Las 5 mejores herramientas SOAR de código abierto
He trabajado casi dos décadas como CISO en industrias altamente reguladas, tiempo suficiente para haber probado, implementado y descartado más herramientas SOAR de las que me gustaría admitir. La mayoría de las opciones de código abierto parecen prometedoras en la documentación, pero fallan al ejecutarlas en producción. Estas 5 son las que no lo hicieron:
Herramienta | Qué es | Enfocar |
|---|---|---|
n8n | Motor de flujo de trabajo para SOAR | Automatización personalizable basada en API |
StackStorm – st2 | Infraestructura SOAR basada en eventos | Autocorrección a nivel de infraestructura y automatización de DevOps |
Barajar | Plataforma SOAR completa | Orquestación de respuesta de seguridad sin código para equipos SOC |
Proyecto TheHive – Cortex | Herramienta de inteligencia sobre amenazas y gestión de casos | Análisis del COI y gestión estructurada de casos |
Tracecat | Plataforma SOAR completa | Playbooks SOAR escalables y multiusuario |
Características de las herramientas SOAR
Las herramientas SOAR dependen de datos precisos de los puntos finales y de un control eficaz de los dispositivos. Descubra cómo el software de gestión de puntos finales refuerza la respuesta de seguridad automatizada.
GitHub destaca las mejores herramientas SOAR de código abierto.
El gráfico muestra la cantidad de estrellas de GitHub que han recibido las principales herramientas SOAR de código abierto durante los últimos dos años. n8n domina el ranking, con un total de aproximadamente 160 000 estrellas. Esto se debe principalmente a que n8n tiene un enfoque mucho más amplio como plataforma general de automatización de flujos de trabajo, lo que atrae a usuarios más allá del ámbito de las operaciones de seguridad.
Las demás herramientas, StackStorm, Shuffle, TheHive Project y Tracecat, siguen agrupadas en el rango inferior (por debajo de las 20.000 estrellas), lo que refleja su enfoque más especializado en casos de uso SOAR específicos de seguridad.
Análisis de las mejores herramientas
n8n
n8n es una plataforma de automatización de flujos de trabajo autohospedada con una interfaz visual y de bajo código. Los equipos de seguridad la utilizan en contextos de SecOps para automatizar las tareas de detección, respuesta y enriquecimiento en plataformas SIEM y de inteligencia de amenazas.
Modelo de licenciamiento: El código fuente está disponible, pero no es completamente de código abierto. La edición gratuita Community Edition de n8n incluye el código fuente, pero su licencia de uso sostenible la sitúa fuera de la definición de código abierto de la Open Source Initiative. 1
Qué incluye la edición comunitaria de n8n:
El plan gratuito incluye el motor de flujo de trabajo principal: depuración en el editor con fijación de datos de ejecución, 24 horas de historial de flujo de trabajo y metadatos de ejecución personalizados (guardar, buscar, comentar).
Lo que requiere un plan de pago:
El uso compartido del flujo de trabajo está restringido al propietario y creador de la instancia; para un acceso más amplio al equipo se requiere un plan Pro o Enterprise.
Casos de uso de SOAR con n8n:
Fuente: n8n 2
Conexiones a nivel de instancia de MCP
n8n añadió compatibilidad con MCP (Protocolo de Contexto de Modelo) a nivel de instancia, lo que permite que las plataformas de IA compatibles con MCP accedan a los flujos de trabajo seleccionados mediante un único punto final protegido con OAuth. Los flujos de trabajo recién añadidos estarán disponibles a través de la misma conexión sin necesidad de configuración adicional. 3
Aviso de seguridad
Se han revelado varias vulnerabilidades críticas (CVE) que afectan a las instancias n8n autohospedadas. La CVE-2026-21858 (“Ni8mare”) tiene una puntuación CVSS de 10.0. Afecta a versiones anteriores a la 1.121.0 y permite que un atacante remoto no autenticado lea archivos arbitrarios y, en algunas configuraciones, logre la ejecución remota de código mediante la carga de archivos a través de formularios web con validación incorrecta. 4
Dos fallos adicionales corregidos en la versión 2.4.0 afectan a las implementaciones utilizadas para la orquestación de IA, exponiendo las credenciales almacenadas para servicios como OpenAI, Anthropic, Azure OpenAI y bases de datos vectoriales como Pinecone y Weaviate. 5
Para una herramienta de SecOps que almacena credenciales por diseño, este patrón de vulnerabilidades de alta gravedad representa un riesgo operativo significativo. Cualquier instancia autohospedada debe estar en la versión 2.4.0 o posterior.
