Elastic vs Datadog vs Graylog: SIEM Grátis a $18 Mil [2026]

Uma equipa de segurança em Lisboa que hoje decide qual SIEM vai correr a partir de 2027 enfrenta três caminhos muito diferentes. Pode pagar por uma plataforma gerida, apostar num serviço cloud-native cobrado por evento, ou montar a sua própria pilha open source sem limite de ingestão. A escolha entre Elastic Security, Datadog Cloud SIEM e Graylog não é apenas uma questão de preço: envolve arquitetura, certificações exigidas pelo NIS2 e a velocidade real de deteção de um ataque.

Este artigo compara as três plataformas com dados publicados em 2025 e 2026: preços oficiais, posicionamento no Gartner Magic Quadrant, benchmarks de ingestão e casos reais de empresas como a Siemens, a UOL ou a operadora de telecomunicações Circles. O objetivo é simples: dar às equipas técnicas portuguesas e europeias uma base concreta para decidir, sem depender só do discurso comercial de cada fornecedor.

Porque é que o SIEM voltou ao centro das atenções em 2026

O Regime Jurídico da Cibersegurança que transpõe a diretiva NIS2 já obriga cerca de 9.000 entidades em Portugal a reforçar a monitorização de eventos de segurança, sob pena de coimas até dez milhões de euros. Um SIEM (Security Information and Event Management) é a peça que junta logs de firewalls, servidores, endpoints e aplicações num único ponto de análise, permitindo detetar padrões suspeitos antes que se transformem num incidente reportável.

Os dados do relatório Cost of a Data Breach 2025 da IBM mostram porque isto importa: o tempo médio global para identificar e conter uma fuga de dados caiu para 241 dias, o valor mais baixo em nove anos, contra 258 dias em 2024. Quebrando esse número, a IBM estima cerca de 181 dias para identificar um ataque e mais 60 dias para o conter. Organizações que usam IA e automação de forma extensiva reduzem esse ciclo em 80 a 100 dias face às que não usam. Um SIEM bem afinado é precisamente a ferramenta que torna essa redução possível, porque cruza sinais dispersos em minutos em vez de dias.

É neste contexto que a procura por SIEM voltou a subir nas pesquisas em Portugal. As três plataformas em análise chegam de ângulos distintos: a Elastic vende análise de segurança construída sobre o motor de pesquisa Elasticsearch, a Datadog embute o SIEM dentro da sua plataforma de observabilidade mais ampla, e a Graylog oferece uma via open source com custos previsíveis por volume de dados.

Nenhuma das três é nova no mercado, mas todas mudaram substancialmente nos últimos doze meses: a Elastic reforçou a componente de deteção alargada, a Datadog continuou a empurrar o SIEM como extensão natural da observabilidade que já vende às equipas de engenharia, e a Graylog lançou duas versões maiores da plataforma em menos de um ano. Comparar as três hoje, com dados de 2025 e 2026, dá um retrato bem diferente do que se obteria há dois ou três anos.

Elastic Security: análise de ameaças construída sobre o Elastic Stack

A Elastic Security nasceu da fusão entre o motor de pesquisa Elasticsearch e capacidades de deteção, resposta e análise comportamental. Em 2025, a Elastic foi nomeada “Visionária” no Gartner Magic Quadrant para SIEM e “Líder” no Forrester Wave para Plataformas de Análise de Segurança do segundo trimestre de 2025, segundo o próprio blog da empresa. A plataforma unifica SIEM, deteção e resposta alargada (XDR), monitorização cloud e automação de SOC num único produto, o que a distingue de concorrentes que vendem estas camadas em separado.

Em testes independentes da AV-Comparatives publicados em 2025, a Elastic Security atingiu 99,3% de eficácia no teste de Endpoint Prevention and Response (EPR) e, num teste distinto de Business Security, chegou a 100% de deteção tanto no Real-World Protection Test como no Malware Protection Test. São números relevantes para equipas que precisam justificar a escolha de fornecedor perante auditores de conformidade.

