Protoxol
Solicitar demo
Plataforma Módulos Planes Blog Solicitar demo
SIEM · Módulo

SIEM y búsqueda

Repositorio central de eventos. Consultas estilo KQL. Pivotes de investigación.

Comparar con 5 alternativas ↓

Visión general

Qué hace SIEM.

SIEM y Búsqueda es el repositorio central de eventos y capa de consulta de la plataforma. Cada señal de cada módulo aterriza aquí en un esquema normalizado único. El lenguaje de consulta es estilo KQL — familiar para analistas que vienen de Microsoft Sentinel o Elastic — y corre distribuido entre niveles hot, warm y cold afinados por ti, no por el vendor. Hunts guardados, correlaciones programadas y timelines de investigación integrados.

Características

Dentro de SIEM.

Esquema unificado

Endpoint, red, email, identidad, cloud — misma forma. Misma consulta.

Consultas estilo KQL

Sintaxis familiar, autocompletado rápido, queries time-travel, hunts guardados.

Detección como código

Reglas en Git. Review vía pull request. Deploy vía CI. Rollback instantáneo.

Storage por niveles

Tú decides hot (30d), warm (1y), cold (5y). Sin sobrecostes obligatorios.

Timelines de investigación

Pinea alertas a un caso, construye narrativa, comparte con pares, exporta a auditoría.

Casos de uso

Donde SIEM se justifica.

Threat hunting

Queries hipotéticas entre módulos. Guarda, programa, comparte.

Informes de cumplimiento

Evidencia SOC 2, ISO 27001 construida desde los mismos datos que consultan analistas.

Detection engineering

Autoría de reglas en Sigma o DSL. Test contra datos históricos. Deploy con confianza.

Especificaciones técnicas

SIEM por dentro.

Tasa de ingesta Hasta 2 PB/día por cluster
Lenguaje de consulta DSL Protoxol (compatible KQL)
Latencia de consulta Latencia inferior a un segundo en el nivel hot de 30 días
Retención máxima 10 años cold storage disponible

Cifras de pruebas internas; método y fecha de medición pendientes de publicar.

Comparar alternativas

Protoxol SIEM y búsqueda frente a cinco alternativas

Un SIEM sirve para buscar un proceso, un inicio de sesión o una IP entre todas tus fuentes, y para que las alertas lleguen ya correlacionadas. El módulo SIEM y búsqueda de Protoxol es el almacén central de eventos de la plataforma: normaliza señales de endpoint, red, correo, identidad y cloud en un esquema, te deja consultar con un lenguaje estilo KQL y guarda hunts, correlaciones y timelines de investigación. Esta comparativa pone cinco alternativas relevantes al lado y señala dónde un SIEM más veterano encaja mejor.

Qué ofrece Protoxol

Tabla comparativa

Cada celda indica el estado y el alcance. Los estados se explican debajo de la tabla.

Ver alternativa:

Desliza la tabla horizontalmente para ver todas las columnas.

