Elastic Security hay Wazuh: SIEM nào hợp SMB năm 2026?

Elastic Security và Wazuh: Câu trả lời ngắn gọn

Elastic Security và Wazuh cùng giải quyết một bài toán — thu thập dữ liệu log và endpoint, đối chiếu với các chỉ báo mối đe dọa, đồng thời cung cấp cho đội ngũ bảo mật nơi điều tra sự cố — nhưng hai nền tảng bắt đầu từ những triết lý cấp phép hoàn toàn trái ngược. Wazuh là phần mềm nguồn mở hoàn toàn (GPLv2), không có bất kỳ cấp bản quyền trả phí nào; bạn chỉ phải trả tiền nếu muốn sử dụng dịch vụ lưu trữ được quản lý của Wazuh. Elastic Security là mã nguồn mở được tích hợp trong mô hình thuê bao thương mại: có một gói Basic thực sự miễn phí, nhưng những tính năng mà phần lớn SMB cần nhất — phát hiện bất thường bằng machine learning và các thao tác phản hồi endpoint của Elastic Defend — nằm trong các gói trả phí.

Bảng trên là phần tóm tắt. Phần còn lại của hướng dẫn sẽ đi sâu vào giá, mức độ phù hợp với doanh nghiệp nhỏ, các yếu tố cần cân nhắc cho MSP và ý nghĩa thực sự của những tuyên bố về “tỷ lệ phát hiện”, trước khi bạn triển khai một trong hai nền tảng lên endpoint.

Kiến trúc thực tế của từng nền tảng

Elastic Security

Elastic Security vận hành trên Elastic Stack: Elasticsearch lưu trữ và lập chỉ mục dữ liệu, Kibana là giao diện người dùng, còn ứng dụng Security bổ sung công cụ phát hiện, quản lý case và (ở các gói trả phí) agent endpoint có tên Elastic Defend. Công cụ phát hiện đi kèm các quy tắc dựng sẵn được ánh xạ theo MITRE ATT&CK và — bắt đầu từ gói Platinum — các tác vụ machine learning không giám sát để đánh dấu những điểm bất thường mang tính thống kê trong dữ liệu đã lập chỉ mục, thay vì chỉ khớp với các chữ ký đã biết. Bạn có thể tự quản lý toàn bộ stack miễn phí (giấy phép Basic), hoặc để Elastic vận hành trên Elastic Cloud Hosted hay Elastic Cloud Serverless mới hơn; các dịch vụ này tính phí ingest và lưu trữ riêng thay vì yêu cầu bạn cấp phát các node cố định.

Wazuh

Wazuh được xây dựng từ ba thành phần. Agent được cài trên endpoint (Windows, Linux, macOS, cùng HP-UX, Solaris và AIX) và đảm nhiệm việc thu thập cục bộ: chuyển tiếp log, giám sát tính toàn vẹn tệp, đánh giá cấu hình và thực hiện các thao tác phản hồi chủ động. Server tiếp nhận dữ liệu đó, xử lý qua công cụ quy tắc và decoder, đối chiếu với các chỉ báo xâm phạm đã biết, đồng thời có thể mở rộng theo chiều ngang thành một cluster khi số lượng agent tăng lên hàng trăm hoặc hàng nghìn. Wazuh indexer — một nhánh mã nguồn mở của OpenSearch, không phải Elasticsearch — lưu trữ các cảnh báo tạo ra và cung cấp giao diện web dựa trên OpenSearch Dashboards. Vì Wazuh đã tách khỏi stack thuộc Elastic, một hệ thống Wazuh tự lưu trữ không phụ thuộc vào giấy phép Elastic ở bất kỳ đâu.

Triển khai và tinh chỉnh tốt một trong hai stack — viết decoder tùy chỉnh, kết nối các tích hợp hoặc xây dựng cluster Elastic Cloud hay Wazuh tự lưu trữ với quy mô phù hợp — là công việc kỹ thuật trọn vòng đời, không phải việc có thể cài xong trong một cuối tuần, đặc biệt khi hệ thống bắt đầu tiếp nhận lưu lượng log sản xuất thực tế.

So sánh giá Elastic Security và Wazuh

Cả hai nhà cung cấp đều không tính giá theo endpoint như các công cụ EDR thương mại thường làm, và đây chính là lý do các so sánh chi phí giữa hai nền tảng dễ gây nhầm lẫn.

Khác biệt thực tế nằm ở chỗ: các gói của Elastic là một lớp giới hạn theo tính năng đặt trên mô hình tiêu thụ theo tài nguyên, nên hóa đơn tăng theo dung lượng dữ liệu và thời gian lưu giữ, không phải theo số tài khoản. Các gói Wazuh Cloud lại chia theo số lượng agent — mức giá cố định dù bạn chạy 40 hay 100 agent, vì hệ thống tính theo giới hạn của gói chứ không tính theo lượng log mà các agent tạo ra.

