Protoxol
Solicitar demo
Plataforma Módulos Planes Blog Solicitar demo
TI · Módulo

Inteligencia de amenazas

IOC, reputación y contexto de actor en cada módulo.

Comparar con 5 alternativas ↓

Visión general

Qué hace TI.

Inteligencia de amenazas en Protoxol es un sustrato, no un silo. Cada IOC, cada perfil de actor y cada señal de campaña enriquece automáticamente alertas en EDR, NDR, SIEM y Email — así el analista ve `185.220.* — nodo TOR exit, asociado con APT28 desde 2023` como contexto en la propia alerta, no en otra consola.

Características

Dentro de TI.

Feeds multi-fuente

Comerciales, abiertos e internos. Mezcla y puntúa por caso de uso.

Contexto de actor y campaña

Mapeo MITRE ATT&CK. TTPs auto-adjuntas a alertas relevantes.

Scoring de confianza

Suprime feeds ruidosos en contextos, amplifica en otros. Ajustable por regla.

API de inteligencia personalizada

Ingesta intel interna vía REST, MISP, TAXII o STIX 2.1.

Auto-enriquecimiento

Cada alerta en cada módulo enriquecida al escribir. Sin coste de lookup.

Casos de uso

Donde TI se justifica.

Acelerar triage de alertas

Contexto adjunto al crear alerta acorta el triaje porque el analista no tiene que buscar el indicador.

Hunting proactivo

Pivota de IOCs nuevos a avistamientos históricos en todos los módulos.

Monitorización de marca y cadena de suministro

Trackea dominios de impersonación, credenciales filtradas, advisories de dependencias.

Especificaciones técnicas

TI por dentro.

Formatos de feeds STIX 2.1, MISP, TAXII, REST
Frecuencia de actualización Pull 5-min, push instantáneo
Tipos de IOC Hash, IP, dominio, URL, certs, JA3
Cobertura 20+ comerciales + 50+ feeds OSINT

Cifras de pruebas internas; método y fecha de medición pendientes de publicar.

Comparar alternativas

Protoxol Inteligencia de amenazas frente a cinco alternativas

Una alerta sin contexto obliga a abrir otra consola para saber si una IP es un nodo TOR o pertenece a un actor conocido. Esta comparativa trata el módulo de inteligencia de amenazas: de dónde salen los indicadores, cómo se puntúan, caducan y se comparten, y cómo llegan a la alerta que revisas. Protoxol TI enriquece alertas de otros módulos; los cinco productos comparados van desde un servicio de inteligencia hasta plataformas para gestionar la tuya.

Qué ofrece Protoxol

Tabla comparativa

Cada celda indica el estado y el alcance. Los estados se explican debajo de la tabla.

Ver alternativa:

Desliza la tabla horizontalmente para ver todas las columnas.