Do lado técnico, a Elastic publicou em 2026 um relatório sobre o exercício militar Defence Cyber Marvel, onde a sua implementação chegou a ingerir 800.000 eventos por segundo no pico, com 40 equipas a operar em simultâneo. É um número tirado de um cenário real de grande escala, não de um laboratório controlado, o que dá alguma noção do teto de capacidade da arquitetura quando bem dimensionada.

Datadog Cloud SIEM: segurança dentro da observabilidade

A Datadog não nasceu como fornecedor de segurança. Cresceu como plataforma de observabilidade (métricas, logs e tracing) e só depois acrescentou o Cloud SIEM como mais um módulo. Essa origem explica o modelo de preços: em vez de uma licença de SIEM autónoma, a Datadog cobra pela análise de eventos já ingeridos para outros fins, o que pode ser uma vantagem para equipas que já usam a plataforma para monitorização de infraestrutura.

No Gartner Magic Quadrant para SIEM de 2025, a Datadog foi posicionada como “Niche Player”, ao lado de fornecedores como a Graylog, a Huawei e a Sumo Logic, segundo análises públicas do relatório. Isto não significa que a tecnologia seja fraca, mas sim que o Gartner a considera menos madura em execução alargada de SIEM do que líderes como a Microsoft ou a Splunk.

Em termos de desempenho, a Datadog não publica benchmarks de eventos por segundo. A empresa comunica antes modelos de custo e volume: fontes do setor estimam que ambientes empresariais típicos processam entre seis e dez milhões de eventos por cada gigabyte de logs, o que significa que um ambiente de 50 GB por dia pode gerar entre nove e quinze mil milhões de eventos diários. É uma forma diferente de comunicar capacidade, mais orientada a custo do que a performance bruta.

Graylog: a via open source com custo previsível

A Graylog segue um caminho oposto: a edição Graylog Open é gratuita e, segundo a documentação oficial, “não tem limite diário de ingestão nem qualquer limite de volume” quando corre em modo self-hosted sem os módulos empresariais. O repositório principal no GitHub (graylog2-server) tinha cerca de 8.100 estrelas em setembro de 2026, um sinal de adoção sólida mas claramente menor do que projetos de observabilidade mais generalistas.

A Graylog também foi incluída no Gartner Magic Quadrant para SIEM de 2025, na categoria “Niche Player”, a mesma da Datadog. A empresa lançou três versões maiores da plataforma em pouco mais de um ano: a versão 6.2 em abril de 2025, a 6.3 em junho de 2025, a 7.0 (edição de outono de 2025) a 3 de novembro de 2025, com destaque para novos painéis com IA e integração com o Amazon Security Data Lake, e a 7.1 (edição de primavera de 2026) a 4 de maio de 2026, focada em deteção comportamental e investigações automatizadas para equipas pequenas. Em setembro de 2026 já circulava a versão de manutenção 7.1.9 e uma pré-visualização beta da 7.2.

O ponto forte da Graylog para equipas europeias é o controlo total sobre onde os dados residem: como a versão Open corre inteiramente on-premise, não há transferência de logs para fora da UE, algo relevante para organizações sujeitas ao RGPD e ao NIS2 que preferem não depender de clouds públicas fora do espaço europeu.

Tabela comparativa: especificações técnicas lado a lado

A tabela seguinte resume as diferenças estruturais entre as três plataformas, com base em documentação oficial e nas análises de mercado publicadas em 2025 e 2026.

