C'est vrai mais là pour le coup ça dépend vraiment de beaucoup plus de choses ! Il y a  également des coûts récurrents et/ou caché dans le propriétaire : par exemple pour le support, pour les opérations de MCO, les licenses multiples et par options, les prestations de services, les version spécifiques, la dépendance du fournisseurs ... De toutes les façons on fait souvent le même travail quand on implémente une solution propriétaire (formation, intégration, test, validation, ...) Mais c'est un grand débat et ce n'est pas le sujet (loin de moin l'idée de lancer ce vieux troll !)

Pour la partie reverse, je pensais à des truc simple et maîtrisé par la majorité des sysadmins (mod_security core rules) ou plus élaborée (varnish+nginx & co) mais je rejoins également un avis cité plus haut, de toutes les façons, il faut se faire une raison Il est impossible de bloquer 100% des attaques applicatives. Il est donc nécessaire de bien qualifier les processus en même temps que les choix technologiques (gestion des mise à jour de blacklist, faux positifs, sirt et réaction en cas d'attaque, proactif vs réactif ...). Surtout si le nombre de serveurs et de sites est grand