Alternativas a Splunk: adónde ir y cómo salir sin perder tus datos
Diez herramientas al detalle, el contrato de Splunk cláusula a cláusula y un plan de migración en siete pasos.
La respuesta corta: Wazuh si buscas una alternativa gratuita, Elastic Security si quieres precios públicos y migración automática de reglas, Microsoft Sentinel si trabajas con Microsoft 365, Devo si quieres SIEM, SOAR y UEBA en una sola licencia, y Grafana Cloud o New Relic si Splunk solo era tu buscador de registros o tu APM. Hemos comparado estas herramientas a partir de sus páginas de precios oficiales, las condiciones generales de Splunk y la documentación de migración de cada proveedor.
Algunos enlaces pueden ser de afiliación. La clasificación es editorial: una plaza patrocinada siempre se indica en su ficha, y ningún enlace de afiliación cambia una nota.
Por qué se acaba dejando Splunk
La búsqueda y los paneles de Splunk siguen gustando. La gente se va por el precio, por la complejidad y la curva de aprendizaje de SPL, y por un contrato con poco margen.
Sin precios públicos
Splunk Cloud Platform, Splunk Enterprise y Enterprise Security van bajo presupuesto. Solo publica precios de Observability Cloud (15, 60 y 75 $ por host al mes, en anual), AppDynamics y On-Call.
Ingesta o workload: la factura sube igual
Con el modelo de ingesta pagas cada GB indexado; con el de workload, una capacidad de cálculo reservada (SVC) dimensionada a tu pico. Un revisor de PeerSpot del sector farmacéutico lo resume: «instead of being charged based on ingestion, we are paying for SVCs».
Renovación tácita sin salida
Las condiciones generales de Splunk renuevan el contrato por un periodo igual salvo aviso previo. No hay rescisión por conveniencia y las cuotas no son cancelables ni reembolsables.
30 días para recuperar tus datos
Tras la baja, tu contenido sigue disponible 30 días y luego se borra. En Splunk Cloud no existe exporttool: solo funciona en un indexador local.
Todo está en SPL
Búsquedas, alertas y paneles están en SPL y ningún rival lo lee. Sentinel y Elastic traducen, pero solo en parte. En G2 se comenta que a los analistas nuevos ya les cuesta escribir consultas.
Ahora es de Cisco
Cisco cerró la compra en 2024, por unos 28.000 millones de dólares. Si tu red es Cisco, ciertos datos cuentan a la mitad en la cuota de ingesta. Para el resto, la hoja de ruta abre dudas.
Te vas porque… ve a…
Depende de para qué usabas Splunk: seguridad (SIEM) o registros y observabilidad.
Gratis, o cloud desde 571 $ al mes.
Quieres ver el precio antes de firmarElastic SecurityDesde 0,09 $ por GB ingerido.
Trabajas con Microsoft 365 y AzureMicrosoft SentinelMigración de SPL a KQL integrada.
Quieres SIEM, SOAR y UEBA bajo una licenciaDevoPlataforma única, bajo presupuesto.
Debes conservar un año de registrosGoogle SecOps12 meses de retención caliente en Standard.
Splunk solo era tu buscador de registrosGrafana Cloud50 GB de registros gratis al mes.
Alternativas a Splunk, una a una
Para cada herramienta: por qué pasarte, para quién, su límite, cómo migrar y su precio. Las ocho primeras son SIEM, las dos últimas, herramientas de registros y observabilidad. Los precios salen de las páginas oficiales y están en dólares: ninguno de estos proveedores publica precios en euros. Si tu organización trabaja con el Esquema Nacional de Seguridad, pide a cada proveedor su certificación por escrito antes de firmar.
Wazuh: la alternativa gratuita a Splunk más usada, si alguien la mantiene
Código abiertoPor qué pasarte a Wazuh. Wazuh es gratuito y de código abierto, y cubre la detección en los equipos y la correlación de registros. Quien viene de ELK se adapta rápido: «I like Wazuh because it is a lot like ELK, which I was already comfortable with» (PeerSpot). Tiene 4,1 sobre 5 en nuestra clasificación de los mejores SIEM.
