Security orchestration, automation, and response (SOAR) tools coordinate and automate tasks between people and software on a single platform. Security engineers use them to build automation with open-source connectors and configuration-as-code, while SOC teams use the resulting workflows to triage alerts, track incidents, and respond to threats.

Why do organizations need SOAR tools?

Response speed directly affects breach costs. According to IBM's 2025 Cost of a Data Breach Report, the global average cost of a data breach fell to $4.44M a 9% decline from the prior year, attributed in part to AI-assisted detection. The U.S. average, however, rose to $10.22M, an all-time high.1

How to select an open-source SOAR tool?

GitHub activity is a practical starting point: star counts and contributor numbers reflect how actively a project is maintained and how much community support exists for troubleshooting and integration work.Beyond community health, evaluate whether the platform's native integrations cover the tools already in use. Most open-source SOAR platforms include incident response, threat hunting, and threat intelligence capabilities, but the depth varies. Organizations that also need SIEM functionality should verify whether that is built in or requires a separate integration.Open-source solutions generally involve trade-offs: fewer out-of-the-box integrations, no guaranteed support SLAs, and maintenance responsibility on the deploying team. Paid alternatives typically offer more comprehensive documentation, dedicated support, and features such as microsegmentation and cloud security posture management.

Citar Esta Investigación

Principales 5 herramientas SOAR de código abierto

Adil Hafa

con

Sena Sezer

actualizado el 23 de feb. de 2026

Vea nuestra normas éticas

Citar Esta Investigación

He pasado casi dos décadas como CISO en industrias altamente reguladas, tiempo suficiente para haber probado, implementado y eliminado más herramientas SOAR de las que me gustaría admitir. La mayoría de las opciones de código abierto parecen prometedoras en la documentación, pero se desmoronan cuando realmente las ejecutas en producción. Estas 5 son las que no lo hicieron:

Herramienta	Qué es	Enfoque
n8n	Motor de flujo de trabajo para SOAR	Automatización impulsada por API personalizable
StackStorm – st2	Infraestructura SOAR impulsada por eventos	Autocorrección a nivel de infraestructura y automatización de DevOps
Shuffle	Plataforma SOAR completa	Orquestación de respuesta de seguridad sin código para equipos SOC
TheHive Project – Cortex	Herramienta de gestión de inteligencia de amenazas y casos	Análisis de IOC y gestión de casos estructurada
Tracecat	Plataforma SOAR completa	Playbooks SOAR escalables y multiinquilino

Características de las herramientas SOAR

Herramienta	Python a sin código	Mapeo Mitre	Constructor sin código	Activar flujos de trabajo
n8n	✅	✅	✅	✅
StackStorm – st2	❌	❌	✅	✅
Shuffle	✅	✅	✅	✅
TheHive Project – Cortex	❌	✅	✅	✅
Tracecat	✅	❌*	✅	✅

Las herramientas SOAR dependen de datos precisos de los endpoints y control de dispositivos accionables. Aprende cómo el software de gestión de endpoints fortalece la respuesta de seguridad automatizada.

Estrellas de GitHub de las mejores herramientas SOAR de código abierto

El gráfico rastrea las estrellas de GitHub de las principales herramientas SOAR de código abierto durante los últimos 2 años. n8n domina, con un recuento de estrellas más alto de aproximadamente 160k. Esto se debe en gran parte a que n8n tiene un enfoque mucho más amplio como plataforma general de automatización de flujos de trabajo, atrayendo usuarios más allá del espacio de operaciones de seguridad.

Las otras herramientas, StackStorm, Shuffle, TheHive Project y Tracecat, permanecen agrupadas en el rango inferior (menos de 20k estrellas), reflejando su enfoque más especializado en casos de uso SOAR específicos de seguridad.

Análisis de las principales herramientas

n8n

El flujo de trabajo de n8n muestra múltiples acciones y herramientas

n8n es una plataforma de automatización de flujos de trabajo autoalojada con una interfaz visual de bajo código. Los equipos de seguridad lo utilizan en contextos de SecOps para automatizar tareas de detección, respuesta y enriquecimiento en SIEM y plataformas de inteligencia de amenazas.

