FAQ

Questions préalables à l'installation ou à l'achat qui ne rentrent pas clairement dans l'installation ou la référence.

Qu'est-ce que SocTalk ?

Une plateforme SOC multi-tenant conçue pour les MSP et les MSSP. Un plan de contrôle unique orchestre les stacks Wazuh propres à chaque client ; un pipeline AI trie les alertes et propose des actions ; des analystes humains approuvent les escalades. Entièrement open source.

Qu'est-ce qui est open source par rapport au commercial ?

Tout ce qui se trouve dans le dépôt soctalk/soctalk est sous licence Apache 2.0: le plan de contrôle, le pipeline AI, l'intégration Wazuh, les charts, la VM de démonstration. Il n'existe aucune séparation de fonctionnalités « communauté vs entreprise ».

Un service d'hébergement géré (SocTalk Cloud) existe pour les MSP qui ne veulent pas exploiter la plateforme eux-mêmes. Le service hébergé utilise le même code que la distribution ouverte.

Puis-je l'évaluer sans cluster Kubernetes ?

Oui, l'image de VM de démonstration est une installation mono-machine. Démarrez-la sur KVM, VMware, Hyper-V, Azure, ou convertissez-la depuis un format raw. Cinq minutes suffisent pour obtenir une installation multi-tenant fonctionnelle avec un tenant demo intégré.

Puis-je l'exécuter sur un seul nœud de façon permanente ?

Oui pour de très petits déploiements (1 à 2 clients, faible volume d'alertes). La VM de démonstration utilise le profil poc, qui suppose un stockage éphémère et n'est pas dimensionnée pour une charge soutenue. Pour un usage client réel :

• Augmentez les ressources de la VM (16 Go de RAM + 200 Go de SSD pour ~3 petits tenants).
• Utilisez le profil persistent lors de l'intégration des tenants.
• Ajoutez des sauvegardes (voir Sauvegarde et restauration).

Pour plus de ~3 tenants, prévoyez un cluster multi-nœuds.

Fonctionne-t-il en environnement isolé (air-gapped) ?

Oui, moyennant quelques étapes supplémentaires :

• Images de conteneurs : mettez en miroir ghcr.io/soctalk/* vers votre registre interne. Le chart accepte image.registry: your.registry.example/soctalk.
• Chart Helm : helm pull oci://ghcr.io/soctalk/charts/soctalk-system une fois, hébergez-le dans un registre OCI interne, puis pointez les installations vers celui-ci.
• LLM : utilisez un endpoint local compatible OpenAI (vLLM, proxy Ollama, proxy Bedrock on-prem). Voir Fournisseurs LLM.
• Analyseurs Cortex : tout analyseur nécessitant Internet ne fonctionnera pas. Utilisez uniquement des analyseurs on-prem (MaxMind GeoIP, MISP interne) ou désactivez Cortex.
• GitHub Releases : téléchargez l'image de VM sur un hôte connecté et transférez-la manuellement (sneakernet).

Le flux scripts/dev-up.sh s'exécute sans Internet une fois les images mises en miroir.

Quel est le coût LLM par tenant ?

Très variable, il dépend de :

• Le volume d'alertes (une enquête par alerte qui survit à la corrélation)
• Le budget de tokens par exécution (case_runs.tokens_budget, valeur par défaut du modèle 200 000)
• La sélection du modèle (fast_model + reasoning_model)
• La fréquence à laquelle le verdict indique needs_more_info (ce qui provoque une nouvelle exécution)

Ordre de grandeur avec le budget par défaut de 200 000 tokens par exécution et un usage typique : 30 alertes/jour × ~60k tokens/enquête × 5 $/Mtok en entrée ≈ 9 $/jour par tenant sur une configuration compatible OpenAI à bas coût. Ce chiffre est divisé par 5 à 10 avec un fast model moins cher. Voir Observabilité, Coût par tenant pour le mesurer.

Différents clients peuvent-ils utiliser des modèles LLM différents ?

Oui, surcharge par tenant au moment de l'intégration. Le modèle défini à l'échelle de l'installation est la valeur par défaut ; les tenants s'en écartent en spécifiant le leur. Voir Fournisseurs LLM, Surcharges par tenant.

Un client peut-il apporter sa propre clé LLM ?

Oui, la surcharge par tenant s'applique aussi à la clé API. Le magasin faisant autorité est IntegrationConfig.llm_api_key_plain dans Postgres ; le contrôleur la matérialise dans Secret/tenant-llm-key au sein du namespace du tenant (et non soctalk-system), que le runs-worker monte. Utile pour l'isolation de la facturation.