Para quién. Pymes con un perfil de sistemas sólido que quieren salir del coste de licencia.
Para quién no. Quien dependía de la analítica de comportamiento avanzada de Splunk ES.
Su límite. Autoalojado, el mantenimiento pesa. Wazuh Cloud empieza en 571 $ al mes hasta 100 agentes (1 mes indexado, 3 meses de archivo), luego 923 $ para 250 y 1.467 $ para 500.
Cómo migrar. La prueba cloud de 14 días no pide tarjeta: despliega agentes en una muestra de equipos y compara las alertas con Splunk.
- Plan gratuito
- sí, código abierto
- Se factura por
- agente (cloud)
- Primer precio
- 571 $/mes, 100 agentes
- Límite
- mantenimiento pesado
Elastic Security: precios públicos y migración automática de las reglas de Splunk
Precios públicosPor qué pasarte a Elastic. Elastic publica su precio por GB y tiene una herramienta pensada para salir de Splunk: primero empareja tus reglas con sus detecciones listas, luego traduce el resto de SPL a ES|QL con IA, con tres intentos de corrección, y pasa los campos CIM a ECS. La misma plataforma cubre la observabilidad.
Para quién. Equipos de seguridad que quieren una factura previsible y equipos que ya conocen ELK. 4,3 sobre 5 en nuestra clasificación SIEM.
Para quién no. El equipo pequeño que cree ahorrar autoalojando Elasticsearch.
Su límite. Las reglas traducidas a medias se rehacen a mano. En modo serverless, Essentials parte de 0,09 $ por GB ingerido y 0,017 $ por GB retenido al mes; Complete, 0,11 $ y 0,019 $. Los primeros 50 GB de salida son gratis, luego 0,05 $ por GB.
Cómo migrar. Pasa la migración automática sobre tus reglas, sepáralas en emparejadas, traducidas y parciales, y empieza el periodo en paralelo por las fuentes de más volumen.
- Plan gratuito
- prueba, licencia libre autoalojada
- Se factura por
- GB ingerido y retenido
- Primer precio
- 0,09 $/GB ingerido (Essentials)
- Límite
- reglas parciales a rehacer
Microsoft Sentinel: la salida más asistida si trabajas con Microsoft 365 y Azure
Entorno MicrosoftPor qué pasarte a Sentinel. Incluye una experiencia de migración SIEM que traduce las reglas SPL sencillas a KQL, convierte los lookups en watchlists y adapta CIM a ASIM. Con Microsoft 365, parte de los registros de Microsoft entra gratis: hasta 5 MB por usuario y día según su página de precios.
Para quién. Empresas con Entra ID, Defender y Azure que quieren un SIEM gestionado. Primero en nuestra clasificación SIEM, con 4,3 sobre 5.
Para quién no. Si la mayoría de tus fuentes está fuera de Microsoft.
Su límite. Solo Azure, y sin precio por GB a la vista: calculadora y niveles de compromiso de 100 a 50.000 GB al día, con hasta un 52 % de ahorro.
Cómo migrar. Las reglas traducidas llegan desactivadas: revísalas una a una. Microsoft aconseja no migrarlo todo a ciegas.
- Plan gratuito
- registros de Microsoft 365 hasta 5 MB/usuario/día
- Se factura por
- GB ingerido, niveles de compromiso
- Primer precio
- bajo presupuesto, con la calculadora de Azure
- Límite
- solo Azure
Devo: SIEM, SOAR y UEBA en una sola plataforma
SIEM en la nubePor qué pasarte a Devo. Devo se presenta como una plataforma de datos de seguridad que integra SIEM, SOAR y UEBA, con «one platform, one license» como promesa frente a los costes de SIEM que se disparan, según su web oficial.
Para quién. Equipos de seguridad que quieren reunir en la nube detección, respuesta y analítica de comportamiento bajo una sola licencia.
Para quién no. Quien quiere ver una tarifa antes de hablar con ventas.
Su límite. No publica precios: todo es bajo presupuesto.
Cómo migrar. Pide el presupuesto con tu volumen real de Splunk en GB al día y lleva al piloto las diez detecciones que de verdad saltan.