Modelo de licencia: Disponible con código fuente, no completamente de código abierto. La edición Comunitaria gratuita de n8n se envía con código fuente, pero su Licencia de Uso Sostenible la coloca fuera de la definición de código abierto de la Open Source Initiative.¹

Qué incluye la edición Comunitaria de n8n:

La capa gratuita cubre el motor de flujo de trabajo central: depuración en el editor con fijación de datos de ejecución, 24 horas de historial de flujos de trabajo y metadatos de ejecución personalizados (guardar, buscar, comentar).

Qué requiere un plan de pago:

El uso compartido de flujos de trabajo está restringido al propietario de la instancia y al creador; un acceso más amplio del equipo requiere un plan Pro o Enterprise.

Casos de uso SOAR con n8n:

Caso de uso	Flujo de trabajo	Herramientas
Enriquecimiento de alertas SIEM	Ingiere alertas SIEM a través de un chatbot o un disparador de Zendesk, consulta un almacén vectorial Qdrant cargado con técnicas MITRE ATT&CK, extrae TTP relevantes y actualiza los tickets de Zendesk con contexto de amenazas y notas de corrección	Qdrant, MITRE ATT&CK, OpenAI, Zendesk
Alerta de endpoint a ticket	Extrae detecciones de CrowdStrike, enriquece cada una con búsquedas de IOC y SHA256 en VirusTotal, luego crea un problema de Jira por detección con la severidad y el nombre de host en el resumen y publica una notificación en Slack	CrowdStrike, VirusTotal, Jira, Slack
Detección de exposición de secretos	Escanea los commits de GitHub en busca de claves de acceso AWS IAM expuestas asociadas a una cuenta dada y dispara una alerta cuando se detecta una coincidencia	GitHub, AWS IAM
Briefing de seguridad ejecutivo	Agrega alertas de Wazuh y genera un informe de resumen en lenguaje sencillo formateado para líderes no técnicos	Wazuh, NixGuard AI, Code
Triaje y enrutamiento de alertas	Clasifica las alertas de seguridad entrantes por severidad usando IA y enruta los elementos de alta prioridad a Jira, los de baja prioridad a Slack	NixGuard AI, Jira, Slack
Monitoreo de certificados SSL	Verifica la expiración de certificados en una lista de dominios, registra el estado en Notion y envía alertas de Discord en caso de fallos	HTTP Request, Notion, Discord
Detección de enlaces de phishing	Envía URLs de correos electrónicos sospechosos a NixGuard AI para un veredicto, luego notifica al canal de seguridad	NixGuard AI, Slack

Fuente: n8n²

Conexiones a nivel de instancia MCP

n8n agregó soporte para MCP (Model Context Protocol) a nivel de instancia, permitiendo que las plataformas de IA compatibles con MCP accedan a flujos de trabajo optados a través de un único endpoint asegurado con OAuth. Los flujos de trabajo recién agregados están disponibles a través de la misma conexión sin configuración adicional.³

Advisory de seguridad

Se revelaron múltiples CVE críticos que afectan a instancias de n8n autoalojadas. CVE-2026-21858 ("Ni8mare") tiene una puntuación CVSS de 10.0. Afecta a versiones anteriores a 1.121.0 y permite a un atacante remoto no autenticado leer archivos arbitrarios y, en algunas configuraciones, lograr la ejecución remota de código a través de cargas de archivos de formularios web no validados adecuadamente. ⁴

Dos fallas adicionales parcheadas en la versión 2.4.0 apuntan a implementaciones utilizadas para orquestación de IA, exponiendo credenciales almacenadas para servicios que incluyen OpenAI, Anthropic, Azure OpenAI, y bases de datos vectoriales como Pinecone y Weaviate. ⁵

Para una herramienta de SecOps que almacena credenciales por diseño, este patrón de vulnerabilidades de alta severidad es un riesgo operativo material. Cualquier instancia autoalojada debe estar en la versión 2.4.0 o posterior.

Casos de uso SOAR con n8n:

