SIEM Open Source: Wazuh vs Security Onion

La elección de una plataforma SIEM (Security Information and Event Management) o EDR (Endpoint Detection and Response) es crucial para la postura de seguridad de cualquier organización. En un entorno empresarial con miles de endpoints, las decisiones tomadas pueden tener un impacto significativo tanto en la capacidad de detección de amenazas como en la eficiencia operativa del equipo de seguridad. He tenido la oportunidad de comparar dos de las soluciones open source más populares, Wazuh y Security Onion, probándolas durante dos semanas en un conjunto de logs reales provenientes de una infraestructura con más de 2.000 estaciones de trabajo y más de 300 VMs VMware. El objetivo era evaluar no solo las capacidades técnicas, sino también el consumo de recursos, la facilidad de gestión y la eficacia en la detección de amenazas comunes en un contexto operativo.

Probado en: Ubuntu 22.04 LTS · Wazuh 4.7.0 · Security Onion 2.4.50 · Agosto 2026

Requisitos Previos / Entorno de Prueba

Para la prueba, se configuraron dos entornos distintos pero con características de hardware equivalentes, para garantizar una comparación justa. Cada entorno estaba compuesto por un servidor manager/master y varios agentes distribuidos en una muestra de estaciones de trabajo y servidores Linux/Windows. La recolección de logs incluyó eventos del sistema, logs de firewall (FortiGate), eventos de Active Directory y datos de tráfico de red muestreados. El desafío principal fue la gestión del volumen de datos y la capacidad de correlación de eventos en tiempo real, manteniendo al mismo tiempo un número aceptable de falsos positivos.

Wazuh: Agentes Ligeros y Detección de Endpoint

Wazuh es una plataforma open source de seguridad que integra funcionalidades SIEM, EDR, HIDS (Host-based Intrusion Detection System) y monitoreo de cumplimiento. Su arquitectura se basa en agentes ligeros instalados en los endpoints, que recopilan datos y los envían a un manager central para su análisis. Durante la prueba, la instalación de los agentes fue relativamente sencilla y escalable, utilizando scripts de automatización para la distribución a gran escala.

# Instalación de Wazuh agent en un sistema Linux (ej. CentOS/RHEL)
sudo WAZUH_MANAGER='10.0.0.10' WAZUH_AGENT_GROUP='linux-servers' yum install wazuh-agent
sudo systemctl daemon-reload
sudo systemctl enable wazuh-agent
sudo systemctl start wazuh-agent

Puntos Fuertes de Wazuh:

Detección HIDS/EDR: Excelente para el monitoreo de la integridad de archivos (FIM), detección de rootkits, monitoreo de procesos y llamadas al sistema. He configurado reglas personalizadas para detectar comportamientos anómalos específicos de nuestro entorno, como la ejecución de PowerShell en contextos inusuales. Lee también: Hardening SSH en Linux: Guía Completa 2026
Cumplimiento: Los dashboards predefinidos para estándares como PCI DSS, NIST, CIS Benchmark facilitan la verificación del cumplimiento. Este es un aspecto crítico para muchas organizaciones, especialmente para las que deben cumplir con NIS2 Art. 21.
Escalabilidad: El cluster OpenSearch (anteriormente Elasticsearch) subyacente permite gestionar volúmenes elevados de logs y escalar horizontalmente. He configurado un cluster con tres nodos de datos para gestionar los 2.000 endpoints sin ralentizaciones significativas.
Costo: Al ser open source, los costos están principalmente ligados al hardware y al personal. No hay licencias de software directas, lo que lo hace atractivo para presupuestos limitados.

Críticas de Wazuh:

Visibilidad de Red: Wazuh, por su naturaleza, tiene una visibilidad limitada del tráfico de red. Se basa en los logs generados por los endpoints o por firewalls externos. Para un análisis de red profundo, es necesaria la integración con herramientas dedicadas.
Correlación Compleja: La correlación de eventos entre diferentes fuentes requiere una configuración cuidadosa de las reglas y un buen conocimiento de OpenSearch Query Language (OSQL).

Security Onion: La Suite Completa para el Análisis de Red

Security Onion es una distribución Linux basada en Ubuntu que integra una suite completa de herramientas open source para el monitoreo de red (NSM – Network Security Monitoring), el análisis de logs y la gestión de incidentes. Incluye Zeek (anteriormente Bro) para el análisis de protocolo, Suricata para el IDS/IPS, Elasticsearch/OpenSearch para la indexación de logs, Kibana/Grafana para la visualización, TheHive para la respuesta a incidentes y Playbook para la automatización. La instalación es más compleja que la de Wazuh, requiriendo una configuración detallada de las interfaces de red para la captura del tráfico.

# Ejemplo de un comando para iniciar un sensor Security Onion
sosetup
# Interactivo, requiere la selección de las interfaces de red para monitoreo

Puntos Fuertes de Security Onion:

Visibilidad de Red: La capacidad de analizar el tráfico de red en profundidad es su mayor ventaja. Zeek y Suricata proporcionan detalles granulares sobre sesiones, protocolos y posibles amenazas basadas en firmas o anomalías de comportamiento. Esto permitió detectar actividades de escaneo e intentos de explotación que solo los logs de los endpoints no habrían mostrado.
Ecosistema Integrado: La suite de herramientas pre-integrada reduce el tiempo de configuración. Tener TheHive y Playbook en el mismo entorno simplifica enormemente el flujo de trabajo de respuesta a incidentes.
Threat Hunting: Las herramientas como Fleet y CyberChef, integradas en la distribución, son extremadamente útiles para los equipos de threat hunting que necesitan analizar grandes cantidades de datos de forma interactiva.