Protoxol SIEM y búsqueda frente a cinco alternativas
CriterioProtoxol SIEM y búsquedaMicrosoft SentinelGoogle Security Operations (SIEM, antes Chronicle)Splunk Enterprise SecurityIBM QRadar SIEMElastic Security
Ingesta y normalización DisponibleCada señal de cada módulo cae en un esquema normalizado único, con activo y actor como claves de unión. DisponibleConectores de fábrica, CEF, Syslog y REST. Normalización con ASIM, en ingesta y en consulta. ↗ DisponibleReenviador, colector, APIs, colectores OpenTelemetry y webhooks; los datos se normalizan al Modelo Unificado de Datos (UDM). ↗ Según configuraciónNormalización en tiempo de búsqueda con el Common Information Model (CIM); los datos brutos se conservan intactos. ↗ DisponibleLos módulos de soporte de dispositivos (DSM) normalizan los logs a eventos QRadar; además recoge datos de flujo de red. ↗ DisponibleEsquema universal con ECS, OCSF y OpenTelemetry, según Elastic. ↗
Fuentes admitidas DisponibleConecta Wazuh, Splunk, Elastic, Suricata, Zeek, Microsoft 365 y Okta. Para cualquier otra fuente, pide confirmación con tu lista. DisponibleConectores para fuentes Microsoft y Azure y para productos de terceros; puedes crear conectores propios. ↗ DisponibleEl reenviador acepta syslog y captura de paquetes; integraciones con APIs cloud como Office 365 y Azure AD. ↗ Requiere integraciónES correlaciona datos de acceso, endpoint y red que capturan otros dispositivos y productos; la entrada se configura por fuente. ↗ DisponibleIBM cita 700 integraciones y extensiones de socios; para dispositivos nuevos se añade un DSM. ↗ DisponibleMás de 400 integraciones prefabricadas y búsqueda federada entre despliegues sin centralizar los datos, según Elastic. ↗
Consulta y búsqueda DisponibleLenguaje de consulta estilo KQL sobre todos los módulos, con hunts guardados y búsquedas programadas. DisponibleKQL para hunting y reglas. Hunts con hipótesis, consultas favoritas y marcadores sobre resultados. ↗ DisponibleBúsqueda sobre UDM y reglas en YARA-L 2.0; una misma lógica sirve para buscar, detectar y montar paneles. ↗ DisponibleSPL para búsquedas, paneles y la cola de analista. ↗ DisponibleAQL, lenguaje tipo SQL sobre las bases Ariel de eventos y flujos, con filtros, agregaciones y ventanas de tiempo. ↗ DisponibleES|QL como lenguaje principal, además de KQL y EQL. ↗
Reglas y correlación DisponibleReglas como código (Git, revisión por pull request, despliegue por CI), autoría en Sigma o DSL propio y correlaciones programadas. DisponibleReglas analíticas de fábrica o propias que agrupan alertas en incidentes; cobertura MITRE ATT&CK y listas de vigilancia. ↗ DisponibleStandard: hasta 1.000 reglas de evento único y 75 multievento, y un subconjunto de detecciones curadas. ↗ DisponibleDetecciones: búsquedas de correlación programadas y reglas de riesgo; las basadas en hallazgos agrupan alertas menores. ↗ DisponibleReglas personalizadas sobre eventos, flujos y ofensas, y reglas de anomalías sobre búsquedas guardadas. ↗ DisponibleReglas por consulta, EQL, umbral, coincidencia de indicadores, términos nuevos, ES|QL y aprendizaje automático. ↗
Modelo de retención Según configuraciónNiveles hot, warm y cold que configuras tú. Los plazos disponibles dependen del plan contratado. Según configuración90 días incluidos; más allá se factura por volumen. El nivel data lake guarda a largo plazo con cobro por almacenamiento y consulta. ↗ Disponible12 meses de retención hot incluidos en Standard. Más de 12 meses es un cargo aparte por volumen ingerido. ↗ Según configuraciónRetención buscable configurable por índice en Splunk Cloud; al expirar, los datos pueden pasar a tu almacenamiento en AWS S3 o Google Cloud Storage. ↗ No confirmadoNo he encontrado en la documentación consultada cómo se configura la retención. Según configuraciónLa retención se factura por GB almacenado en el proyecto; la documentación consultada no detalla niveles de datos en Serverless. ↗
