Alternativas a Splunk: 12 opciones, ordenadas según quién eres

TL;DR

La alternativa a Splunk correcta depende de quién eres, no de un ranking. Los SOC empresariales que sustituyen Splunk Enterprise Security miran IBM QRadar, Microsoft Sentinel y Exabeam. Los equipos de mercado medio con poco personal de seguridad miran Graylog, Sumo Logic y Rapid7. Las organizaciones de la UE sujetas a NIS2, DORA y RGPD miran opciones autoalojadas como Guardsix, Graylog o Wazuh. Los equipos que usaban Splunk para logs y disponibilidad, no para seguridad, deberían evaluar Datadog, New Relic y Dynatrace en vez de un SIEM. Los equipos con más tiempo que presupuesto pueden ejecutar Elastic Security o Wazuh gratis.

Una cosa antes de la lista. Cada página que hoy posiciona para «alternativas a splunk» está escrita por una empresa que vende un SIEM, y todas ponen su propio producto primero. New Relic pone a New Relic en el número uno. Palo Alto abre con Cortex XSIAM. SolarWinds clasifica a SolarWinds. Unihackers es un bootcamp de ciberseguridad. Vendemos formación. No vendemos, revendemos ni cobramos comisiones de ninguna de las doce herramientas de abajo, y nadie ha pagado por un puesto en esta página. Esa es toda la razón para fiarse de la lista, así que lo digo sin rodeos.

Verifiqué la licencia, el modelo de precios y la propiedad de cada herramienta en las páginas de los propios proveedores durante septiembre de 2026. Donde un precio es público, está en la tabla. Donde un proveedor lo esconde detrás de «contactar con ventas», la tabla lo dice.

Las doce de un vistazo

Por qué la gente deja Splunk

Tres razones salen en cada conversación que tengo con empresas colaboradoras en contratación y con estudiantes que lo han operado en producción. Ninguna es «Splunk es malo». Splunk sigue siendo la habilidad SIEM más solicitada en las ofertas de empleo de analista SOC, y nuestra comparación Splunk vs QRadar vs Sentinel explica por qué aprender SPL sigue mereciendo tu tiempo.

La primera razón es la factura. La propia página de precios de Splunk lista ahora cuatro modelos: por actividad (un doble contador sobre ingesta y búsqueda), por carga de trabajo, por ingesta y por entidad. Cuatro modelos son cuatro formas de llevarse una sorpresa en la renovación, y la página sigue sin imprimir una cifra para Enterprise Security. Nuestra comparativa de precios SIEM modela la misma carga de 50 GB al día en seis plataformas y muestra cuánto se abre la brecha.

La segunda razón es Cisco. Cisco completó la adquisición de Splunk el 18 de marzo de 2024. Dos años y medio después los productos se siguen vendiendo por separado, pero el empaquetado se ha inclinado: la telemetría de Cisco elegible entra en Splunk con una tasa de ingesta ponderada de 0.5x, y Cloud Flex permite a un cliente mover gasto por todo el portfolio combinado. Si tienes firewalls y switches de Cisco, Splunk se ha abaratado en términos relativos. Si tu stack es Palo Alto, Fortinet y CrowdStrike, estás subvencionando el descuento de otro.

La tercera razón es que muchos equipos nunca necesitaron un SIEM. Compraron Splunk para buscar en logs de aplicaciones, y el caso de uso de seguridad llegó después o nunca. Para esos equipos el sustituto es una plataforma de observabilidad, y por eso este artículo tiene un bloque dedicado a Datadog, New Relic y Dynatrace.

La herramienta que sustituye a Splunk es la que encaja con el equipo que tienes de verdad. Un equipo de seguridad de cuatro personas que compra un SIEM empresarial acaba pagando una licencia para almacenar alertas que nadie lee.

Si necesitas escala empresarial

Tienes un SOC 24x7, auditores que piden doce meses de retención y más de 100 GB de logs de seguridad al día. Tres herramientas compiten por ese asiento.