Casos de uso de SOAR con n8n:
Fuente: N8n 6
Ventajas
- Se admiten tanto JavaScript como Python para la lógica de flujo de trabajo personalizada, y las instancias autoalojadas pueden incorporar bibliotecas npm externas a través del Nodo de Código.
- La capa de integración de la API gestiona las importaciones cURL de forma eficiente, lo que acelera las conexiones a herramientas internas no estándar.
- El despliegue de Docker está bien documentado y se escala sin mayores dificultades.
- Los precios en la nube se basan en la cantidad de flujos de trabajo, en lugar de en la complejidad, lo que evita la imprevisibilidad de los costos común en las plataformas de la competencia.
Desventajas
- n8n no es un SOAR en el sentido tradicional; carece de gestión de casos nativa, correlación de alertas integrada y elaboración de perfiles de comportamiento de entidades.
- La configuración de OAuth para servicios de terceros como Workspace es notablemente más compleja que la de herramientas de automatización SaaS comparables.
- La versión en la nube también carece de algunas funcionalidades disponibles en las implementaciones autogestionadas, incluido el acceso a los paquetes npm. Y como deja claro el conjunto de vulnerabilidades CVE de 2026, el modelo autogestionado traslada la responsabilidad de la aplicación de parches directamente al operador.
StackStorm – st2
Fuente: StockStorm 7
StackStorm automatiza la remediación, la respuesta a incidentes, la resolución de problemas y las implementaciones. Ofrece un motor de automatización basado en reglas, gestión de flujos de trabajo y alrededor de 160 paquetes de integración. Empresas como Cisco, Target y Netflix lo han implementado en producción; Netflix lo utilizó para alojar y ejecutar manuales de procedimientos operativos. 8
La versión de código abierto incluye integración con Slack. La integración con AWS, un diseñador de flujos de trabajo, soporte profesional y las herramientas de automatización de redes solo están disponibles en el nivel empresarial.
Los costes de infraestructura de terceros para una implementación autogestionada rondan los 28 dólares al mes, lo que incluye AWS, PackageCloud, el alojamiento del foro, los certificados de dominio y una licencia de OpenVPN. 9
Ventajas
- Flujos de trabajo personalizados: La plataforma acepta scripts personalizados dentro de los flujos de trabajo, lo que permite a los equipos integrar la automatización existente sin tener que reescribirla.
- Ecosistema de complementos: Los paquetes de integración abarcan herramientas como NetBox, Splunk y AWS, y hay paquetes adicionales disponibles a través de StackStorm Exchange.
Desventajas
- Compatibilidad con Kubernetes: No hay compatibilidad nativa con Kubernetes.
- Curva de aprendizaje: La creación y gestión de flujos de trabajo requiere conocimientos prácticos de Python y YAML, lo que aumenta el tiempo de incorporación para los equipos que no tienen esa experiencia.
- Frecuencia de mantenimiento: La frecuencia de las versiones ha disminuido en los últimos años. Los equipos que la evalúen deben sopesar el alcance de la integración frente a la carga operativa de un proyecto con una actividad comunitaria cada vez menor.
Barajar
Fuente: Arquitectura 10
Shuffle es una plataforma SOAR de código abierto basada en OpenAPI, lo que le da acceso a más de 11.000 puntos finales a través de más de 200 integraciones de aplicaciones predefinidas.