Critério	Elastic Security	Datadog Cloud SIEM	Graylog
Modelo de implementação	Cloud, serverless ou self-managed	SaaS apenas	Self-hosted, cloud ou híbrido
Licença base	Open core (Basic gratuito)	Proprietária	Open source (SSPL) + versões pagas
Posição Gartner MQ 2025	Visionária	Niche Player	Niche Player
Unidade de cobrança	Por GB ingerido/retido	Por milhão de eventos analisados	Por GB/dia licenciado (planos pagos)
Camada gratuita	Basic self-managed, sem custo de licença	Sem camada gratuita dedicada ao SIEM	Graylog Open, ingestão sem limite
Benchmark de ingestão publicado	800.000 eventos/seg. (exercício Defence Cyber Marvel 2026)	Não publicado (modelo por custo/GB)	Não publicado em larga escala
Deteção AV-Comparatives 2025	99,3% (EPR) e 100% (Business Security)	Não aplicável (não é motor endpoint)	Não aplicável
Estrelas no GitHub (repositório principal)	Não aplicável (open core distribuído)	Não aplicável (fechado)	~8.100 (graylog2-server, set. 2026)
Certificações citadas	SOC 2, HIPAA, PCI-DSS, ISO 27001, NIS2	SOC 2, ISO 27001, HIPAA	SSPL open source, conformidade dependente da implementação
Retenção de dados	Configurável, hot/warm/cold/frozen	Configurável por indexação, custo adicional	Configurável, Data Lake para arquivo
IA integrada	Elastic AI Assistant, motor AI SOC	Bits AI Security Analyst	Illuminate (enriquecimento e deteção)
Última versão maior (2026)	Não divulga numeração pública de versão	Atualização contínua (SaaS)	7.1 (maio 2026), patch 7.1.9 (set. 2026)

Preços em 2026: do gratuito aos milhares de euros por ano

Nenhuma das três empresas publica uma tabela de preços simples e universal, mas os dados recolhidos de páginas oficiais e de análises independentes de mercado permitem construir um retrato razoavelmente preciso para 2026.

A Elastic cobra a versão serverless da Security Analytics Essentials a partir de 0,09 dólares por gigabyte ingerido e 0,017 dólares por gigabyte retido por mês, com 50 GB de transferência gratuita, segundo a página oficial de preços atualizada em abril de 2026. A camada Complete, com mais capacidades de deteção, sobe para 0,11 dólares por GB ingerido. Para implementações geridas na Elastic Cloud, análises de mercado independentes (CostBench) apontam um contrato médio anual de 600.570 dólares, com base em quatro relatos de compradores reais, embora a Elastic também ofereça a versão Basic self-managed sem custo de licença, ficando o cliente apenas com o custo da própria infraestrutura.

A Datadog publica a sua tabela de preços de forma mais transparente: o Cloud SIEM custa 5 dólares por milhão de eventos analisados por mês em contrato anual, ou 7,50 dólares em regime pré-pago mensal, segundo a página oficial de preços. A isto soma-se o custo de ingestão de logs, fixado em cerca de 0,10 dólares por gigabyte, antes de qualquer análise de segurança. Análises de mercado independentes (Parseable, OneUptime) mostram que um volume de 100 GB por dia pode custar cerca de 107.400 dólares por ano só em ingestão, antes do módulo de SIEM.

A Graylog mantém o modelo mais previsível: a versão Open continua gratuita e sem limite de ingestão em self-hosted. A versão paga Graylog Security arranca em 18.000 dólares por ano para 10 GB por dia, segundo a plataforma de comparação MSP Compared. No mercado britânico, o catálogo oficial do G-Cloud mostra preços por GB/dia decrescentes com o volume: 1.850 libras por GB/dia/ano a 10 GB diários, caindo para cerca de 1.100 libras por GB/dia/ano a partir de 50 GB diários em modo cloud, ou entre 291 e 1.550 libras em modo self-hosted, consoante o volume contratado.

Plataforma	Camada gratuita	Entrada paga	Unidade de custo
Elastic Security	Basic self-managed, sem custo de licença	A partir de $0,09/GB ingerido (serverless)	Por GB ingerido e retido
Datadog Cloud SIEM	Não existe camada gratuita dedicada	$5 por milhão de eventos analisados/mês	Por evento analisado + $0,10/GB de ingestão de logs
Graylog	Graylog Open, ingestão ilimitada self-hosted	$18.000/ano (Security, 10 GB/dia)	Por GB/dia licenciado

Note-se que os três modelos de preços são difíceis de comparar diretamente, porque medem coisas diferentes: a Elastic e a Graylog cobram por volume de dados, enquanto a Datadog cobra por eventos processados depois de já terem sido pagos como logs de observabilidade. Isto significa que uma equipa que já paga a Datadog para monitorização de infraestrutura pode achar o SIEM relativamente barato, enquanto uma equipa a começar do zero pode achar a fatura total mais elevada do que esperava.