1. IBM QRadar SIEM

QRadar es la herramienta que más probablemente ya esté instalada en un banco, un grupo hospitalario o un ministerio. Su licencia se cobra por eventos por segundo y no por gigabyte, que es lo más importante que hay que entender sobre ella: un volumen de logs estable y predecible cuesta lo mismo cada año, y un pico repentino no revienta el presupuesto como ocurre en los SIEM por GB.

La propiedad cambió en 2024, y eso hace tropezar a muchas páginas de comparación. Palo Alto Networks cerró la adquisición de los activos SaaS de QRadar de IBM el 4 de septiembre de 2024 y está dirigiendo a esos clientes hacia Cortex XSIAM. IBM se quedó con QRadar SIEM on-premises y lo sigue vendiendo con sus complementos de NDR, UEBA y EDR. Si alguien te dice «QRadar está muerto», está describiendo la edición cloud.

Elígelo si operas on-premises por política, tu volumen de logs es estable y las detecciones listas para usar importan más que la búsqueda personalizada. Descártalo si quieres un SIEM SaaS: ese camino ahora lleva a Palo Alto, no a IBM.

2. Microsoft Sentinel

Sentinel es la alternativa con más precios públicos, así que es la más fácil de modelar. En la página de precios de Microsoft Sentinel el nivel de análisis cuesta $4.30 por GB en pago por uso en las regiones de Estados Unidos, y los niveles de compromiso van desde $296 al día a 100 GB hasta $102,600 al día a 50,000 GB. Un tramo de 50 GB a $161.25 al día está en vista previa con precio promocional hasta diciembre de 2026. Por debajo está el nivel data lake a $0.05 por GB ingerido y $0.026 por GB al mes almacenado, que es donde aparcas los logs de firewall y proxy que rara vez consultas. Los clientes de Microsoft 365 E5 reciben hasta 5 MB por usuario y día de logs de seguridad clave ingeridos gratis.

La pega es que Sentinel es la elección natural solo si ya vives en Microsoft. Sus detecciones, su señal de identidad y su ingesta gratuita asumen Entra ID y Defender. Trae un parque heterogéneo y pagarás precio completo por cada fuente que no sea de Microsoft mientras tus analistas aprenden KQL como segundo lenguaje de consulta.

Elígelo si eres una empresa M365 E5 y tu proveedor de identidad es Entra. Descártalo si tus endpoints, tu nube y tu identidad están con otros tres proveedores.

3. Exabeam New-Scale

Exabeam es la opción de analítica de comportamiento. Su propuesta siempre ha sido UEBA: establecer una línea base para cada usuario y máquina, puntuar las desviaciones y sacar a la luz el uso indebido de credenciales y la actividad interna que las reglas por firma no ven. Exabeam y LogRhythm completaron su fusión el 17 de julio de 2024 bajo el nombre Exabeam, lo que dio a la empresa una línea autoalojada (LogRhythm) junto a la plataforma nativa de la nube New-Scale. La página de New-Scale Fusion declara cumplimiento de ISO 27001 y SOC 2 Type II y te permite conservar un SIEM existente y añadir New-Scale Analytics encima, un camino realista para un equipo que no puede desmontar Splunk en un trimestre. Los precios no son públicos.

Elígelo si las amenazas internas y el compromiso de credenciales son tus mayores carencias de detección. Descártalo si quieres un almacén de logs simple y barato; eso no es lo que vende Exabeam.

Si eres de mercado medio

Tienes entre 200 y 2,000 empleados, un equipo de seguridad de dos a cinco personas y un presupuesto que un director financiero firma en persona. Las herramientas empresariales de arriba te ahogarán en funciones que no puedes operar. Estas tres están construidas para el equipo que tienes.

4. Graylog

Graylog tiene la escalera más clara de todos los proveedores de aquí, y la página de precios imprime las cifras. Graylog Open es gratuito, source-available bajo la SSPL, sin límite de volumen y con soporte de la comunidad. Graylog Enterprise empieza en $15,000 al año y Graylog Security en $18,000 al año, ambos desde 10 GB al día. Security añade reglas de detección mapeadas a MITRE ATT&CK y mantenidas por Graylog, soporte de reglas Sigma, detección de anomalías y creación automática de casos.