Elastic Security và Wazuh cho doanh nghiệp nhỏ

Với một SMB chỉ có vài nhân sự IT và chưa có kỹ sư bảo mật chuyên trách, điểm khởi đầu hợp lý là gói Wazuh tự lưu trữ miễn phí hoặc gói Elastic Basic miễn phí — cả hai đều cung cấp khả năng phát hiện thực tế mà không tốn chi phí bản quyền. Khác biệt nằm ở những gì bạn phải từ bỏ để duy trì trạng thái miễn phí:

• Elastic Basic (tự quản lý, miễn phí): có đầy đủ khả năng trực quan hóa bằng Kibana và các quy tắc phát hiện dựng sẵn, nhưng không có phát hiện bất thường dựa trên ML và thao tác phản hồi của Elastic Defend — bạn đang chạy một SIEM nhưng thiếu phần EDR.
• Wazuh (tự lưu trữ, miễn phí): có toàn bộ nền tảng, bao gồm phản hồi chủ động và phát hiện lỗ hổng, nhưng bạn phải tự gánh 100% công việc vận hành — vá indexer, tinh chỉnh quy tắc và duy trì trạng thái ổn định cho cluster.

Khi một SMB muốn có bên khác chịu trách nhiệm trực hệ thống, hai lựa chọn trả phí bắt đầu khác nhau rõ rệt: gói Elastic Standard Cloud ở mức 99 USD/tháng thực sự có ngưỡng gia nhập thấp, nhưng không bao gồm các tính năng phản hồi endpoint mà phần lớn người mua mong muốn (cần gói Enterprise, giá khởi điểm khoảng 184 USD/tháng, và hóa đơn vẫn tăng theo dung lượng log). Gói Small của Wazuh Cloud có mức cố định 571 USD/tháng, bất kể bạn có 20 hay 100 endpoint — chi phí ban đầu cao hơn, nhưng không đổi khi bạn thêm máy chủ trong cùng giới hạn gói.

Elastic Security và Wazuh cho MSP

Các MSP cân nhắc một trong hai nền tảng sẽ gặp cùng một câu hỏi dưới hai góc nhìn khác nhau: khi có bên khác lưu trữ hệ thống, bạn thực sự còn kiểm soát được bao nhiêu? Wazuh Cloud mô tả điều này khá rõ — đây là một dịch vụ được quản lý với các giới hạn có chủ đích nhằm bảo đảm an toàn multi-tenant: chỉ truy cập dashboard, không có quyền CLI hoặc shell trực tiếp vào hạ tầng bên dưới, đồng thời API Server và Indexer bị tắt theo mặc định (có thể yêu cầu quyền chỉ đọc thông qua bộ phận hỗ trợ, nhưng hoàn toàn không cho phép thao tác ghi vào indexer API). Đây là sự đánh đổi hợp lý với một khách hàng đơn lẻ, nhưng các MSP muốn viết decoder tùy chỉnh, tự động hóa quy trình onboarding cho nhiều tenant hoặc tích hợp sâu với công cụ riêng thường chọn tự lưu trữ Wazuh, chính vì lõi nguồn mở hoàn toàn miễn phí không áp đặt hạn chế tương tự.

Elastic cũng không công bố một sản phẩm multi-tenancy riêng cho MSP — phần lớn MSP chạy Elastic Security cho khách hàng sẽ cấp phát các tổ chức Elastic Cloud hoặc cluster tự quản lý riêng cho từng khách hàng, vì mô hình tính phí theo tài nguyên của Elastic vốn đã tách chi phí theo cluster. Sự đánh đổi thực tế cũng giống như với SMB, chỉ là được nhân lên trên nhiều tài khoản: Wazuh giữ chi phí bản quyền ở mức 0 dù bạn triển khai cho bao nhiêu khách hàng, trong khi mô hình tính phí tài nguyên theo cluster của Elastic khiến biên lợi nhuận phụ thuộc vào khả năng kiểm soát chặt dung lượng ingest của từng khách hàng trong danh mục.

Tỷ lệ phát hiện của Elastic Security và Wazuh

Những người tìm kiếm “tỷ lệ phát hiện” trong bài so sánh này thường kỳ vọng một con số phần trăm từ benchmark, nhưng cần nói thẳng lý do vì sao con số đáng tin cậy như vậy thường không tồn tại: hiện tại, cả Elastic Security lẫn Wazuh đều chưa công bố kết quả từ một bài kiểm thử hiệu quả độc lập, được chuẩn hóa và tương đương với MITRE ATT&CK Evaluations, nơi các nhà cung cấp EDR thương mại đưa agent endpoint của họ đi đánh giá. Thay vào đó, trên các trang đánh giá thường là điểm hài lòng của người dùng (G2, PeerSpot) — hữu ích để đánh giá khả năng sử dụng hằng ngày, nhưng không đo lường số kỹ thuật tấn công thực tế mà mỗi nền tảng phát hiện được.