Caso de uso	Flujo de trabajo	Herramientas
Enriquecimiento de alertas SIEM	Ingiere alertas SIEM a través de un chatbot o un disparador de Zendesk, consulta un almacén vectorial Qdrant cargado con técnicas MITRE ATT&CK, extrae TTP relevantes y actualiza los tickets de Zendesk con contexto de amenazas y notas de corrección	Qdrant, MITRE ATT&CK, OpenAI, Zendesk
Alerta de endpoint a ticket	Extrae detecciones de CrowdStrike, enriquece cada una con búsquedas de IOC y SHA256 en VirusTotal, luego crea un problema de Jira por detección con la severidad y el nombre de host en el resumen y publica una notificación en Slack	CrowdStrike, VirusTotal, Jira, Slack
Detección de exposición de secretos	Escanea los commits de GitHub en busca de claves de acceso AWS IAM expuestas asociadas a una cuenta dada y dispara una alerta cuando se detecta una coincidencia	GitHub, AWS IAM
Briefing de seguridad ejecutivo	Agrega alertas de Wazuh y genera un informe de resumen en lenguaje sencillo formateado para líderes no técnicos	Wazuh, NixGuard AI, Code
Triaje y enrutamiento de alertas	Clasifica las alertas de seguridad entrantes por severidad usando IA y enruta los elementos de alta prioridad a Jira, los de baja prioridad a Slack	NixGuard AI, Jira, Slack
Monitoreo de certificados SSL	Verifica la expiración de certificados en una lista de dominios, registra el estado en Notion y envía alertas de Discord en caso de fallos	HTTP Request, Notion, Discord
Detección de enlaces de phishing	Envía URLs de correos electrónicos sospechosos a NixGuard AI para un veredicto, luego notifica al canal de seguridad	NixGuard AI, Slack

Fuente: N8n⁶

Pros

JavaScript y Python son ambos compatibles para la lógica de flujo de trabajo personalizada, y las instancias autoalojadas pueden cargar bibliotecas externas de npm a través del Nodo de Código.
La capa de integración de API maneja las importaciones de cURL limpiamente, acelerando las conexiones a herramientas internas no estándar.
La implementación de Docker está bien documentada y escala sin fricción significativa.
Los precios en la nube se basan en el recuento de flujos de trabajo en lugar de la complejidad, lo que evita la imprevisibilidad de costos común en plataformas competidoras.

Contras

n8n no es un SOAR en el sentido tradicional; carece de gestión de casos nativa, correlación de alertas integrada y perfilado de comportamiento de entidades.
La configuración de OAuth para servicios de terceros como Google Workspace es notablemente más compleja que las herramientas de automatización SaaS comparables.
La versión en la nube también carece de algunas capacidades disponibles en implementaciones autoalojadas, incluido el acceso a paquetes de npm. Y como deja claro el grupo de CVE de 2026, el modelo autoalojado coloca la carga de parches directamente en el operador.

StackStorm – st2

Fuente: StockStorm⁷

StackStorm automatiza la corrección, la respuesta a incidentes, la resolución de problemas y las implementaciones. Ofrece un motor de automatización basado en reglas, gestión de flujos de trabajo y alrededor de 160 paquetes de integración. Empresas como Cisco, Target y Netflix lo han implementado en producción; Netflix lo utilizó para alojar y ejecutar libros de instrucciones operativos.⁸

La versión de código abierto incluye integración con Slack. La integración con AWS, un diseñador de flujos de trabajo, soporte profesional y suites de automatización de red están disponibles solo en la capa empresarial.

Los costos de infraestructura de terceros para una implementación autoalojada rondan los 28 $ al mes, cubriendo AWS, PackageCloud, alojamiento de foros, certificados de dominio y una licencia de OpenVPN.⁹

Pros

Flujos de trabajo personalizados: La plataforma acepta scripts personalizados dentro de los flujos de trabajo, permitiendo a los equipos envolver la automatización existente sin reescribirla.
Ecosistema de complementos: Los paquetes de integración cubren herramientas como NetBox, Splunk y AWS, con paquetes adicionales disponibles a través del Exchange de StackStorm.

Contras

Soporte de Kubernetes: No hay soporte nativo de Kubernetes disponible.
Curva de aprendizaje: Construir y gestionar flujos de trabajo requiere conocimientos de Python y YAML, lo que añade tiempo de incorporación para equipos sin esa experiencia.
Calendario de mantenimiento: La frecuencia de lanzamiento ha disminuido en los últimos años. Los equipos que lo evalúan deben sopesar la amplitud de la integración frente a la sobrecarga operativa de un proyecto con una actividad comunitaria en ralentización.

Shuffle

Fuente: Arquitectura¹⁰

Shuffle es una plataforma SOAR de código abierto construida alrededor de OpenAPI, lo que le da acceso a más de 11.000 endpoints en más de 200 integraciones de aplicaciones preconstruidas.