Quanto custa ao fim de um ano: um exemplo de cálculo

Números por gigabyte ou por milhão de eventos são difíceis de visualizar sem um exemplo concreto. Para ilustrar, considere-se uma organização de dimensão média que gera 100 GB de logs por dia, um volume comum numa empresa com algumas centenas de colaboradores e uma infraestrutura híbrida de servidores e cloud.

Nesse cenário, a Datadog cobra cerca de 0,10 dólares por GB só na ingestão de logs, o que já soma aproximadamente 107.400 dólares por ano segundo os cálculos publicados por análises de mercado independentes (Parseable), antes de somar o custo específico do módulo Cloud SIEM sobre os eventos analisados. A Elastic, no plano serverless Security Analytics Essentials, cobra 0,09 dólares por GB ingerido, o que resulta num valor anual próximo de 3.285 dólares só na ingestão diária, mais o custo de retenção mensal por GB armazenado, um valor bem mais baixo do que a Datadog para o mesmo volume bruto, embora a comparação dependa da retenção escolhida. Já a Graylog, na versão Security paga, arranca em 18.000 dólares por ano fixos para até 10 GB por dia, sendo necessário subir de escalão de licença para cobrir 100 GB diários, o que aproxima o custo do intervalo dos milhares de dólares mensais indicado pelas tabelas do G-Cloud britânico.

Estes números não substituem uma cotação formal, que varia com desconto por volume, região e duração de contrato, mas mostram que a diferença de custo entre as três plataformas para o mesmo volume de dados pode facilmente ultrapassar uma ordem de grandeza, o que justifica pedir sempre uma simulação com dados reais de produção antes de assinar qualquer contrato plurianual.

Ecossistema, suporte e curva de aprendizagem

A escolha de um SIEM não se resume a preço e desempenho. A dimensão da comunidade e a disponibilidade de talento no mercado de trabalho pesam tanto quanto os números técnicos, sobretudo para equipas pequenas que não podem contratar especialistas dedicados a cada ferramenta.

A Elastic beneficia da base instalada gigantesca do Elasticsearch fora do contexto de segurança, o que significa que encontrar engenheiros com experiência prévia em Elasticsearch, Logstash e Kibana é relativamente comum no mercado português, mesmo que a experiência específica em Elastic Security seja mais rara. A documentação é extensa e o fórum oficial da Elastic tem atividade diária.

A Datadog aposta numa interface mais orientada a quem já vem do mundo de DevOps e SRE, o que reduz a curva de aprendizagem para equipas que já usam a plataforma para monitorização de aplicações. O suporte comercial é direto, com gestor de conta dedicado a partir de determinados escalões de contrato, mas a documentação pública sobre o módulo Cloud SIEM especificamente é mais reduzida do que a documentação geral de observabilidade da empresa.

A Graylog tem a comunidade mais pequena das três, visível no número de estrelas no GitHub, mas compensa com um fórum de comunidade ativo (community.graylog.org) onde a própria equipa de engenharia responde a dúvidas técnicas com regularidade. Para equipas que optam pela versão Open sem suporte comercial, este fórum é frequentemente o único canal de apoio disponível, o que pode ser um risco em incidentes críticos fora de horário.

Benchmarks de desempenho: o que os dados publicados realmente mostram

Os benchmarks de ingestão são a área onde menos dados comparáveis existem entre as três plataformas, mas há três fontes distintas que ajudam a formar uma imagem.

• Elastic, exercício real (2026): a implementação usada no exercício militar Defence Cyber Marvel atingiu 800.000 eventos por segundo no pico, com 40 equipas a gerar tráfego em simultâneo, segundo o blog técnico da Elastic Security Labs.
• Elastic, teste académico (2025): um estudo publicado no repositório do Departamento de Energia dos EUA (OSTI) mediu o Elasticsearch a sustentar entre 32.000 e 37.000 eventos por segundo num ambiente de teste com 100 mil milhões de eventos, um valor bem mais modesto do que o cenário de exercício militar.
• ELK Stack, laboratório (2026): testes independentes publicados pela Networkers Home mostram um cluster de três nós a indexar 50.000 eventos por segundo, e um cluster de seis nós a sustentar 40.000 eventos por segundo com latência de consulta abaixo dos 200 milissegundos.
• Datadog: não existe benchmark de eventos por segundo publicado pela empresa; a comunicação da Datadog foca-se em custo por gigabyte e densidade de eventos, não em capacidade bruta de processamento.
• Graylog: também não há um benchmark de larga escala publicado pela empresa; os dados disponíveis vêm de relatos da comunidade em ambientes pequenos, sem valor comparativo direto.