Su modelo de automatización principal abarca dos patrones comunes en los entornos SOC: el reenvío de alertas SIEM a un sistema de gestión de casos y la sincronización bidireccional de tickets entre plataformas con controles de acceso por parte interesada. 11
El precio de Shuffle se basa en el volumen de ejecuciones de aplicaciones, no en los núcleos de CPU. El plan gratuito Starter cubre 2000 ejecuciones de aplicaciones al mes e incluye más de 2500 aplicaciones. El plan Scale comienza en $29 al mes para 10 000 ejecuciones de aplicaciones y aumenta los límites a 15 usuarios, 25 flujos de trabajo y 3 inquilinos. El precio Enterprise es personalizado e incluye usuarios, flujos de trabajo, inquilinos y entornos ilimitados, además de incorporación dedicada, soporte técnico disponible las 24 horas y un sistema de gestión de claves. 12
Limitaciones
El despliegue mediante Docker es sencillo, y la conexión con herramientas como Wazuh y Jira requiere una configuración mínima. Sin embargo, gestionar los procesos de backend en un entorno Docker añade complejidad; se han reportado problemas de fiabilidad en las integraciones dentro de configuraciones en contenedores; y la velocidad de ejecución del flujo de trabajo está limitada por la capacidad del servidor anfitrión, en lugar de por el planificador propio de Shuffle. Los equipos que utilizan infraestructuras con recursos limitados deben tener esto en cuenta antes de implementarlo a gran escala. 13
Proyecto TheHive – Cortex
Fuente: GitHub 14
Cortex analiza datos observables como direcciones IP, dominios y hashes de archivos, de forma individual o en conjunto, a través de una API RESTful y una interfaz web.
Cortex sigue siendo completamente de código abierto bajo la licencia AGPL. Sin embargo, TheHive adoptó un modelo comercial con la versión 5. Tras un periodo de prueba de 14 días, las nuevas instalaciones requieren una licencia válida de StrangeBee; sin ella, la plataforma entra en modo de solo lectura. Se puede solicitar una licencia comunitaria gratuita. 15
Edición gratuita frente a edición de pago:
Ventajas
- Análisis de observables a gran escala: Cortex admite el análisis masivo de observables a través de una única interfaz, lo que elimina la necesidad de consultar varias herramientas por separado.
- Integración con MISP: Cortex se conecta a MISP (Plataforma de Intercambio de Información sobre Malware) para permitir el intercambio de información sobre amenazas entre plataformas.
Desventajas
- Cambio en la licencia de TheHive: TheHive 5 ya no es de código abierto. Los equipos que utilizaban TheHive 3 o 4 autoalojado no disponen de una ruta de actualización con soporte técnico sin aceptar condiciones comerciales. 16
- Complejidad de la configuración: La configuración inicial requiere la coordinación de Cortex, Elasticsearch y TheHive, lo que añade una carga operativa para equipos más pequeños.
- Limitaciones del soporte de la comunidad: Los problemas de Cortex que no están cubiertos por contratos empresariales se gestionan a través de los canales de la comunidad, sin tiempos de respuesta garantizados.
Tracecat
Fuente: 17
Tracecat es una plataforma de automatización de código abierto para ingenieros de seguridad e informática, posicionada como una alternativa autohospedada a Tines y Splunk SOAR.
Los flujos de trabajo se pueden crear mediante una interfaz de usuario de arrastrar y soltar sin código o mediante configuración como código basada en YAML, y ambos se sincronizan automáticamente. El motor de flujo de trabajo se ejecuta en Temporal, el mismo marco de ejecución persistente que utilizan los principales equipos de infraestructura en la nube. 18
Características de código abierto (autoalojadas):
Flujos de trabajo ilimitados, gestión de casos, tablas de búsqueda integradas, más de 100 integraciones, integraciones personalizadas de Python/YAML con sincronización de Git, SSO SAML, registros de auditoría e implementación en Docker o AWS Fargate.