Investigación y casos DisponibleTimelines de investigación: fijas alertas a un caso, montas la narrativa, la compartes y la exportas a auditoría. DisponibleIncidentes con grafo interactivo de entidades y línea de tiempo; notebooks Jupyter para análisis más pesado. ↗ DisponibleGestión de casos, búsqueda y colaboración dentro de la plataforma; SOAR base incluido en Standard. ↗ DisponibleInvestigaciones con propietario, estado, urgencia y disposición, notas y adjuntos, enlazadas a hallazgos y a SLA por tipo. ↗ DisponibleLas ofensas agrupan eventos, flujos, activos y reglas implicadas; la pestaña Offenses sirve para llegar a la causa raíz. ↗ DisponibleCasos con alertas, eventos de Timeline, indicadores y métricas; conectores a Jira, ServiceNow e IBM Resilient. ↗
RBAC y separación de clientes Según licenciaMulti-tenant solo en el plan Enterprise, pensado para MSP. RBAC de mínimo privilegio descrito; el detalle por dato o tabla no. DisponibleRoles de Azure (Reader, Responder, Contributor), RBAC por recurso o por tabla y roles de Entra ID para el data lake. ↗ DisponibleRBAC de datos con etiquetas y ámbitos, y RBAC de funciones por IAM. Entornos múltiples (MSSP) desde Enterprise. ↗ DisponibleRoles ES (ess_user, ess_analyst) sobre el RBAC de Splunk. Separación multicliente no descrita en la documentación consultada. ↗ DisponibleRoles de usuario, perfiles de seguridad y dominios; inquilinos con administración delegada para proveedores gestionados. ↗ DisponibleRoles con privilegios por índice y seguridad a nivel de documento y de campo. Separación multicliente no verificada. ↗
Operación y escala demostrada No confirmadoSin datos verificados de volumen de ingesta ni de clientes en producción. Pide una prueba con tus fuentes. No confirmadoNo he verificado cuotas ni límites de ingesta del servicio en documentación oficial. No confirmadoNo he verificado límites de ingesta del servicio ni datos de operación a escala en documentación oficial. No confirmadoNo he verificado límites de ingesta ni datos de operación a escala en documentación oficial. No confirmadoNo he verificado datos de operación a escala ni límites en documentación oficial. No confirmadoNo he verificado límites de ingesta de Serverless ni datos de operación a escala.
Modelo de coste DisponiblePor endpoint protegido según plan, con módulos que se activan por separado. SIEM no está en Starter; eventos por segundo y retención se cotizan. DisponiblePor GB en nivel Analytics (pago por uso o compromiso desde 100 GB/día), más retención y cargos del data lake. ↗ DisponibleSuscripción en créditos por volumen de ingesta; el sobreuso se factura a la tarifa pactada. Precio con ventas. ↗ DisponiblePresupuesto con ventas. Modelos de ingesta, carga de trabajo o actividad, y dos ediciones: Essentials y Premier. ↗ DisponibleLicencia por eventos por segundo (EPS) y flujos por minuto (FPM), con reparto de capacidad entre hosts gestionados. ↗ DisponibleUso por GB ingerido y GB retenido; Elastic indica que no hay cargo por endpoint desde marzo de 2026. Complementos aparte. ↗
Relación con endpoint, red y correo DisponibleEDR, NDR, correo, identidad y cloud escriben en el mismo esquema; las señales de un mismo activo o actor se agrupan en un incidente. Requiere otro productoLas alertas de Defender para Endpoint y Office 365 entran sin coste de ingesta, pero son productos Defender aparte. ↗ Requiere integraciónEndpoint, red y correo llegan como telemetría de otros productos; Google Unified Security suma productos propios de Google. ↗ Requiere integraciónCorrela datos de acceso, endpoint y red recogidos por otros productos; ES es la capa de análisis, no el sensor. ↗ Requiere otro productoIBM presenta QRadar NDR y QRadar EDR como complementos; confirma su disponibilidad vigente tras la venta SaaS. ↗ Según licenciaHay protección de endpoint, pero las acciones de respuesta en endpoint son de Complete. Correo no figura en la documentación consultada. ↗
Automatización del SOC Según licenciaWebhooks, REST y OTEL de salida. Playbooks con aprobación humana: complemento en Team, incluidos en Enterprise. DisponibleReglas de automatización y playbooks sobre Azure Logic Apps, con conectores a ServiceNow, Jira y otros. ↗ DisponibleSOAR base en Standard, con más de 300 integraciones prefabricadas y playbooks automatizados. ↗ Según licenciaSplunk SOAR se integra con ES, pero la edición Premier lo incluye; Essentials es SIEM con asistente de IA y Detection Studio. ↗ Requiere otro productoIBM presenta QRadar SOAR como producto complementario; confirma su disponibilidad vigente. ↗ Según licenciaElastic Workflows se factura por ejecución, con 10.000 gratuitas al mes; Agent Builder es solo de Complete. ↗