La limitación es que Graylog Open es un gestor de logs, no un SIEM. El motor de correlación, el contenido de detección y los informes están todos en los niveles de pago. Graylog es además un producto autoalojado ante todo: ejecutas OpenSearch o Elasticsearch y MongoDB por debajo, y esa carga operativa es tuya.

Elígelo si quieres un precio anual fijo, autoalojamiento y un nivel gratuito sobre el que probar el concepto. Descártalo si nadie del equipo quiere operar un clúster de búsqueda.

5. Sumo Logic

Sumo Logic es la opción nativa de la nube para equipos cuya infraestructura ya está en AWS. Su página de precios se basa en créditos, y el modelo Flex le da la vuelta al de Splunk: $0 por la ingesta, con la facturación determinada por cuántos datos escanean tus consultas, cotizada a $3.14 por TB escaneado en el perfil de bajo uso. Puedes enviarlo todo y pagar por lo que miras.

Cloud SIEM forma parte de la Enterprise Suite, con mapeo de cobertura ATT&CK, un asistente de ajuste de reglas y feeds de inteligencia de amenazas. Las regiones de despliegue incluyen Dublín y Fráncfort.

Elígelo si tu volumen de logs tiene picos y tus búsquedas no, y tu equipo es DevSecOps más que un SOC clásico. Descártalo si necesitas una factura predecible: la facturación por consumo premia la disciplina y castiga la curiosidad.

6. Rapid7 Incident Command

Rapid7 renombró y reempaquetó InsightIDR como Incident Command, vendido en los niveles Essential, Advanced y Ultimate con precio por activo y no por gigabyte. Cada nivel incluye el SIEM, la gestión de logs, la analítica de comportamiento de usuarios, el agente propio de Rapid7, inteligencia de amenazas integrada y 90 días de retención de logs (13 meses para alertas y auditoría). Los niveles superiores añaden EDR, NDR, engaño y un Velociraptor alojado para forense.

El precio por activo es la razón para mirarlo: una empresa con 500 endpoints sabe lo que pagará el año que viene, y un firewall ruidoso no cambia la factura. La contrapartida es la retención. 90 días es poco para cumplimiento, y la retención más larga es un complemento.

Elígelo si quieres SIEM, EDR y gestión de vulnerabilidades de un solo proveedor con una sola factura. Descártalo si tus auditores quieren un año de logs consultables por defecto.

Si necesitas cumplimiento en la UE

Este bloque existe porque ninguno de los listados de proveedores lo cubre. Si operas en la UE, tres regulaciones condicionan la decisión de SIEM. NIS2 exige a las entidades esenciales e importantes registrar, detectar y notificar incidentes en 24 horas. DORA hace lo mismo con las entidades financieras. El artículo 32 del RGPD te exige demostrar que proteges los datos personales. Las tres son más fáciles de evidenciar cuando los logs se quedan en tu jurisdicción.

Eso no descarta el SaaS. Microsoft, Datadog, Sumo Logic y Elastic ofrecen regiones en la UE. La pregunta que hará tu DPO es quién puede obligar a dar acceso a los datos, y para un proveedor con sede en Estados Unidos la respuesta pasa por la CLOUD Act sin importar dónde esté el disco. Las herramientas autoalojadas hacen desaparecer esa pregunta.

7. Guardsix (antes Logpoint)

Logpoint, el proveedor de SIEM de Copenhague, cambió su marca a Guardsix el 12 de marzo de 2026. La página de producto es inusualmente directa sobre para quién es: energía, sanidad, administración pública y los MSSP que les dan servicio, con paquetes de contenido mapeados a NIS2, DORA y el artículo 32 del RGPD. Es autoalojado y aislable de la red, y la empresa tiene sede y gobierno en la UE, así que el argumento de la CLOUD Act no aplica.

El precio es por nodo, no por gigabyte, así que añadir una fuente de logs o ampliar la retención no sube la factura. Los precios no son públicos.

Dos advertencias. Guardsix es pequeño al lado de los proveedores empresariales, así que el catálogo de integraciones es más escaso; cuenta con escribir parsers. Y un discurso de soberanía puede esconder un SIEM corriente detrás de una historia de cumplimiento, así que haz las mismas pruebas de calidad de detección que le harías a cualquier otro.