A conclusão prática é que a Elastic é a única das três com um número de ingestão validado em produção de grande escala. Isso não prova que seja sempre a opção mais rápida, mas indica que a arquitetura foi testada sob carga real, algo que nem a Datadog nem a Graylog documentam publicamente com o mesmo grau de detalhe.

Casos reais: como as empresas usam cada plataforma

Números de marketing são fáceis de encontrar; casos com métricas verificáveis são mais raros. Estes exemplos, publicados pelas próprias empresas ou em estudos de caso oficiais, dão uma noção mais concreta do impacto de cada plataforma.

1. Siemens (Elastic Security): segundo a página de clientes da Elastic, a Siemens correlaciona seis mil milhões de eventos por dia em 300 mil endpoints, recuperando cerca de cinco mil horas de trabalho da equipa de SOC por ano.
2. Proficio (Elastic Security): o fornecedor de serviços de segurança geridos relata um crescimento de 50% na eficiência do SOC, com redução de 34% no tempo de investigação e uma poupança projetada de um milhão de dólares em três anos, usando o Elastic AI Assistant para triagem.
3. UOL (Elastic Security): a empresa brasileira de media e tecnologia reporta uma resolução de incidentes 80% mais rápida depois de adotar a plataforma, segundo a Elastic.
4. Texas A&M University (Elastic Security): a universidade libertou mais de 100 horas de trabalho de analistas por mês e reduziu o tempo de resposta em 99% ao substituir várias ferramentas dispersas pela Elastic Security.
5. SmartDCC (Elastic Security): a operadora de infraestrutura de contadores inteligentes do Reino Unido reduziu o tempo de deteção de incidentes em 84%, protegendo 124 milhões de dispositivos ligados à rede.
6. NetAssist (Graylog Security): segundo o estudo de caso publicado pela Graylog, o tempo médio de deteção (MTTD) melhorou 40%, caindo de cerca de quatro horas para menos de 45 minutos, numa operação de SOC multi-inquilino.
7. Circles (Graylog Security Cloud): a operadora de telecomunicações digital fez a transição de um SOC dependente de um fornecedor externo (MSSP) para uma operação interna baseada em automação, usando Graylog Security Cloud na AWS com enriquecimento por IA através do módulo Illuminate.

Não foi possível encontrar, nas fontes públicas consultadas em 2025 e 2026, um estudo de caso da Datadog Cloud SIEM com métricas nomeadas e verificáveis ao mesmo nível de detalhe dos exemplos da Elastic e da Graylog. Isso não significa que a Datadog não tenha clientes relevantes a usar o produto, apenas que a empresa comunica esses casos de forma menos granular no material público disponível.

Prós e contras de cada plataforma

Depois de reunir preços, benchmarks e casos reais, os pontos fortes e fracos de cada opção tornam-se mais claros.

Elastic Security

• Vantagem: plataforma unificada (SIEM, XDR, análise cloud) com resultados fortes em testes independentes de deteção.
• Vantagem: opção self-managed gratuita para equipas com capacidade de gerir a própria infraestrutura.
• Desvantagem: contratos empresariais geridos têm um custo médio elevado, próximo dos 600 mil dólares anuais segundo dados de mercado.
• Desvantagem: exige conhecimento técnico de Elasticsearch para otimizar desempenho e evitar faturas inesperadas na versão serverless.

Datadog Cloud SIEM

• Vantagem: integração natural para equipas que já usam a Datadog para observabilidade de infraestrutura.
• Vantagem: modelo de preços transparente, publicado abertamente na página oficial.
• Desvantagem: posicionamento “Niche Player” no Gartner MQ 2025, abaixo de líderes como Microsoft e Splunk.
• Desvantagem: sem camada gratuita dedicada ao SIEM e sem benchmarks públicos de desempenho de deteção.

