Protoxol ingiere la telemetría de endpoint, red, correo, identidad y cloud en un único esquema, la correlaciona por activo y usuario, y deja que el equipo investigue y responda desde una sola consola. Esta página explica cómo está construida, qué se integra, qué hace falta para desplegarla y qué no hace.
La plataforma Protoxol incluye diez módulos sobre un único modelo de datos y una sola consola: EDR, NDR, SIEM y búsqueda, inteligencia de amenazas, protección de correo, gestión de vulnerabilidades, inventario de activos, exposición de credenciales, automatización de respuesta e informes. Los módulos se activan de forma independiente y se facturan por endpoint según plan. Funciona como SaaS alojado en la UE o autoalojada, ingiere de Wazuh, Splunk, Elastic y Microsoft 365, y exporta por webhooks, REST y OTEL.
Los eventos de endpoint, red, identidad, correo y cloud se normalizan al mismo esquema, con dos claves de unión: activo y actor. Añadir un módulo dos años después no exige un proyecto de integración: escribe en el mismo esquema.
Las señales que comparten activo, actor o cadena de comportamiento dentro de una ventana de tiempo se agrupan en un incidente. Ejemplo: una ejecución detectada por EDR y un beaconing detectado por NDR en el mismo equipo, en cinco minutos, llegan a la cola como un solo incidente.
Cada hallazgo se puntúa con exposición × explotabilidad × alcance, calculados desde el inventario de activos y la inteligencia de amenazas. Un CVE crítico en un equipo aislado baja en la cola; uno medio en un servidor expuesto a internet sube.
Los playbooks proponen la acción, la encolan y la explican. Un analista aprueba antes de cualquier acción externa. Cada paso queda registrado, se puede deshacer y se exporta al registro de auditoría.
Entrada desde Splunk, Elastic, Wazuh, Suricata, Zeek, Microsoft 365 y Okta. Salida por webhooks, REST y OTEL. Protoxol puede sustituir al SIEM actual o alimentarlo; no hay cláusula de permanencia que obligue a migrar.
Se contrata un módulo o los diez. El precio sigue los endpoints y buzones protegidos, no el número de usuarios ni el volumen ingerido. Un módulo apagado no cuesta ni aparece en la consola.
Como servicio gestionado en región europea, o instalado en tu infraestructura cuando la política de datos lo exige. En los dos casos la consola, la API y los playbooks son los mismos.
Atajos de teclado para las acciones frecuentes, pivote de alerta a activo, actor y equipo en un clic, y cada acción trazable. Está diseñada para quien la usa de madrugada, no para una presentación.
Muchos equipos combinan un SIEM, un EDR y, a veces, un XDR: tres herramientas, tres modelos de precio y tres proyectos de integración. La tabla compara criterios estructurales, no rendimiento. Donde una herramienta especialista encaja mejor, lo decimos.
Endpoint, red, correo, identidad y cloud en el mismo esquema, con las mismas claves de unión.
Un inicio de sesión y una sintaxis de consulta para todos los módulos.
Puedes mantener tu SIEM actual como sistema principal o migrar cuando quieras.
| Capacidad | Protoxol | SIEM tradicional | EDR standalone | XDR enterprise |
|---|---|---|---|---|
| Modelo de datos unificado endpoint + red + email | ✓ | × | × | ~ |
| Correlación entre endpoint, red y correo antes de llegar al analista | ✓ | × | ~ | ~ |
| Priorización por riesgo (exposición × explotabilidad) | ✓ | × | × | ~ |
| Automatización supervisada y trazable | ✓ | ~ | ~ | ~ |
| SaaS + on-prem con misma superficie | ✓ | ✓ | ~ | × |
| Precio por endpoint, sin tramos de ingesta | ✓ | × | ✓ | × |
| Salida abierta (webhooks, REST, OTEL) hacia otro SIEM | ✓ | × | ✓ | × |
| Multi-tenant para MSP sin producto aparte | ✓ | ~ | ~ | ~ |
Dónde encaja mejor una herramienta especialista: cuando solo hace falta una función (solo endpoint, solo SIEM) y no está previsto consolidar. Dónde tiene sentido Protoxol: cuando el equipo ya opera dos o más herramientas que no comparten contexto y quiere investigar desde un solo sitio.
Los módulos comparten mismo modelo de datos y bus de eventos. Al activar un módulo y cada detección, consulta y playbook existente se beneficia automáticamente — sin integraciones intermedias, sin reprocesar los datos.
Protoxol convive con las herramientas actuales desde el primer día. Se migra por fases, o no se migra.
Servicio gestionado, con los datos alojados en la Unión Europea. Sin infraestructura que operar por tu parte.
Ejecuta la misma consola, API y playbooks idénticos en tu propia infraestructura cuando SaaS no es una opción.
Wazuh, Suricata, Zeek, Splunk, Elastic, M365 y Okta se conectan directamente — sin proyecto de sustitución total.
Webhooks, REST y OTEL en salida. Mantén tu SIEM actual como sistema de registro si ese es el plan.
No. Protoxol integra datos de herramientas que ya usas — Wazuh, Splunk, Elastic, Suricata y más — así que puedes probar un módulo junto a tu stack actual antes de decidir qué, si acaso, retirar.
Depende del número de fuentes y de cuánto haya que ajustar las reglas al ruido del entorno. Un módulo suelto puede estar generando detecciones en días, porque el modelo de datos y la correlación ya existen y no hay que mapear esquemas. El plan de las primeras semanas se define en la evaluación inicial.
Sí. Los módulos se activan de forma independiente y comparten el mismo modelo de datos, así que añadir EDR después de empezar con SIEM no requiere reingestar datos ni reconstruir detecciones — las reglas existentes se benefician automáticamente de la nueva señal.
La mayoría de equipos empieza con SaaS por rapidez. Si la residencia de datos o la política de infraestructura lo requiere, on-premise ejecuta la misma consola, API y playbooks. Cambia dónde se ejecuta, no el producto.
Tu equipo de IT o de seguridad, o el MSP que os lo gestione. Protoxol no incluye analistas propios vigilando tus alertas; incluye la consola, las reglas mantenidas y el soporte para configurarla.
Sesión de 30 minutos con un ingeniero. Traes tu lista de fuentes; sales sabiendo qué se conecta el primer día, qué módulos hacen falta y cuáles no.