Protoxol Inteligencia de amenazas frente a cinco alternativas
CriterioProtoxol Inteligencia de amenazasRecorded Future Threat IntelligenceGoogle Threat IntelligenceThreatConnect Platform (Threat Intelligence Operations)Anomali ThreatStream Next-GenOpenCTI (Filigran)
Fuentes de inteligencia DisponibleAdmite feeds comerciales, abiertos e internos, que se mezclan y puntúan por caso de uso. No describe recolección propia. DisponibleIndexa web abierta, dark web, feeds técnicos y telemetría de clientes; la recolección es del proveedor. ↗ DisponibleCombina inteligencia de Mandiant, VirusTotal y Google; Enterprise suma reporting de investigación de Mandiant. ↗ DisponibleCommunities y Sources de organizaciones, más CAL, que agrega datos anonimizados de instancias participantes. ↗ DisponibleCientos de fuentes abiertas, comerciales y comunitarias sobre un grafo de amenazas curado por años. ↗ DisponibleNo aporta fuentes propias: importa por conectores externos, feeds TAXII, RSS, CSV o JSON y enriquece con conectores. ↗
Tipos de indicador DisponibleHash, IP, dominio, URL, certificados y JA3. DisponibleColecciones de IP, dominios, URL y hashes; también perfiles de malware, TTP e infraestructura de actores. ↗ DisponibleArchivos, URL, dominios e IP, agrupables en colecciones. ↗ DisponibleAl ingerir TAXII crea indicadores (direcciones, archivos, URL) y grupos (campañas, actores, informes). ↗ No confirmadoTipos de indicador no detallados en las páginas abiertas. DisponibleObservables e indicadores sobre un modelo STIX 2.1. Lista concreta de tipos no revisada. ↗
Contexto de actor y campaña DisponiblePerfiles de actor y campaña con mapeo MITRE ATT&CK; las TTP se adjuntan a las alertas relevantes. DisponiblePerfiles de actores y malware filtrables por geografía, sector y cadena de suministro. ↗ DisponibleEnterprise incluye atribución a actores, campañas, familias de malware, perfiles de amenaza e informes estratégicos. ↗ DisponibleGrupos de campaña, actor e informe enlazables a indicadores dentro de la plataforma. ↗ Según configuraciónGrafo de inteligencia consultable por agentes de IA. Mapeo ATT&CK y perfiles de actor no detallados. ↗ DisponibleActores, conjuntos de intrusión y campañas, con TTP y arsenal en las pestañas de conocimiento. ↗
Vigencia y caducidad de indicadores No confirmadoLas páginas no describen caducidad ni envejecimiento de indicadores. DisponibleColecciones TAXII generadas en el momento de la petición; refresco de una hora a un día según colección. ↗ No confirmadoCaducidad de indicadores no documentada en las páginas abiertas. Sí hay IoC Stream en tiempo real. ↗ DisponibleEstado activo o inactivo; la depreciación de confianza puede dejar el indicador inactivo al llegar a cero. ↗ No confirmadoSe menciona mantenimiento continuo del dato; la política de caducidad no se detalla. No confirmadoLa documentación enlaza un ciclo de vida de indicadores, pero el detalle de vigencia no se leyó.
Confianza y falsos positivos DisponiblePuntuación de confianza ajustable por regla para silenciar feeds ruidosos. El flujo de falsos positivos no está descrito. DisponiblePuntuación de riesgo por IOC consultable por API. Gestión de falsos positivos no confirmada. ↗ DisponibleLa salida STIX incluye objetos con puntuación de amenaza. Tratamiento de falsos positivos no confirmado. ↗ DisponibleThreatAssess (0 a 1000) baja con falsos positivos recientes, 7 días por defecto; CAL aporta reputación global. ↗ DisponibleNormaliza, deduplica y puntúa con aprendizaje automático y revisión de analistas, y filtra datos de baja confianza. ↗ No confirmadoPuntuación de confianza y tratamiento de falsos positivos no confirmados en las páginas abiertas.
STIX y TAXII DisponibleAcepta STIX 2.1 y TAXII como formato de entrada. Servir TAXII a terceros no está descrito. DisponibleTAXII 1.x y TAXII 2.1 con colecciones por caso de uso; algunos SIEM no ingieren los objetos de vulnerabilidad. ↗ Según configuraciónSTIX en la API (output_format=stix) y al exportar colecciones. Servidor TAXII no confirmado. ↗ DisponibleTAXII Ingest importa objetos STIX 2.1 de feeds TAXII 2.1 (requiere versión 7.9.0 o superior). Envío no verificado. ↗ DisponibleOfrece STAXX, solución STIX/TAXII gratuita on-premise (OVA). Versiones de STIX y TAXII no detalladas. ↗ DisponibleFeeds TAXII (pull y push) y conectores que convierten a bundles STIX 2.1. ↗