Elígelo si la soberanía es un requisito duro y tu equipo es reducido. Descártalo si tu parque es sobre todo SaaS estadounidense cuyos logs ya están saliendo de la jurisdicción de todas formas.

Las otras opciones compatibles con la UE ya están en esta lista. Graylog autoalojado lo mantiene todo en tu hardware. Wazuh, en el bloque open source de más abajo, hace lo mismo y añade la monitorización de integridad de archivos y la evaluación de configuración que a los auditores de ISO 27001 les gusta ver. Y si estás completamente en Azure, Sentinel con el EU Data Boundary es defendible; eso sí, consigue el compromiso de residencia de datos por escrito.

Si quieres observabilidad, no SIEM

Busca «alternativas a splunk» y la mitad de los resultados son proveedores de observabilidad, porque una gran parte de los asientos de Splunk nunca fueron asientos de seguridad. Eran ingenieros buscando en logs de aplicaciones, y para ellos un SIEM es el sustituto equivocado. Si tus preguntas son «por qué va lento el checkout» y «qué despliegue rompió la API», este es tu bloque.

8. Datadog Cloud SIEM

Datadog es la plataforma de observabilidad a la que le creció un SIEM, y es la que hay que evaluar si tu equipo de ingeniería ya la usa. Cloud SIEM en la página de precios empieza en $5 por GB analizado al mes con facturación anual, o $7.50 bajo demanda, con 12 meses de análisis y retención y más de 800 reglas de detección mantenidas. Por debajo, Log Management ingiere a $0.10 por GB, y Flex Logs te permite mantener consultables los logs de alto volumen a menor coste.

Dos cosas que saber antes de compararlo con Splunk. Datadog cobra por producto y los productos se apilan: hosts de infraestructura, hosts de APM, logs, y luego SIEM encima de los logs. Y es solo SaaS, lo que lo descarta para los casos de soberanía de arriba.

Elígelo si estás consolidando la telemetría de monitorización y seguridad en una plataforma que tus desarrolladores ya abren cada día. Descártalo si la seguridad es tu único caso de uso; un SIEM dedicado te dará una gestión de casos más profunda por el mismo dinero.

9. New Relic

New Relic es la respuesta directa a «usábamos Splunk para logs de aplicaciones y costaba demasiado». La página de precios incluye 100 GB de ingesta al mes gratis para siempre, y luego $0.40 por GB en Standard y Pro ($0.60 por GB con Data Plus para retención más larga y funciones de cumplimiento). El segundo contador son los usuarios: los usuarios básicos son gratis, los usuarios core cuestan $49 al mes y los usuarios de plataforma completa en Pro cuestan $349 al mes con compromiso anual. Ese segundo contador es donde los presupuestos se tuercen, así que modela los usuarios antes de modelar los gigabytes.

New Relic no es un SIEM. Tiene gestión de logs, alertas y gestión de vulnerabilidades en la capa de aplicación, y nada que se parezca a gestión de casos o a una biblioteca de reglas de detección.

Elígelo si necesitas APM, infraestructura y logs en una plataforma con un nivel gratuito de verdad para empezar. Descártalo si alguien en la empresa espera que sustituya a un SIEM.

10. Dynatrace

Dynatrace es la opción de observabilidad empresarial, y su precio de logs es el más granular de los tres. En la página de precios, Log Analytics en el modelo de pago por consulta cobra $0.20 por GiB para ingerir y procesar, $0.0007 por GiB-día para retener y $0.0035 por GiB escaneado para consultar. Los hosts se miden aparte a $7, $29 o $58 al mes según el nivel. Todo aterriza en Grail, un único data lakehouse para logs, trazas, métricas y eventos, consultado con DQL. Dynatrace también vende analítica de seguridad sobre los mismos datos, orientada a la seguridad de cargas de trabajo cloud y de aplicaciones más que a operar un SOC.

Elígelo si tienes miles de hosts y quieres topología automática y análisis de causa raíz con los logs en contexto. Descártalo si eres una empresa de cincuenta hosts; la plataforma asume escala, y el proceso de venta también.