Su modelo de automatización central cubre dos patrones comunes en entornos SOC: reenviar alertas SIEM a un sistema de gestión de casos y sincronización bidireccional de tickets en plataformas con controles de acceso por parte interesada.¹¹

Los precios de Shuffle se basan en el volumen de ejecuciones de aplicaciones en lugar de los núcleos CPU. La capa Starter gratuita cubre 2.000 ejecuciones de aplicaciones por mes e incluye todas las 2.500+ aplicaciones. La capa Scale comienza en 29 $ por mes para 10.000 ejecuciones de aplicaciones y aumenta los límites a 15 usuarios, 25 flujos de trabajo y 3 inquilinos. Los precios empresariales son personalizados e incluyen usuarios, flujos de trabajo, inquilinos y entornos ilimitados, junto con incorporación dedicada, soporte de guardia y un sistema de gestión de claves.¹²

Limitaciones

La implementación mediante Docker es sencilla, y conectar herramientas como Wazuh y Jira requiere una configuración mínima. Por otro lado, gestionar procedimientos de backend en un entorno Docker añade complejidad; las integraciones en configuraciones contenerizadas han reportado problemas de fiabilidad; y la velocidad de ejecución del flujo de trabajo está limitada por la capacidad del servidor anfitrión en lugar de por el programador de Shuffle. Los equipos que ejecutan infraestructura con recursos limitados deben tener esto en cuenta antes de comprometerse con ello a gran escala.¹³

No te pierdas nuestros análisis comparativos e insights basados en datos. El botón abre Google; seleccionar AIMultiple confirma que deseas ver AIMultiple con más frecuencia en los resultados de búsqueda de Google.

Añadir como fuente preferida

TheHive Project – Cortex

Fuente: GitHub¹⁴

Cortex analiza observables como direcciones IP, dominios y hashes de archivos, individualmente o por lotes, a través de una API RESTful y una interfaz web.

Cortex sigue siendo completamente de código abierto bajo la licencia AGPL. TheHive, sin embargo, pasó a un modelo comercial con la versión 5. Después de una prueba de 14 días, las nuevas instalaciones requieren una licencia válida de StrangeBee; sin una, la plataforma entra en modo de solo lectura. Una licencia Comunitaria gratuita está disponible bajo solicitud.¹⁵

Edición gratuita vs edición de pago:

Característica	Comunidad	Gold	Platinum
Número de usuarios	2	Pago por usuario	Pago por usuario
Número de organizaciones	1	Pago por org (hasta 5)	Pago por org
Multiinquilino	❌	✅	✅
Servidores Cortex	1	Hasta 5	Ilimitado
Servidores MISP	1	Hasta 5	Ilimitado
Definir vistas personalizadas	❌	✅	✅
Base de conocimientos personalizada	❌	✅	✅
White labeling	❌	❌	✅
Soporte de clúster	❌	✅	✅

Pros

Análisis de observables a escala: Cortex admite el análisis por lotes de observables a través de una sola interfaz, eliminando la necesidad de consultar múltiples herramientas por separado.
Integración con MISP: Cortex se conecta a MISP (Malware Information Sharing Platform) para habilitar el intercambio de inteligencia de amenazas entre plataformas.

Contras

Cambio de licencia de TheHive: TheHive 5 ya no es de código abierto. Los equipos que confiaban en TheHive 3 o 4 autoalojados no tienen una ruta de actualización mantenida sin aceptar términos comerciales.¹⁶
Complejidad de configuración: La configuración inicial requiere coordinar Cortex, Elasticsearch y TheHive, lo que añade sobrecarga operativa para equipos más pequeños.
Límites de soporte comunitario: Los problemas de Cortex fuera de los contratos empresariales se gestionan a través de canales comunitarios, sin tiempos de respuesta garantizados.

Tracecat

Fuente: ¹⁷

Tracecat es una plataforma de automatización de código abierto para ingenieros de seguridad e IT, posicionada como una alternativa autoalojada a Tines y Splunk SOAR.

Los flujos de trabajo se pueden construir utilizando una interfaz de arrastrar y soltar sin código o una configuración basada en YAML como código, y los dos se mantienen sincronizados automáticamente. El motor de flujos de trabajo se ejecuta en Temporal, el mismo marco de ejecución duradero utilizado por los principales equipos de infraestructura en la nube.¹⁸

Características de código abierto (autoalojadas):

Flujos de trabajo ilimitados, gestión de casos, tablas de búsqueda integradas, más de 100 integraciones, integraciones personalizadas de Python/YAML con sincronización git, SSO SAML, registros de auditoría y despliegue en Docker o AWS Fargate.