Qué significa cada estado

Disponible
Función propia del producto o plan comparado.
Requiere integración
Funciona mediante un conector o un producto de terceros.
Según configuración
Existe, pero su alcance depende de cómo se despliegue o configure.
Según licencia
Solo en un plan superior o como complemento de pago.
Requiere otro producto
Lo cubre otro producto del mismo fabricante.
En desarrollo
Anunciado o en construcción; no está disponible con carácter general.
No confirmado
No hay evidencia suficiente. No equivale a «no».

Cinco comparaciones

Una por producto, con el plan que se ha comparado.

Microsoft Sentinel

Plan o edición: SIEM en nivel Analytics (pago por uso o niveles de compromiso), con nivel data lake opcional; consola Microsoft Defender

Sentinel encaja primero si tu entorno ya vive en Microsoft: lee Entra ID, Microsoft 365 y Azure con conectores propios y las alertas de Defender entran sin coste de ingesta. Investigas en KQL, con incidentes y grafo de entidades, y automatizas con playbooks sobre Logic Apps. Para servir a varios clientes existe Azure Lighthouse. La factura sigue los GB que ingieres y la retención pasados 90 días, así que estima volumen antes de decidir. Protoxol no tiene ese catálogo de conectores ni escala probada, pero factura por endpoint protegido y reúne EDR, red y correo en un mismo esquema. Un dato de calendario: desde abril de 2027 Sentinel solo se usa desde el portal de Defender.

Fuente oficial ↗

Google Security Operations (SIEM, antes Chronicle)

Plan o edición: Paquete Standard (Enterprise y Enterprise Plus añaden UEBA, inteligencia ampliada y más reglas)

Si vas a mandar mucho volumen y quieres un año de datos buscables sin pagar retención aparte, Standard lo cubre: ingesta por reenviador o API, UDM, reglas YARA-L y un SOAR base con más de 300 integraciones. Los límites están escritos: 1.000 reglas de evento único y 75 multievento, sin UEBA ni el paquete de detecciones curadas completo, que empiezan en Enterprise, igual que el modo multi-entorno para MSSP. Se contrata por volumen de ingesta, con ventas. Protoxol no puede enseñar hoy esa escala ni ese catálogo, a cambio de EDR, red y correo en el mismo esquema y facturación por endpoint. Mira Google si tu telemetría principal es cloud y tu equipo ya escribe YARA-L.

Fuente oficial ↗

Splunk Enterprise Security

Plan o edición: Edición Essentials (SIEM); Premier añade UEBA y SOAR. En Splunk Cloud Platform o Splunk Enterprise (software)

Splunk Enterprise Security es lo que muchos analistas ya conocen: SPL para buscar, detecciones por correlación o por riesgo, investigaciones con estado y SLA por tipo, y la opción de correr en Splunk Cloud Platform o con el software en tu infraestructura. Antes de comparar, fija la edición: Essentials es SIEM; UEBA y SOAR llegan con Premier, y las dos se presupuestan con ventas bajo modelos de ingesta, carga de trabajo o actividad. ES analiza datos que recogen otros productos y no trae sensor propio. Protoxol se factura por endpoint y trae EDR, red y correo, pero no tiene el ecosistema de apps ni la trayectoria de Splunk. Casa mejor con Splunk quien ya tiene equipo en SPL.

Fuente oficial ↗

IBM QRadar SIEM

Plan o edición: Software QRadar SIEM 7.5 (autogestionado; la versión QRadar on Cloud/SaaS se retiró)

Antes de nada, mira el aviso de disponibilidad: IBM vendió los activos SaaS de QRadar a Palo Alto Networks, que fijó el fin de vida de QRadar on Cloud y del SIEM nativo en la nube para el 14 de abril de 2026; el software on-prem no se ve afectado. Lo que queda con IBM es un SIEM maduro, con DSM para normalizar, AQL, ofensas y licencia por EPS y FPM, pensado para quien opera su propia infraestructura. Protoxol ofrece SaaS en la UE o autoalojado y facturación por endpoint, pero es más joven y no demuestra esa escala. Elige QRadar si ya tienes DSM y reglas que mantener.