Si tienes más tiempo que presupuesto

Las dos últimas son open source en sentido estricto. Ambas son gratuitas de ejecutar, ambas le llevan a un ingeniero de verdad una semana de verdad para montarlas bien, y ambas son lo que nuestros estudiantes del bootcamp despliegan en un laboratorio en casa. Nuestra guía de herramientas SIEM open source cubre ocho de ellas con los mínimos de hardware de la documentación oficial; estas dos merecen estar en una lista corta frente a Splunk.

11. Elastic Security

Primero, el dato que la mayoría de las páginas de ranking tienen mal. En 2021 Elastic sacó Elasticsearch y Kibana de Apache 2.0 y los pasó a la SSPL y a Elastic License 2.0, ninguna de las dos aprobada por la OSI, y «ELK ya no es open source» se convirtió en sabiduría popular. En septiembre de 2024 Elastic añadió la AGPLv3, una licencia aprobada por la OSI, como tercera opción. El FAQ de licencias de Elastic responde a la pregunta «Does this mean that Elasticsearch and Kibana are Open Source again?» con un «Yes» de una sola palabra. La distribución precompilada sigue bajo Elastic License 2.0; el código fuente está bajo AGPLv3. Cualquier página de comparación que diga lo contrario no se ha actualizado desde 2023.

Elastic Security en un clúster autogestionado es gratuito e incluye el motor de detección, las reglas preconstruidas, la protección de endpoint y la gestión de casos. Las opciones serverless y cloud alojado se facturan por uso. La versión corta de «splunk vs elasticsearch»: Elastic te da un motor de búsqueda y un SIEM encima por el coste del hardware y la habilidad; Splunk te da un SIEM más pulido por el coste de una licencia.

Elígelo si tienes ingenieros que puedan operar un clúster y quieres el camino gratuito que escala hasta producción real. Descártalo si nadie puede hacerse cargo de las operaciones de Elasticsearch; un clúster sin ajustar es el software gratuito más caro de la seguridad.

12. Wazuh

Wazuh se define como la plataforma de seguridad open source, y es la herramienta que más vemos en los laboratorios de estudiantes y en los SOC de empresas pequeñas. Tiene licencia GPLv2, no cuesta nada ejecutarlo y combina un SIEM con un agente que hace monitorización de integridad de archivos, detección de vulnerabilidades, evaluación de configuración y respuesta activa. Ese agente es la razón para elegirlo frente a un SIEM de solo logs: para una empresa con 300 portátiles y sin EDR, Wazuh cubre dos carencias con una sola instalación. Si no quieres alojarlo, Wazuh Cloud empieza en $571 al mes para hasta 100 agentes, $923 para 250 y $1,467 para 500, y el servicio está auditado bajo PCI DSS y SOC 2.

Los límites son reales. El contenido de detección de Wazuh se basa en reglas y está centrado en el endpoint; las detecciones de red y cloud requieren más trabajo. Y gratis es un precio de licencia, no un coste operativo: el quickstart de Wazuh especifica 4 vCPU y 8 GiB para hasta 25 agentes, y alguien tiene que parchearlo y ajustarlo.

Elígelo si los endpoints son tu mayor punto ciego y tu presupuesto es casi cero. Descártalo si necesitas detecciones maduras de cloud y SaaS listas para usar.

Cómo trabajar la lista corta

Elige el bloque que te describe, coge las herramientas que contiene y hazles la misma prueba a todas: envía una semana de tus logs reales, escribe cinco detecciones que importen a tu negocio y cronometra cuánto tarda un analista en cerrar una alerta de principio a fin. Ignora los recuentos de funciones de la ficha técnica. Las diferencias que importan aparecen en esa semana.

Después calcula el precio del año con el volumen de hoy y con el doble, porque los modelos divergen con el crecimiento. Las herramientas por GB (Sentinel, Datadog, New Relic) escalan con tus datos. Las herramientas por EPS y por nodo (QRadar, Guardsix) escalan con tu infraestructura. Las herramientas por activo (Rapid7) escalan con tu plantilla. Las herramientas por consumo (Sumo Logic, Dynatrace) escalan con la frecuencia con la que mira tu equipo. El open source escala con el salario de la persona que lo opera.

