Les trois couches d'un programme cyber
Il est utile de décomposer un programme cyber en trois couches. La couche de télémétrie collecte ce qui se passe réellement sur vos postes, serveurs, conteneurs et dans votre code. La couche d'analyse transforme cette télémétrie brute en signification — déduplication, corrélation, détection, hiérarchisation de l'exposition et quantification du risque. La couche de gouvernance transforme la signification en responsabilité — preuves, cartographie des contrôles, état de conformité et reporting aux dirigeants.
L'hypothèse coûteuse est que chaque couche exige des licences commerciales haut de gamme. En pratique, les couches peuvent être approvisionnées indépendamment, et c'est justement sur la couche de télémétrie — habituellement la plus onéreuse dans une pile commerciale — que l'open source est devenu réellement de niveau entreprise.
Wazuh comme couche de télémétrie ouverte
Wazuh est une plateforme de sécurité open source mature qui couvre à elle seule une part surprenante de la couche de télémétrie. Ses agents assurent la détection d'intrusion sur l'hôte, l'analyse des données de journaux, la surveillance de l'intégrité des fichiers, la détection de rootkits et d'anomalies, la détection de vulnérabilités sur les paquets installés, et l'évaluation de la configuration de sécurité au regard de référentiels. Déployé sur un parc, il produit le flux régulier de télémétrie de postes et de journaux qu'un EDR commercial fournirait autrement.
Autour de Wazuh, vous pouvez ajouter des scanners ouverts pour combler les manques : Nuclei pour les modèles de vulnérabilités web et réseau, Trivy pour l'analyse des conteneurs et des dépendances, Semgrep pour l'analyse statique de code. Ensemble, ils donnent à une petite équipe une couverture large — poste, web, conteneur, code et configuration — sans une seule licence premium.
Une couche neutre qui traite l'open source comme une source de premier rang
La télémétrie seule n'est pas un programme : c'est de la matière première. La valeur apparaît lorsqu'elle est normalisée, corrélée et transformée en décisions, et c'est le rôle d'une couche de risque et de GRC neutre. La propriété clé est la neutralité : la plateforme est conçue pour se connecter à ce qui produit les données, sans se soucier de savoir si un constat provient d'un scanner commercial à six chiffres ou d'un scanner open source.
GeneSecure peut utiliser les sorties de Wazuh et des scanners ouverts comme source de données peu coûteuse, en normalisant chaque constat dans un modèle partagé d'actifs, d'identités et de constats, et en marquant chaque enregistrement de sa provenance pour ne jamais confondre télémétrie réelle et données d'échantillon ou simulées. À partir de ce modèle normalisé, elle ajoute les couches dont une équipe réduite se passerait autrement : corrélation vers des cas suivis, exposition hiérarchisée par l'accessibilité aux actifs critiques et par des signaux d'exploitabilité comme le catalogue CISA KEV et l'EPSS, et cyber-risque exprimé en termes financiers.
De la gouvernance sans le prix de l'entreprise
La couche de gouvernance est là où une pile purement ouverte montre habituellement ses limites, et là où la couche neutre justifie sa place. Les mêmes constats normalisés alimentent les preuves de conformité : un contrôle peut être cartographié une fois et prouvé à partir de données vivantes sur des référentiels tels que SOC 2 et ISO 27001. Risque cyber fournisseurs, exceptions et remédiation vivent dans le même système, et le reporting prêt pour le conseil puise à la même source plutôt que dans un tableur séparé.
C'est la différence entre de la télémétrie et un programme. Wazuh et les scanners ouverts vous disent ce qui se passe ; la couche neutre transforme cela en exposition hiérarchisée, en risque financier, en preuves prêtes pour l'auditeur et en rapport au conseil — la reddition de comptes sur laquelle un responsable sécurité est réellement jugé.
À qui cela s'adresse, et les compromis
Ce modèle convient aux équipes sécurité réduites, aux organisations du marché intermédiaire soucieuses des coûts, et aux MSSP qui montent une offre managée abordable pour des clients plus petits. Il délivre un véritable programme — pas un jouet — parce que l'intelligence et la gouvernance sont de niveau entreprise, même lorsque la télémétrie est open source.
Les compromis honnêtes sont opérationnels. Une télémétrie open source signifie que vous exploitez et réglez vous-même les agents et les scanners ; la couverture et la qualité dépendent de cette discipline, ainsi que de la profondeur des connecteurs alimentant la couche neutre. La bonne façon d'y penser est que l'open source et le commercial ne s'opposent pas : utilisez l'ouvert là où il est fort (la télémétrie), consolidez l'intelligence et la gouvernance dans une couche neutre unique, et ajoutez des outils commerciaux plus tard exactement là où ils justifient leur coût — sans refonte, puisque le modèle ne se soucie pas de savoir quel outil a produit la donnée.