Funcionalidades profesionales y empresariales:
Incluye todas las funciones de código abierto, además de alojamiento en la nube totalmente administrado, implementación de Kubernetes mediante Helm, clúster Temporal propio, LLM autohospedados, chatbots de IA empresariales en Teams, cumplimiento con STIG para casos de uso federales y soporte SLA escalonado 24/7. Para obtener información sobre precios, póngase en contacto directamente con Tracecat. 19
Ventajas
- Modelo de licenciamiento: El inicio de sesión único (SSO), los registros de auditoría y las implementaciones de infraestructura como código siguen siendo gratuitos en el nivel de código abierto, a diferencia de la mayoría de las plataformas SOAR comerciales que restringen el acceso a estas funciones.
- Autoría dual: Los flujos de trabajo sin código y en YAML se mantienen sincronizados, de modo que los analistas e ingenieros pueden trabajar en el mismo flujo de trabajo sin conflictos.
- Flexibilidad de implementación: se admiten Docker Compose, AWS Fargate a través de Terraform y Kubernetes a través de Helm.
Desventajas
- Ritmo de desarrollo activo: El proyecto se encuentra en fase de desarrollo activo, y el equipo recomienda revisar el registro de cambios antes de cada actualización, ya que pueden producirse cambios importantes entre versiones.
- Requisitos de autoalojamiento: Ejecutar una pila Tracecat de producción con Temporal, PostgreSQL y LLM opcionales requiere una capacidad de infraestructura que puede ser una limitación para equipos pequeños.
- Relativamente nueva: Tracecat tiene una comunidad más pequeña y menos integraciones de terceros en comparación con plataformas más antiguas como StackStorm o TheHive.
Preguntas frecuentes
Las herramientas de orquestación, automatización y respuesta de seguridad (SOAR) coordinan y automatizan tareas entre personas y software en una única plataforma. Los ingenieros de seguridad las utilizan para crear automatizaciones con conectores de código abierto y configuración como código, mientras que los equipos del SOC utilizan los flujos de trabajo resultantes para priorizar alertas, realizar un seguimiento de incidentes y responder a amenazas.
La velocidad de respuesta afecta directamente a los costes de las filtraciones de datos. Según el informe de IBM sobre el coste de las filtraciones de datos en 2025, el coste medio mundial de una filtración de datos descendió a 4,44 millones de dólares, un 9 % menos que el año anterior, debido en parte a la detección asistida por IA. Sin embargo, el promedio en Estados Unidos aumentó a 10,22 millones de dólares, un máximo histórico. 20
La actividad en GitHub es un punto de partida práctico: el número de estrellas y de colaboradores refleja la frecuencia con la que se mantiene un proyecto y la cantidad de apoyo de la comunidad que existe para la resolución de problemas y el trabajo de integración.
Más allá de la salud comunitaria, evalúe si las integraciones nativas de la plataforma cubren las herramientas que ya utiliza. La mayoría de las plataformas SOAR de código abierto incluyen capacidades de respuesta a incidentes, búsqueda de amenazas e inteligencia sobre amenazas, pero la profundidad varía. Las organizaciones que también necesitan funcionalidad SIEM deben verificar si esta viene integrada o si requiere una integración adicional.
Las soluciones de código abierto generalmente implican ciertas limitaciones: menos integraciones preconfiguradas, ausencia de acuerdos de nivel de servicio (SLA) de soporte garantizados y responsabilidad del mantenimiento en el equipo de implementación. Las alternativas de pago suelen ofrecer documentación más completa, soporte especializado y funciones como la microsegmentación y la gestión de la seguridad en la nube.
Lecturas adicionales
- 6 ejemplos reales de RBAC
- 10 casos de uso de SOAR con ejemplos de flujos de trabajo reales
- Las 10 mejores herramientas de microsegmentación
- Más de 15 soluciones de respuesta a incidentes de código abierto
Enlaces de referencia
Sé el primero en comentar
Tu dirección de correo electrónico no será publicada. Todos los campos son obligatorios.