¿La seguridad es el caso de uso?

→

No. Datadog, New Relic o Dynatrace

→

Sí. Elige por tamaño de equipo y jurisdicción

Si estás leyendo esto porque quieres trabajar en un SOC y no comprar uno, la elección de herramienta importa menos de lo que crees. Todas las plataformas de aquí buscan en logs, correlacionan eventos y generan alertas. Aprende una a fondo y la segunda te llevará semanas en vez de meses. Nuestra guía sobre cómo convertirte en analista SOC explica cuáles aprender primero y en qué orden.

FAQ: alternativas a Splunk

¿Cuál es la mejor alternativa a Splunk? No hay una sola, y por eso este artículo ordena doce herramientas por comprador en vez de clasificarlas. Para un SOC empresarial que sustituye Splunk Enterprise Security, la lista corta es IBM QRadar, Microsoft Sentinel y Exabeam. Para un equipo de mercado medio con dos o tres personas de seguridad, encajan mejor Graylog, Sumo Logic y Rapid7. Para cumplimiento en la UE, herramientas autoalojadas como Guardsix, Graylog o Wazuh mantienen los datos en tu jurisdicción. Si usabas Splunk para logs de aplicaciones y disponibilidad, no para seguridad, Datadog, New Relic o Dynatrace son los sustitutos directos.

¿Existe una alternativa gratuita a Splunk? Sí, varias. Elastic Security vuelve a ser open source desde que Elastic añadió la licencia AGPLv3 en septiembre de 2024, y ejecuta un motor de detección completo en tu propio hardware. Wazuh es open source, gratuito de ejecutar e incluye agentes, monitorización de integridad de archivos y detección de vulnerabilidades. Graylog Open es gratuito bajo la SSPL sin límite de volumen. La propia edición gratuita de Splunk limita la ingesta a 500 MB al día, suficiente para un laboratorio en casa pero no para una empresa. Gratis significa licencia gratuita, no operación gratuita: cada una de estas necesita hardware y alguien que sepa ajustarla.

¿Elasticsearch es open source en 2026? Sí. En 2021 Elastic pasó Elasticsearch y Kibana de Apache 2.0 a la SSPL y la Elastic License, ninguna de las dos aprobada por la OSI, y muchas páginas de comparación siguen repitiéndolo. En septiembre de 2024 Elastic añadió la AGPLv3, una licencia aprobada por la OSI, como tercera opción. El propio FAQ de licencias de Elastic responde a la pregunta «Does this mean that Elasticsearch and Kibana are Open Source again?» con «Yes». La distribución precompilada que descargas sigue bajo Elastic License 2.0; el código fuente está disponible bajo AGPLv3.

Splunk vs Datadog: ¿cuál debería elegir? Resuelven problemas distintos. Splunk Enterprise Security es un SIEM: reglas de detección, gestión de casos, inteligencia de amenazas y retención larga de logs de seguridad. Datadog empezó como monitorización de infraestructura y aplicaciones y añadió Cloud SIEM sobre su plataforma de logs. Si tu equipo de ingeniería ya usa Datadog para APM y necesitas detecciones de seguridad sobre esos mismos logs, Datadog Cloud SIEM a $5 por GB analizado es el camino más barato. Si estás construyendo un SOC que responde ante auditores, Splunk o uno de los SIEM dedicados de esta lista te servirán mejor. Muchas empresas usan ambos.

¿Qué cambió en Splunk tras la adquisición por Cisco? Cisco cerró la adquisición el 18 de marzo de 2024. Splunk Cloud y Splunk Enterprise se siguen vendiendo como productos separados, y la página de precios ahora lista cuatro modelos: por actividad, por carga de trabajo, por ingesta y por entidad. El cambio visible es el incentivo de empaquetado: Splunk ingiere la telemetría de Cisco elegible con una tasa ponderada de 0.5x y agrupa el gasto de todo el portfolio a través de Cloud Flex. Si tienes firewalls y equipos de red de Cisco, Splunk se ha abaratado en términos relativos. Si no, la economía es la misma de antes, y por eso muchos equipos están leyendo artículos como este.