Fuente oficial ↗

Elastic Security

Plan o edición: Elastic Cloud Serverless, nivel Security Analytics Essentials (Complete añade UEBA, IA y respuesta en endpoint)

Elastic Security gusta a equipos que quieren tocar la pieza: ES|QL, KQL y EQL, siete tipos de regla (de umbral a aprendizaje automático), casos con conectores a Jira o ServiceNow, y tres formas de desplegar, desde Serverless hasta entornos aislados. En Serverless pagas por GB ingerido y retenido, y Elastic afirma que ya no cobra por endpoint. Esa flexibilidad te pide decidir esquema, fuentes y reglas. Para respuesta en endpoint necesitas pasar a Complete. Protoxol trae esos módulos ya unidos y rutas de investigación definidas, pero con menos integraciones y sin la comunidad de Elastic. Si tu equipo ya sabe Elasticsearch, parte de él.

Fuente oficial ↗

Cuándo elegir Protoxol

  • Quieres investigar endpoint, red y correo desde un solo esquema y una sola consola, sin montar tres integraciones.
  • Tu equipo es pequeño o lo opera un MSP y prefieres presupuestar por endpoint protegido en lugar de por GB ingerido.
  • Necesitas SaaS en la UE o instalación propia con el mismo producto, y puedes probar con tus fuentes antes de decidir.

Cuándo considerar otra solución

  • Tu estado vive en Microsoft 365 y Azure y quieres conectores nativos y alertas de Defender sin coste de ingesta: Microsoft Sentinel.
  • Mueves un volumen de logs muy alto y necesitas escala y catálogo de integraciones ya probados: Google SecOps o Splunk.
  • Ya mantienes DSM y reglas propias, o tu equipo domina SPL, AQL o Elasticsearch: QRadar, Splunk o Elastic te ahorran la migración.

Ver el módulo en una demo

Preguntas sobre esta comparación

01¿Puedo mantener mi SIEM actual y usar Protoxol a la vez?

Sí. Protoxol ingiere de Splunk, Elastic y Wazuh, y exporta por webhooks, REST y OTEL, así que puedes conservar tu SIEM como sistema de registro durante una prueba.

02¿Cómo se factura un SIEM: por GB, por endpoint o por usuario?

Depende del producto. Sentinel y Google SecOps siguen el volumen de ingesta, Splunk ofrece ingesta, carga de trabajo o actividad, QRadar licencia por EPS y FPM, y Protoxol cotiza por endpoint protegido según plan. Calcula con tus tres números: volumen diario, endpoints y analistas.

03¿Qué pasó con QRadar en la nube?

IBM vendió los activos SaaS de QRadar a Palo Alto Networks, que anunció el fin de vida de QRadar on Cloud para el 14 de abril de 2026. El software on-prem de IBM no se ve afectado.

04¿Qué debo pedir en una prueba de SIEM?

Lleva tus fuentes reales y comprueba qué se normaliza solo, cuánto cuesta retener un año y quién puede ver los datos de cada cliente. Pide también el volumen máximo documentado por el proveedor; en Protoxol ese dato aún no está verificado.

Fuentes y fecha de revisión

Revisado el 2 de octubre de 2026. Revisado por Equipo de Protoxol.

Las capacidades de Protoxol se basan en la documentación comercial vigente de esta web y no se han validado técnicamente en esta revisión; lo no documentado figura como «No confirmado». Los datos de cada fabricante proceden de su documentación pública en la fecha indicada y pueden haber cambiado.

Selección

Ve SIEM contra tus datos.

Treinta minutos. Tu entorno. Los módulos que encajan. Sin diapositivas.

Pedir demo Ver precios

¿Equipo pequeño sin SOC? Lee SIEM para pymes.