Graylog

• Vantagem: ingestão ilimitada e gratuita na versão Open, ideal para equipas pequenas ou provas de conceito.
• Vantagem: controlo total sobre a localização dos dados, relevante para exigências de residência de dados na UE.
• Desvantagem: também classificada como “Niche Player” no Gartner MQ 2025, com menor visibilidade de mercado.
• Desvantagem: exige equipa própria para manter a infraestrutura em ambientes self-hosted de maior escala.

Qual escolher? Cinco cenários de uso reais

A resposta certa depende do perfil da equipa, do orçamento e das obrigações regulatórias. Estes cinco cenários cobrem os casos mais comuns entre organizações portuguesas e europeias.

1. Startup ou PME com equipa técnica reduzida: a Graylog Open é a opção com menor custo inicial, sem limite de ingestão e sem necessidade de negociar contrato, desde que exista alguém capaz de gerir a infraestrutura self-hosted.
2. Empresa já cliente da Datadog para observabilidade: ativar o Cloud SIEM aproveita a ingestão de logs já paga para monitorização, evitando duplicar pipelines de dados entre duas plataformas distintas.
3. Organização sujeita a auditorias rigorosas de deteção (banca, saúde, infraestrutura crítica): a Elastic Security tem a vantagem de resultados documentados em testes independentes da AV-Comparatives e um posicionamento de “Visionária” no Gartner, o que ajuda a justificar a escolha perante reguladores.
4. Entidade abrangida pelo NIS2 com exigência de residência de dados na UE: a Graylog self-hosted ou a Elastic self-managed permitem manter todos os logs em servidores dentro do território nacional ou europeu, sem depender de uma cloud SaaS fora da UE.
5. Grande empresa com volumes de dados muito elevados e equipa de SOC madura: a Elastic Security, com o benchmark validado de 800 mil eventos por segundo em cenário real, é a opção com maior margem de crescimento comprovada para operações de grande escala.

Guia de migração: como trocar de SIEM sem perder visibilidade

Migrar de um SIEM legado (como um Splunk envelhecido ou uma solução artesanal baseada em scripts) para qualquer uma destas três plataformas segue uma lógica semelhante, com pequenas diferenças técnicas.

1. Inventariar todas as fontes de log: firewalls, servidores, endpoints, aplicações SaaS e serviços cloud. Sem este mapa, qualquer migração deixa pontos cegos.
2. Correr em paralelo durante 30 a 60 dias: manter o SIEM antigo ativo enquanto o novo recebe os mesmos dados, para comparar alertas e ajustar regras de deteção antes de desligar o sistema legado.
3. Recriar as regras de deteção críticas primeiro: priorizar as regras ligadas a obrigações de conformidade (NIS2, RGPD, PCI-DSS) antes de recriar alertas de menor prioridade.
4. Validar o custo real com dados de produção: os preços por GB ou por evento anunciados raramente refletem o volume real de uma organização; testar com um mês de dados reais evita surpresas na fatura.
5. Formar a equipa na nova sintaxe de consulta: a Elastic usa KQL e EQL, a Datadog usa a sua própria linguagem de consulta de logs, e a Graylog usa uma sintaxe baseada em Lucene. Nenhuma é diretamente compatível com as regras antigas.
6. Desativar o sistema antigo por fases, não de uma vez: começar por desligar as fontes de menor criticidade e só depois as fontes ligadas a alertas regulatórios.

Um exemplo prático de regra de deteção em Elastic Security, escrita em KQL, para sinalizar tentativas de acesso a partir de uma conta de serviço fora do horário normal:

event.category: "authentication" and
user.name: "svc-*" and
not source.ip: ("10.0.0.0/8" or "192.168.0.0/16") and
event.outcome: "success"

O mesmo tipo de regra, na Graylog, seria construído como uma pesquisa Lucene combinada com uma regra de alerta na secção de “Event Definitions”, enquanto na Datadog seria escrita como uma “Detection Rule” dentro do módulo Cloud SIEM, usando a sintaxe de consulta de logs própria da plataforma.