Điều có thể so sánh một cách công bằng là phương pháp phát hiện, yếu tố quyết định mức độ bao phủ:

• Wazuh dựa hoàn toàn trên chữ ký và quy tắc: decoder và công cụ quy tắc đối chiếu dữ liệu thu thập được với các chỉ báo xâm phạm đã biết và các bộ quy tắc được ánh xạ theo MITRE ATT&CK. Cách này mang tính xác định và dễ kiểm toán — bạn có thể đọc chính xác lý do một cảnh báo được kích hoạt — nhưng chỉ phát hiện được những gì đã có quy tắc tương ứng.
• Gói Basic của Elastic Security có kiến trúc tương tự: các quy tắc phát hiện dựng sẵn, mang tính chữ ký. Điểm khác biệt chỉ xuất hiện ở Platinum và Enterprise, nơi các tác vụ ML không giám sát chấm điểm những bất thường về hành vi dựa trên đường cơ sở thống kê; nhờ đó, hệ thống có thể phát hiện các mô hình tấn công mới mà bộ quy tắc tĩnh có thể bỏ sót — đổi lại, bạn phải tinh chỉnh nhiều hơn để kiểm soát cảnh báo giả.

Kết luận thực tế là: nếu đội ngũ của bạn có thể viết và duy trì các quy tắc phát hiện tốt, công cụ quy tắc miễn phí của Wazuh và Elastic Basic có hiệu quả tương đương. Khoảng cách chỉ mở ra ở khả năng phát hiện hành vi/bất thường, và chỉ khi bạn trả tiền cho các gói cao hơn của Elastic để sử dụng tính năng đó.

Tổng chi phí sở hữu khi triển khai cho SMB 50 endpoint

Năm mươi endpoint là một mốc chuyển đổi phổ biến với SMB — quá nhiều để kiểm tra thủ công nhưng chưa đủ lớn để tuyển một nhân sự bảo mật chuyên trách. Dưới đây là những yếu tố thực sự tác động đến chi phí, không chỉ là giá niêm yết:

Riêng với 50 endpoint, Wazuh tự lưu trữ là lựa chọn rẻ nhất trên giấy tờ, nhưng điều này chỉ đúng nếu trong đội ngũ có người đủ thời gian kỹ thuật nền tảng để duy trì cluster sản xuất ổn định — nếu không, “bản quyền miễn phí” sẽ bị hấp thụ bởi những giờ công chưa được đưa vào ngân sách. Mức cố định 571 USD/tháng của Wazuh Cloud dễ dự toán vì không thay đổi theo dung lượng log. Chi phí thực tế của Elastic Security cho 50 endpoint hoàn toàn phụ thuộc vào lượng log bạn ghi nhận và thời gian lưu giữ — mức giá niêm yết 99 USD/tháng là hợp lý cho một cluster nhỏ ở gói Standard, nhưng không bao gồm khả năng phản hồi endpoint mà phần lớn người mua thực sự tìm kiếm.

Vậy Elastic Security hay Wazuh tốt hơn?

Không nền tảng nào thắng tuyệt đối — câu trả lời thực tế phụ thuộc vào nguồn lực nào khan hiếm hơn đối với bạn: ngân sách hay thời gian kỹ thuật.

• Chọn Wazuh nếu bạn có (hoặc có thể xây dựng) năng lực nội bộ để vận hành hạ tầng nguồn mở và muốn giữ chi phí bản quyền ở mức 0 vĩnh viễn, bất kể bạn bổ sung bao nhiêu endpoint hay triển khai cho bao nhiêu khách hàng.
• Chọn Elastic Security nếu bạn đã vận hành Elastic Stack cho logging hoặc observability và muốn tích hợp bảo mật vào cùng nền tảng, hoặc nếu khả năng phát hiện hành vi dựa trên ML xứng đáng với chi phí gói Enterprise.
• Chọn giải pháp được quản lý thay vì tự lưu trữ một trong hai nền tảng nếu thời gian của đội ngũ có giá trị hơn phí thuê bao — mức giá theo nhóm agent cố định của Wazuh Cloud dễ dự toán hơn hóa đơn tính theo dung lượng của Elastic, nhưng giá khởi điểm của Elastic thấp hơn nếu bạn kiểm soát tốt dung lượng dữ liệu và thời gian lưu giữ.

Nếu bạn vẫn đang cân nhắc mô hình đánh đổi nào thực sự phù hợp với môi trường của mình, một cuộc trao đổi ngắn, miễn phí thường nhanh hơn một tuần nữa đọc tài liệu đặc tả — nhận tư vấn miễn phí về AI-visibility và hạ tầng từ Netalith để cùng phân tích những con số thực tế cho hệ thống của bạn.