Características Professional y Enterprise:

Incluye todas las características de código abierto, además de alojamiento en la nube totalmente gestionado, despliegue de Kubernetes vía Helm, traer tu propio clúster de Temporal, LLMs autoalojados, chatbots de IA empresariales en Microsoft Teams, cumplimiento STIG para casos de uso federales y soporte SLA por niveles 24/7. Los precios requieren contactar directamente con Tracecat.¹⁹

Pros

Modelo de licencia: SSO, registros de auditoría e implementaciones de infraestructura como código permanecen gratuitos en la capa de código abierto, a diferencia de la mayoría de las plataformas SOAR comerciales que restringen estas características.
Doble autoría: Los flujos de trabajo sin código y YAML permanecen sincronizados, por lo que los analistas e ingenieros pueden trabajar en el mismo flujo de trabajo sin conflictos.
Flexibilidad de implementación: Docker Compose, AWS Fargate vía Terraform y Kubernetes vía Helm son todos compatibles.

Contras

Ritmo de desarrollo activo: El proyecto está en desarrollo activo, y el equipo aconseja revisar el registro de cambios antes de cada actualización, ya que ocurren cambios disruptivos entre versiones.
Requisitos de autoalojamiento: Ejecutar una pila de producción de Tracecat con Temporal, PostgreSQL y LLMs opcionales requiere capacidad de infraestructura que puede ser una restricción para equipos más pequeños.
Relativamente nuevo: Tracecat tiene una comunidad más pequeña y menos integraciones de terceros en comparación con plataformas más antiguas como StackStorm o TheHive.

Preguntas frecuentes

Las herramientas de orquestación, automatización y respuesta de seguridad (SOAR) coordinan y automatizan tareas entre personas y software en una sola plataforma. Los ingenieros de seguridad las utilizan para construir automatización con conectores de código abierto y configuración como código, mientras que los equipos SOC utilizan los flujos de trabajo resultantes para triar alertas, rastrear incidentes y responder a amenazas.

La velocidad de respuesta afecta directamente a los costos de las brechas. Según el Informe de Coste de una Brecha de Datos 2025 de IBM, el coste medio global de una brecha de datos cayó a 4,44 millones de dólares, una disminución del 9% con respecto al año anterior, atribuida en parte a la detección asistida por IA. Sin embargo, el promedio de EE. UU. aumentó a 10,22 millones de dólares, un máximo histórico.²⁰

La actividad de GitHub es un punto de partida práctico: los recuentos de estrellas y los números de contribuyentes reflejan qué tan activamente se mantiene un proyecto y cuánto soporte comunitario existe para el trabajo de resolución de problemas e integración.
Más allá de la salud de la comunidad, evalúe si las integraciones nativas de la plataforma cubren las herramientas ya en uso. La mayoría de las plataformas SOAR de código abierto incluyen capacidades de respuesta a incidentes, caza de amenazas e inteligencia de amenazas, pero la profundidad varía. Las organizaciones que también necesitan funcionalidad SIEM deben verificar si esto está integrado o requiere una integración separada.
Las soluciones de código abierto generalmente implican compensaciones: menos integraciones listas para usar, sin SLAs de soporte garantizados y responsabilidad de mantenimiento en el equipo que implementa. Las alternativas de pago suelen ofrecer documentación más completa, soporte dedicado y características como microsegmentación y gestión de postura de seguridad en la nube.

Lectura adicional

Cita esta investigación

Elige el formato que se ajuste al lugar donde vas a publicar. Pegar la versión con enlace en tu CMS conserva el enlace de retroceso.

Adil Hafa and Sena Sezer (2026) - "Principales 5 herramientas SOAR de código abierto". Publicado en línea en AIMultiple.com. Recuperado el 23 de Febrero de 2026, de: https://aimultiple.com/open-source-soar [Recurso en línea]

Hafa, A., & Sezer, S. (2026, 23 de Febrero). Principales 5 herramientas SOAR de código abierto. AIMultiple. https://aimultiple.com/open-source-soar

@misc{hafa2026,
  author = {Hafa, Adil and Sezer, Sena},
  title  = {{Principales 5 herramientas SOAR de código abierto}},
  year   = {2026},
  month  = feb,
  howpublished    = {\url{https://aimultiple.com/open-source-soar}},
  note   = {AIMultiple. Recuperado el 23 de Febrero de 2026}
}