SocTalk envoie-t-il les données des clients à Anthropic / OpenAI ?

Uniquement ce sur quoi le pipeline AI raisonne : le corps de l'alerte, les observables extraits et les sorties des workers. Le runtime n'exfiltre pas les données au repos, seulement ce qui figure dans l'état de l'enquête en cours. Si vous avez besoin d'une posture plus stricte, utilisez un endpoint LLM on-prem (vLLM, Ollama). Voir Fournisseurs LLM, Basculer vers Anthropic / réglages runtime.

Remplace-t-il mes analystes ?

Non. SocTalk est positionné comme un copilote, pas comme un remplacement. Le nœud de verdict décide escalate | close | needs_more_info ; une escalade passe toujours par une porte de revue humaine. Sans l'humain, un MSSP à fort volume aurait toujours besoin d'analystes pour traiter les décisions que SocTalk leur achemine.

La valeur réside dans la compression ; la même équipe d'analystes peut gérer 5 à 10 fois le volume d'alertes, car les cas de routine se clôturent automatiquement et seuls les cas ambigus atteignent la revue humaine.

Fonctionne-t-il sans Wazuh ?

Le plan de données actuel repose uniquement sur Wazuh. La surface d'outils MCP (wazuh.*, cortex.*, thehive.*, misp.*) est enfichable, si bien que d'autres SIEM constituent des ajouts envisageables. Aucun n'est livré à ce jour.

Quelle est la posture de durcissement pour la production ?

• Row-Level Security de Postgres avec FORCE ROW LEVEL SECURITY comme filet de sécurité pour l'isolation des données inter-tenants.
• Cilium NetworkPolicy isolant chaque namespace tenant-<slug>.
• TLS partout (géré par cert-manager pour la production ; auto-signé pour l'assistant).
• Tout l'état du plan de contrôle est dans Postgres avec une sémantique de journal d'audit en ajout seul (append-only).
• Un administrateur bootstrap n'est créé que lorsqu'il est explicitement configuré dans les values (ou via un Secret pré-provisionné) ; changez son mot de passe après la première connexion avec soctalk-auth set-password.

Voir Modèle de sécurité pour la posture complète.

Puis-je l'exécuter sur EKS / AKS / GKE ?

Oui, le chart cible un Kubernetes standard 1.30+. Branchez la StorageClass, le contrôleur d'ingress et le solveur DNS-01 cert-manager de votre cloud. Le guide d'installation est centré sur K3s parce que c'est la distribution par défaut ; le chart lui-même n'y attache aucune importance.

Passe-t-il à l'échelle de N clients ?

Testé jusqu'à ~50 tenants sur un cluster à 3 nœuds (16 vCPU / 64 Go / nœud). Le goulot d'étranglement est généralement l'indexeur Wazuh par tenant (chaque indexeur est un processus Java avec son propre heap) plutôt que le plan de contrôle SocTalk. Prévoyez ~6 à 8 Go de RAM et ~1,5 vCPU par tenant en profil persistent: voir Dimensionnement.

Qu'en est-il de la conformité (SOC 2, HIPAA, PCI) ?

La posture de la plateforme prend en charge les audits de type SOC 2, journal d'audit en ajout seul, RBAC, chiffrement au repos (Postgres + indexeur Wazuh), chiffrement en transit. Elle n'est pas livrée avec une attestation SOC 2 ; c'est la responsabilité du MSSP pour son hébergement.

Pour HIPAA / PCI, le plan de données (Wazuh) contient souvent des données concernées par le périmètre. Traitez ce PVC comme faisant partie du périmètre et sauvegardez-le en conséquence (voir Sauvegarde et restauration).

Qu'y a-t-il sur la feuille de route ?

Les GitHub Issues et le tableau Projects de soctalk/soctalk font foi. Éléments à fort impact mentionnés dans la documentation comme prévus pour une prochaine version :

• Mode d'authentification par proxy exposé comme un réglage des values du chart (aujourd'hui : surcharge par variable d'environnement).
• API de mise à niveau de flotte (aujourd'hui : boucle manuelle helm upgrade).
• Émetteur de licences (identifiants d'installation signés hors ligne).
• Assistant d'intégration VPN géré par le client (aujourd'hui : modèle documenté uniquement).
• Onglet Agents par tenant sur la page de détail du tenant.

Comment contribuer ?

Voir la page Contribuer.

Où obtenir de l'aide ?

• Issues : https://github.com/soctalk/soctalk/issues
• Discussions : https://github.com/soctalk/soctalk/discussions
• Sécurité : voir SECURITY.md dans le dépôt