- Se factura por
- licencia única, bajo presupuesto
- Primer precio
- bajo presupuesto
- Límite
- sin precios públicos
Graylog: gratis sin límite de volumen y con precios publicados
Precios a la vistaPor qué pasarte a Graylog. Graylog Open es gratuito sin límite de volumen, y las ediciones de pago publican su precio de entrada: Enterprise desde 15.000 $ al año, Security desde 18.000 $ al año.
Para quién. Equipos que quieren centralizar registros sin presupuesto y crecer hacia un SIEM con la misma herramienta. Graylog Security tiene 3,8 en nuestra clasificación SIEM.
Para quién no. La pyme que busca un SIEM de pago barato.
Su límite. La versión gratuita tiene licencia SSPL y se aloja en tu infraestructura.
Cómo migrar. Empieza por los registros de infraestructura, enviados a Graylog en paralelo a Splunk.
- Plan gratuito
- sí, Graylog Open sin límite de volumen
- Se factura por
- volumen activo diario
- Primer precio
- 15.000 $/año (Enterprise)
- Límite
- entrada de pago alta
Sumo Logic: sin castigo por un pico de ingesta
Ingesta ilimitadaPor qué pasarte a Sumo Logic. Su oferta Flex anuncia ingesta a 0 $: pagas el volumen que analizan tus búsquedas, no el que envías.
Para quién. Equipos que ingieren mucho y buscan poco.
Para quién no. Quien lanza búsquedas pesadas todo el día.
Su límite. Sin importes publicados: Essentials y Enterprise Suite van bajo presupuesto.
Cómo migrar. Durante la prueba, repite tus búsquedas programadas de Splunk más frecuentes: son las que harán tu factura.
- Plan gratuito
- prueba gratuita
- Se factura por
- volumen analizado (Flex)
- Primer precio
- bajo presupuesto
- Límite
- factura ligada a las búsquedas
Google SecOps: doce meses de retención caliente incluidos
Retención largaPor qué pasarte a Google SecOps. La edición Standard incluye 12 meses de retención caliente. El precio depende del volumen ingerido, en Standard, Enterprise y Enterprise Plus.
Para quién. Equipos que deben conservar un año de registros consultables. 4,0 en nuestra clasificación SIEM.
Para quién no. Quien quiere una cifra antes de llamar a ventas.
Su límite. Sin precio público, y reglas en YARA-L.
Cómo migrar. Pide presupuesto con tus GB diarios reales y reescribe primero las detecciones que han saltado.
- Plan gratuito
- no
- Se factura por
- volumen ingerido
- Primer precio
- bajo presupuesto
- Límite
- sin precio público
CrowdStrike Falcon Next-Gen SIEM: lógico si tus equipos ya usan Falcon
Entorno FalconPor qué pasarte a CrowdStrike. Los datos de los módulos Falcon con licencia entran en el SIEM sin cargos de ingesta adicionales, según la página oficial.
Para quién. Clientes de Falcon EDR.
Para quién no. Un entorno sin Falcon.
Su límite. Bajo presupuesto, y otro lenguaje de consulta (CQL).
Cómo migrar. Usa la prueba de 15 días para conectar una fuente ajena a Falcon y ver lo que cuesta.
- Plan gratuito
- prueba de 15 días
- Se factura por
- presupuesto, datos Falcon incluidos
- Primer precio
- bajo presupuesto
- Límite
- precio opaco
Grafana Cloud: si Splunk solo te servía para buscar en registros
Registros baratosPor qué pasarte a Grafana Cloud. Loki, su motor de registros, es libre y barato de almacenar. El plan gratuito da 50 GB de registros, 14 días de retención y 3 usuarios.
Para quién. Equipos de desarrollo y operaciones. Mismos precios que en nuestra guía para dejar Datadog.
Para quién no. Seguridad: no es un SIEM.
Su límite. Loki indexa etiquetas, no el texto, así que la búsqueda libre es más lenta. Pro cuesta 19 $ al mes más el uso: 0,05 $ por GB procesado, 0,40 $ por GB escrito, 0,10 $ por GB retenido. Enterprise exige 25.000 $ al año como mínimo.
