le monde, perturbant les compagnies aériennes, les hôpitaux, les banques et les services publics. La cause première était liée à l’architecture du capteur : Falcon fonctionne avec un pilote en mode noyau sous Windows. Cette approche lui offre une visibilité approfondie sur l’activité du système, mais signifie aussi qu’une mauvaise mise à jour peut faire planter tout le système d’exploitation, plutôt que le seul agent de sécurité.

L’agent Wazuh fonctionne dans l’espace utilisateur et non dans l’espace noyau. Ce choix architectural réduit une partie de la visibilité bas niveau fournie par un pilote noyau, mais signifie également qu’une mise à jour défaillante de l’agent Wazuh ne peut pas arrêter le système d’exploitation hôte comme peut le faire une défaillance d’un pilote en mode noyau.

Ce n’est pas une raison pour écarter les agents en mode noyau : ce niveau d’accès est précisément ce qui rend la détection comportementale de CrowdStrike performante contre les attaques sophistiquées et sans fichier. Il s’agit d’un compromis réel : une visibilité plus profonde et une meilleure détection des menaces avancées, mais un rayon d’impact plus important en cas de problème avec l’agent lui-même. Un point à comprendre avant de standardiser votre parc sur l’une ou l’autre approche.

Alors, quelle solution choisir ?

Aucune ne l’emporte à elle seule : elles sont conçues pour des modèles d’exploitation différents.

Un nombre non négligeable d’équipes de sécurité finissent par utiliser les deux solutions sur différentes parties de leur parc : CrowdStrike sur les endpoints qui nécessitent un EDR comportemental et une réponse rapide aux incidents, et Wazuh pour la journalisation de conformité et l’intégrité des fichiers, domaines où ses fonctions SIEM et l’absence de frais de licence sont particulièrement utiles. Si vous déployez l’une de ces solutions et avez besoin d’aide en ingénierie pour bien configurer le projet — réglage des règles, multilocation de type MSSP ou intégration de l’une des plateformes à une stack de sécurité plus large — c’est exactement le type de réalisation que prend en charge l’équipe de développement logiciel sur mesure de Netalith. Vous ne savez pas encore si une solution auto-hébergée, une intégration ou un autre périmètre correspond à votre situation ? Demandez un devis détaillé et nous vous aiderons à déterminer l’approche la plus adaptée.