Fuentes propias (REST, MISP) DisponibleIngesta de inteligencia interna por REST, MISP, TAXII o STIX 2.1. Requiere integraciónLista conectores con MISP, OpenCTI, ThreatConnect y Anomali. Cargar tus propios feeds no está confirmado. ↗ No confirmadoEnterprise permite colecciones privadas de IoC; cargar feeds externos propios no está confirmado. Según configuraciónMapeos genéricos, por feed o propios en TAXII Ingest. REST y MISP no verificados en las páginas abiertas. ↗ No confirmadoArquitectura API-first con toda la inteligencia accesible por programa. Carga de feeds propios o MISP no indicada. DisponibleConectores MISP y TAXII configurables con URL y clave de API; importación de CSV y JSON. ↗
Integración con detección y otros módulos DisponibleCada IOC enriquece al crear la alerta en EDR, NDR, SIEM y correo, y permite pivotar a avistamientos históricos. Requiere integraciónConnect API para enriquecer IOC, correlar listas de riesgo con logs y mostrar alertas en Sentinel, Splunk o Google SecOps. ↗ Requiere integraciónAcceso por API (30 000 llamadas al día en Enterprise) e integraciones como Microsoft Sentinel. ↗ No confirmadoEnriquecimiento hacia SIEM o EDR y playbooks no verificados en las páginas abiertas. Requiere integraciónConectores con SIEM, SOAR, firewalls, endpoint y gestión de vulnerabilidades (Splunk, Sentinel, QRadar, CrowdStrike). ↗ Requiere integraciónConectores de tipo stream empujan datos a SIEM o XDR; la detección se hace en esas herramientas. ↗
Compartición y comunidades (ISAC) No confirmadoCompartir inteligencia con ISAC o comunidades externas no figura. Solo se cita compartir intel propia con equipos homólogos. No confirmadoCompartición con ISAC o comunidades no verificada en las páginas abiertas. DisponibleColecciones privadas de IoC con roles de visor o editor y uso compartido. Envío a ISAC no confirmado. ↗ DisponibleCommunities y Sources, publicación de grupos entre instancias con la app Cross-Intel Sharing. ISAC concretos sin verificar. ↗ DisponibleTrusted Circles para distribuir inteligencia terminada a ISAC, socios y equipos internos. ↗ Según licenciaControl por roles y marcas de compartición; la segregación por organización exige licencia Enterprise. ↗
Flujo de trabajo del analista Según configuraciónEl contexto llega dentro de la alerta y se caza desde un IOC nuevo. Falta un espacio propio de informes o casos de inteligencia. DisponibleAlertas, búsqueda personalizable, paquetes de hunting y análisis sandbox desde el propio módulo. ↗ DisponibleReglas YARA Livehunt, retrohunt, grafos privados de investigación y notificaciones diarias o semanales por perfil. ↗ DisponibleBiblioteca de indicadores y grupos, estados, depreciación de confianza y publicaciones de discusión sobre cada objeto. ↗ DisponibleGestión de casos: la inteligencia acompaña a alertas e investigaciones, con agentes de IA que consultan el grafo. ↗ Según licenciaPlaybooks, requisitos prioritarios de inteligencia y funciones de IA son de Enterprise Edition. ↗
Despliegue y licencia Según configuraciónMódulo incluido en el plan Team; la plataforma corre en SaaS o en tu infraestructura. Licencia de los feeds comerciales sin definir. No confirmadoNiveles del módulo, precio y términos de uso de los datos no públicos en las páginas revisadas. Según licenciaSuscripción por edición (Standard, Enterprise, Enterprise+) con tope de llamadas API; los feeds de IoC son add-on de Enterprise+. ↗ Según configuraciónThreatConnect Cloud, Dedicated Cloud u on-premises. Licencia y precio no publicados en las páginas abiertas. ↗ Según configuraciónServicio gestionado, autónomo o integrado en el data lake de Anomali. Precio y licencia no publicados. ↗ Según licenciaAutoalojado con Docker o Kubernetes; Community bajo Apache 2.0, Enterprise con licencia de Filigran. ↗