Cómo migrar. Reescribe tus búsquedas SPL frecuentes en LogQL y define tus etiquetas antes de enviar el primer GB.
- Plan gratuito
- sí, 50 GB de registros/mes
- Se factura por
- GB procesado, escrito, retenido
- Primer precio
- 19 $/mes + uso
- Límite
- no es un SIEM
New Relic: si usabas Splunk para APM y observabilidad
ObservabilidadPor qué pasarte a New Relic. Si tu gasto en Splunk es sobre todo Observability Cloud o AppDynamics, New Relic lo cubre con 100 GB gratis al mes y un usuario completo, luego 0,40 $ por GB (0,60 $ con Data Plus).
Para quién. Equipos de producto pequeños. Mismos precios que en nuestra guía para dejar Datadog.
Para quién no. Seguridad, y equipos grandes que quieren todos acceso completo.
Su límite. El precio por usuario: Core 49 $ al mes, Pro 349 $ al mes en anual. El centro de datos europeo suma 0,05 $ por GB.
Cómo migrar. Envía una aplicación por duplicado con OpenTelemetry durante dos semanas y compara.
- Plan gratuito
- sí, 100 GB/mes
- Se factura por
- GB y usuario
- Primer precio
- 0,40 $/GB pasados 100 GB
- Límite
- no es un SIEM
Las 10 alternativas frente a Splunk
Una fila por herramienta: a la izquierda, lo que sustituye de Splunk; a la derecha, su primer precio y cómo migrar.
| Lo que sustituye | Primer precio y migración | |
|---|---|---|
| SplunkPunto de partida | SIEM, registros, observabilidad | Cloud, Enterprise y ES bajo presupuesto; Free limitado a 500 MB al día |
| WazuhCódigo abierto | SIEM y XDR | Gratis, cloud desde 571 $/mes |
| Elastic SecurityPrecios públicos | SIEM y registros | Desde 0,09 $/GB ingerido; migración automática de reglas |
| Microsoft SentinelEntorno Microsoft | SIEM | Bajo presupuesto con la calculadora; SPL a KQL integrado |
| DevoSIEM en la nube | SIEM, SOAR, UEBA | Bajo presupuesto; licencia única |
| GraylogPrecios a la vista | Registros y luego SIEM | Open gratis, Enterprise desde 15.000 $/año |
| Sumo LogicIngesta ilimitada | SIEM y registros | Bajo presupuesto; se paga lo analizado |
| Google SecOpsRetención larga | SIEM | Bajo presupuesto; reglas en YARA-L |
| CrowdStrike Next-Gen SIEMEntorno Falcon | SIEM | Bajo presupuesto; prueba de 15 días |
| Grafana CloudRegistros | Registros y métricas | Gratis 50 GB, Pro 19 $/mes + uso; LogQL |
| New RelicObservabilidad | APM y registros | 100 GB gratis, luego 0,40 $/GB |
Precios sin impuestos, en dólares, según los proveedores en 2026 y sujetos a cambios. Calcula con tu propio volumen.
Migrar desde Splunk en siete pasos
El orden importa: cada paso protege tu contrato, tus datos o tus detecciones.
Leer tu pedido y apuntar la fecha de renovación
Antes de todoLa renovación es tácita: el aviso de no renovación importa más que nada. Comprueba si tu pedido cambia las condiciones generales y apunta la fecha.
- Protege
- tu presupuesto
- Tiempo
- una hora
Inventariar fuentes y reglas útiles
Mes 1Ordena las fuentes por volumen y las búsquedas programadas por uso real. Las reglas que nunca saltaron se quedan.
Truco: según Splunk Lantern, repartir las búsquedas programadas y quitar las inútiles reduce el consumo de SVC mientras sigues pagando.
- Protege
- tu tiempo
- Tiempo
- 1 a 2 semanas
Preparar la exportación de datos
Mes 1En local, exporttool saca los eventos en bruto del indexador. En Splunk Cloud, usa exportaciones de búsqueda (ojo con los límites que truncan) o Cribl, que lee los buckets. Todo debe acabar en los 30 días tras la baja.