Críticas de Security Onion:

Consumo de Recursos: Security Onion es notoriamente exigente en términos de recursos de hardware, especialmente cuando se habilita la captura y el análisis completo de paquetes del tráfico de red. Para gestionar 2.000 endpoints, se necesita un hardware robusto y bien dimensionado.
Curva de Aprendizaje: La gestión de todas las herramientas integradas requiere una curva de aprendizaje más pronunciada que Wazuh, que tiene un enfoque más específico.
Gestión de Agentes: No tiene un sistema de agentes distribuido como Wazuh, por lo que su fuerza reside principalmente en el análisis de red y la recopilación de logs de fuentes centralizadas.

Errores Comunes y Resolución de Problemas

Durante la prueba, uno de los errores más comunes con Wazuh fue el fallo en el envío de logs por parte de los agentes debido a problemas de conectividad o configuración del firewall. Siempre verifique los puertos (por defecto 1514/UDP para los logs, 1515/TCP para el registro) y los certificados. Para Security Onion, el problema principal fue el dimensionamiento incorrecto del hardware, lo que provocó la pérdida de paquetes y ralentizaciones en la indexación de logs. Monitorear cuidadosamente las métricas del sistema y de la red es fundamental para ambas soluciones. Otro error frecuente es la falta de ajuste de las reglas, lo que lleva a una cantidad excesiva de falsos positivos, saturando al equipo de seguridad. Es esencial dedicar tiempo a la calibración de las reglas y a la creación de líneas base para el entorno específico.

# Verificar el estado de un agente Wazuh
sudo systemctl status wazuh-agent
# Comprobar los logs del agente Wazuh para errores
sudo tail -f /var/ossec/logs/ossec.log

FAQ — Preguntas Frecuentes

¿Wazuh o Security Onion cumplen con estándares como NIS2?

Sí, ambas plataformas, si se configuran y gestionan correctamente, pueden contribuir significativamente al cumplimiento de estándares como NIS2, ISO 27001 y GDPR. Ofrecen funcionalidades esenciales para el monitoreo continuo, la gestión de incidentes, la detección de amenazas y el registro de auditoría, que son requisitos clave de estas normativas. La elección depende de qué aspecto del cumplimiento se quiera reforzar más (endpoint vs red).

¿Puedo integrar Wazuh y Security Onion?

Absolutamente sí. Muchas organizaciones optan por integrar ambas soluciones para combinar los puntos fuertes de cada una. Por ejemplo, es posible usar Wazuh para la visibilidad EDR en los endpoints y enviar sus alertas a TheHive de Security Onion para la gestión de incidentes. O bien, los logs de Security Onion pueden enviarse a un manager Wazuh para una correlación centralizada. Esta arquitectura híbrida ofrece una cobertura de seguridad más robusta.

¿Cuál es la diferencia principal en la detección de amenazas?

Wazuh sobresale en la detección de actividad anómala a nivel de host, como modificaciones de archivos del sistema, intentos de acceso no autorizados, ejecución de software malicioso y violaciones de políticas. Security Onion, en cambio, es insuperable en la identificación de amenazas basadas en el tráfico de red, como escaneos de puertos, explotación de vulnerabilidades conocidas, comunicaciones con C2 (Command and Control) y anomalías en los protocolos de red.

¿Cuánto tiempo se necesita para implementar una de las dos soluciones?

La implementación inicial de Wazuh, especialmente si se utilizan scripts de automatización para los agentes, puede requerir de pocos días a un par de semanas para un entorno de tamaño mediano. Security Onion requiere más tiempo, de dos semanas a un mes o más, debido a la complejidad de la configuración de red, el ajuste de las herramientas y la calibración de las reglas para reducir los falsos positivos. La fase de ajuste es la más crítica para ambas.

Conclusiones con Puntos Clave Operativos

Después de dos semanas de pruebas intensivas, está claro que ni Wazuh ni Security Onion son una solución “talla única”. La elección ideal depende de las necesidades específicas de la organización. Si tu enfoque principal es la protección de los endpoints, el cumplimiento y tienes recursos de hardware limitados, Wazuh es una excelente opción por su enfoque basado en agentes y su escalabilidad. Si, por el contrario, necesitas una visibilidad profunda del tráfico de red, una suite integrada para la caza de amenazas y la respuesta a incidentes, y dispones de los recursos de hardware y humanos para gestionarla, Security Onion ofrece un valor inigualable. En muchos escenarios, la combinación de ambas plataformas puede proporcionar la cobertura más completa, aprovechando lo mejor de ambos mundos.

El punto clave operativo es este: antes de elegir, define claramente tus prioridades de seguridad, evalúa tu presupuesto para hardware y personal, y considera la curva de aprendizaje para tu equipo. Ninguna solución open source es verdaderamente “gratuita” si no se considera el costo del tiempo y las habilidades necesarias para implementarla y mantenerla. La medición de los falsos positivos y los tiempos de detección/respuesta, como se indica en las Medidas de consumo y detección de CISA, fue fundamental para orientar la elección.

Fuentes

Actualizado: Agosto 2026