Qué significa cada estado

Disponible
Función propia del producto o plan comparado.
Requiere integración
Funciona mediante un conector o un producto de terceros.
Según configuración
Existe, pero su alcance depende de cómo se despliegue o configure.
Según licencia
Solo en un plan superior o como complemento de pago.
Requiere otro producto
Lo cubre otro producto del mismo fabricante.
En desarrollo
Anunciado o en construcción; no está disponible con carácter general.
No confirmado
No hay evidencia suficiente. No equivale a «no».

Cinco comparaciones

Una por producto, con el plan que se ha comparado.

Recorded Future Threat Intelligence

Plan o edición: Módulo Threat Intelligence de la Intelligence Platform. Nivel y precio no públicos; las celdas describen el módulo, no el resto de módulos.

Recorded Future recoge por su cuenta web abierta, dark web, feeds técnicos y telemetría de clientes, y lo entrega por API, colecciones STIX/TAXII e integraciones con Sentinel, Splunk o Google SecOps. En volumen y cobertura de fuentes va por delante: el módulo TI de Protoxol no describe recolección propia y parte de los feeds que conectes. La diferencia de Protoxol es que el IOC aparece en la alerta de EDR, NDR, SIEM o correo dentro de la misma consola. Recorded Future encaja si tu equipo investiga actores y reparte riesgo por varias herramientas; Protoxol, si lo que buscas es contexto en la alerta. Condición: niveles y precio del módulo no son públicos, pide presupuesto.

Fuente oficial ↗

Google Threat Intelligence

Plan o edición: Edición Enterprise (existen también Standard y Enterprise+). Las celdas indican cuando algo es solo de Enterprise+.

Con la edición Enterprise tienes informes de Mandiant, atribución a actores y campañas, perfiles de amenaza, reglas Livehunt, retrohunt y grafos privados sobre la base de VirusTotal. Es una herramienta de investigación para analistas de CTI, y ahí Protoxol no compite: su módulo TI no describe análisis de muestras ni corpus de malware. Lo que ofrece Protoxol es llevar el IOC como contexto a cada alerta sin montar la integración tú. En Google la entrega a tus herramientas pasa por API, con tope de 30 000 llamadas al día en Enterprise. Google encaja si ya cazas con YARA; Protoxol, si quieres triaje con contexto. Los feeds de IoC en continuo son un add-on de Enterprise+.

Fuente oficial ↗

ThreatConnect Platform (Threat Intelligence Operations)

Plan o edición: ThreatConnect Platform en Cloud, Dedicated Cloud u on-premises. Edición no pública; las celdas describen la plataforma base.

Si tu trabajo diario es gestionar inteligencia (importar feeds TAXII, puntuar indicadores, deprecar los viejos y publicar grupos a otras instancias), ThreatConnect está pensado para eso. Su ThreatAssess baja la puntuación con falsos positivos recientes y el estado de un indicador pasa a inactivo cuando se agota su confianza. Protoxol TI no describe esa gestión de ciclo de vida ni compartición con comunidades; su valor es que el IOC se adjunta a la alerta de cada módulo. ThreatConnect encaja en un equipo de CTI con procesos propios; Protoxol, en un SOC que quiere contexto sin otra consola. Condición: tras la compra por Dataminr, la integración de producto y marca aún no está definida.

Fuente oficial ↗

Anomali ThreatStream Next-Gen

Plan o edición: ThreatStream Next-Gen, autónomo o dentro del data lake de Anomali. Plan no público.

ThreatStream Next-Gen se vende como inteligencia gestionada: Anomali mantiene cientos de fuentes, deduplica, puntúa y filtra lo de baja confianza, y tú lo consumes en tu SIEM, SOAR o EDR mediante conectores. Aporta algo que el módulo TI de Protoxol no describe: Trusted Circles para repartir inteligencia terminada a ISAC y socios. Al revés, Protoxol enriquece las alertas de sus propios módulos sin conector intermedio. Anomali encaja si ya tienes un SIEM de otro fabricante y necesitas un hub de inteligencia que lo alimente; Protoxol, si quieres el IOC en la alerta de su EDR o NDR. Condición: ni los tipos de indicador ni el precio ni el modelo de licencia aparecen en las páginas consultadas.