- Protege
- tu histórico
- Tiempo
- según el volumen
Traducir las reglas con la herramienta de destino
Meses 1 a 2Sentinel traduce SPL sencillo a KQL; Elastic, a ES|QL. Marca cada regla: traducida, parcial, a reescribir.
- Protege
- tus detecciones
- Tiempo
- unas semanas
Usar las dos herramientas en paralelo
Meses 2 a 3Envía las mismas fuentes a las dos y compara las alertas. Empieza por las fuentes más grandes.
- Protege
- tu vigilancia
- Tiempo
- hasta igualar alertas
Rehacer los paneles que se usan
Mes 3Ningún panel de Splunk se importa tal cual. Rehaz solo los que se abren.
- Protege
- a tus equipos
- Tiempo
- unos días
Cortar Splunk antes del vencimiento
FinalEnvía la no renovación por escrito, apaga los reenviadores de datos y comprueba que la exportación está completa antes de que acaben los 30 días.
- Protege
- tu presupuesto
- Tiempo
- un día
¿Tu herramienta no está en esta página? Escríbenos: hello@hackceleration.com
Lo que hace fracasar una salida de Splunk
Los errores caros casi siempre aparecen en la fecha de renovación.
Saltarse el plazo de aviso
El contrato se renueva por un periodo igual, con cuotas no reembolsables.
Contar con exporttool en Splunk Cloud
Solo existe en local. Prevé exportaciones de búsqueda o Cribl antes del final.
Fiarse de la traducción automática
Sentinel solo traduce consultas simples de una fuente; Elastic deja reglas parciales. Revisa cada una.
Confundir SIEM y registros
Cambiar un SIEM por Grafana o New Relic deja la seguridad sin correlación.
Olvidar la ventaja Cisco
En redes Cisco, ciertos datos cuentan a la mitad. Calcúlalo antes de irte.
Subestimar el autoalojamiento
Wazuh, Graylog Open o Elasticsearch no cuestan licencia, pero sí horas de ingeniería.
- Fechas de renovación y aviso apuntadas
- Fuentes ordenadas por volumen
- Reglas útiles listadas
- Exportación de datos verificada
- Cada regla traducida revisada
- Paralelo hasta igualar alertas
- No renovación enviada por escrito
- Exportación verificada en 30 días
Preguntas frecuentes sobre alternativas a Splunk
¿Cuál es la mejor alternativa gratuita a Splunk?
Wazuh, si alguien puede mantenerlo: es libre y cubre SIEM y XDR. Graylog Open y OpenSearch (licencia Apache 2.0) también son gratuitos. En la nube, Grafana Cloud da 50 GB de registros al mes.
¿Splunk o Elastic?
Elastic si quieres ver el precio antes de firmar y automatizar la migración de reglas. Splunk si tu equipo domina SPL y la factura es asumible, sobre todo con red Cisco.
¿Por qué Splunk es tan caro?
Porque pagas cada GB indexado o una capacidad reservada para tu pico, y la retención larga lo encarece. Truco: repartir búsquedas programadas y usar índices de resumen baja el consumo en modelo workload.
¿Wazuh o Splunk?
Wazuh si quieres eliminar la licencia y tienes a alguien para mantenerlo. Splunk si dependes de su analítica de comportamiento avanzada. Detalle en nuestra clasificación de los mejores SIEM.
¿Splunk es gratis?
Splunk Free indexa hasta 500 MB al día en una sola instancia, sin alertas ni autenticación. Tres avisos en 30 días bloquean la búsqueda.
¿Puedo conservar mis consultas SPL?
No tal cual. Sentinel traduce SPL sencillo a KQL y Elastic a ES|QL; el resto se reescribe.
¿Splunk o Datadog?
Datadog se centra en observabilidad; Splunk también en seguridad. Para observabilidad, mira nuestra guía para dejar Datadog.
¿Cuánto dura una migración desde Splunk?
Depende de tus reglas y fuentes. Planifica hacia atrás desde la renovación, con margen para usar las dos herramientas en paralelo hasta igualar las alertas.
Recibe la próxima guía de migración en tu correo
Una herramienta que dejar, un destino, un plan de migración. Todas las guías están en nuestra sección cambiar de herramienta.