Fuente oficial ↗

OpenCTI (Filigran)

Plan o edición: Community Edition (Apache 2.0). Las celdas indican cuando algo requiere Enterprise Edition.

OpenCTI no vende inteligencia: es la plataforma donde acumulas la tuya. Importas con conectores (MISP, TAXII, CSV, JSON), modelas actores y campañas en STIX 2.1 y empujas indicadores a tu SIEM mediante conectores de tipo stream. Si tienes ingenieros que quieran montarlo y mantenerlo, te da control total y la edición Community es gratis. Protoxol TI ahorra ese montaje, pero admite menos personalización documentada. Playbooks, requisitos prioritarios de inteligencia y segregación por organización requieren licencia Enterprise. OpenCTI encaja en un equipo de CTI con perfil de ingeniería; Protoxol, en un SOC sin tiempo para operar una plataforma de inteligencia. Condición: sin feeds propios o contratados, OpenCTI arranca vacío.

Fuente oficial ↗

Cuándo elegir Protoxol

  • Quieres que el IOC y el contexto de actor aparezcan en la propia alerta de EDR, NDR, SIEM o correo.
  • Ya tienes feeds o MISP propios y necesitas conectarlos a la detección sin montar una plataforma aparte.
  • Tu SOC es pequeño y no tiene analistas de CTI dedicados a gestionar el ciclo de vida de los indicadores.

Cuándo considerar otra solución

  • Necesitas recolección propia en dark web y foros, informes de actores y atribución: Recorded Future o Google Threat Intelligence.
  • Tu equipo de CTI gestiona caducidad, depreciación de confianza y publicación a comunidades o ISAC: ThreatConnect o Anomali.
  • Tienes ingenieros y quieres una plataforma de conocimiento abierta y modelada en STIX 2.1: OpenCTI.
  • Investigas muestras con reglas YARA y grafos de relaciones: Google Threat Intelligence.

Ver el módulo en una demo

Preguntas sobre esta comparación

01¿Puedo cargar mis propios IOC en Protoxol TI?

Según las páginas del producto, sí: la ingesta de inteligencia interna admite REST, MISP, TAXII y STIX 2.1. La caducidad de esos indicadores no está descrita, así que confírmala en una demo.

02¿Protoxol TI sustituye a una plataforma de inteligencia como ThreatConnect?

No lo da por hecho ninguna página. El módulo enriquece alertas y permite cazar desde un IOC; la gestión de ciclo de vida, los informes y la compartición con ISAC no figuran como capacidades.

03¿Qué pasa con la licencia de los feeds comerciales?

Las páginas no definen qué feeds comerciales se incluyen ni sus términos de uso. Pregunta quién contrata el feed y qué usos permite antes de depender de él.

04¿Qué diferencia hay entre comprar un servicio de inteligencia y una plataforma?

Un servicio como Recorded Future o Google recolecta y analiza por ti. Una plataforma como OpenCTI o ThreatConnect gestiona lo que le cargues. Muchos equipos combinan ambos.

Fuentes y fecha de revisión

Revisado el 2 de octubre de 2026. Revisado por Equipo de Protoxol.

Las capacidades de Protoxol se basan en la documentación comercial vigente de esta web y no se han validado técnicamente en esta revisión; lo no documentado figura como «No confirmado». Los datos de cada fabricante proceden de su documentación pública en la fecha indicada y pueden haber cambiado.

Selección

Ve TI contra tus datos.

Treinta minutos. Tu entorno. Los módulos que encajan. Sin diapositivas.

Pedir demo Ver precios