Impacto direto no tempo de deteção e resposta

Os números de MTTD (tempo médio de deteção) e MTTR (tempo médio de resposta) são talvez o critério mais concreto para justificar o investimento num SIEM perante a gestão de topo. O relatório IBM 2025 já referido estabelece a fasquia global em 181 dias para identificar e 60 dias para conter uma fuga de dados, uma métrica que inclui organizações sem qualquer automação de deteção.

Os casos reais analisados neste artigo mostram reduções bem mais acentuadas quando o SIEM está bem configurado: a SmartDCC relata uma queda de 84% no tempo de deteção com Elastic Security, e a NetAssist relata uma queda de 40% no MTTD com Graylog Security, de quatro horas para menos de 45 minutos. São contextos diferentes e não diretamente comparáveis entre si, mas confirmam a mesma tendência: a diferença entre ter e não ter um SIEM ativo pode valer semanas ou meses de exposição a um atacante dentro da rede.

A IBM também associa a automação e a IA a uma redução adicional de 80 a 100 dias no ciclo completo de deteção e contenção. As três plataformas analisadas neste artigo já incluem alguma forma de assistente de IA: o Elastic AI Assistant, o Bits AI Security Analyst da Datadog, e o módulo Illuminate da Graylog. A diferença está na maturidade de cada um e na quantidade de dados de treino disponível, sendo a Elastic a que tem mais casos documentados de impacto mensurável até à data.

Importa também não confundir velocidade de deteção com qualidade de deteção. Um SIEM mal configurado pode gerar alertas em segundos e ainda assim deixar passar um ataque real, se as regras estiverem desatualizadas ou se o volume de falsos positivos for tão elevado que a equipa acabe por ignorar notificações. Por isso, os números de MTTD só fazem sentido quando lidos em conjunto com a taxa de deteção da plataforma, e não isoladamente.

Conformidade, certificações e residência de dados na UE

Para organizações abrangidas pelo NIS2 em Portugal, a escolha de SIEM tem também uma dimensão de conformidade. A Elastic lista certificações como SOC 2, HIPAA, PCI-DSS, ISO 27001 e refere explicitamente o alinhamento com o NIS2 na documentação de vendas. A Datadog mantém um conjunto semelhante de certificações gerais (SOC 2, ISO 27001, HIPAA), mas como serviço SaaS centralizado, a localização exata dos dados depende da região escolhida no contrato, algo que deve ser confirmado antes de assinar.

A Graylog, ao ser tipicamente implementada em self-hosted ou em infraestrutura cloud escolhida pelo próprio cliente, transfere a responsabilidade de conformidade para quem gere essa infraestrutura. Isto pode ser uma vantagem para quem já tem um centro de dados certificado na UE, mas também significa que a organização assume sozinha a responsabilidade de manter essa infraestrutura em conformidade, sem o apoio direto de um fornecedor gerido.

Vale ainda notar que nenhuma das três plataformas substitui a auditoria de segurança exigida por lei. Um SIEM regista e correlaciona eventos, mas a obrigação de notificar um incidente às autoridades portuguesas, através do Centro Nacional de Cibersegurança, dentro dos prazos definidos pelo NIS2, continua a depender de processos internos e de pessoas, não apenas da ferramenta escolhida. Equipas jurídicas e de segurança devem alinhar previamente quem aciona essa notificação assim que o SIEM gera um alerta de alta severidade.

Veredito: qual SIEM ganha em 2026

Não há um vencedor único, porque cada plataforma resolve um problema diferente. Olhando aos dados reunidos neste artigo, a Elastic Security lidera em maturidade de deteção comprovada: é a única das três com um posicionamento “Visionária” no Gartner, resultados de 99,3% a 100% em testes independentes da AV-Comparatives, e um benchmark de 800 mil eventos por segundo validado num exercício real de grande escala.

A Datadog Cloud SIEM ganha para equipas que já vivem dentro do ecossistema Datadog e preferem previsibilidade de preços e uma única fatura de observabilidade e segurança, mesmo assumindo uma posição de mercado mais modesta.

A Graylog vence claramente no critério custo-benefício para quem começa do zero: ingestão sem limite, gratuita, com controlo total sobre a localização dos dados, ao preço de exigir mais trabalho de manutenção interna. Para uma PME portuguesa a tentar cumprir o NIS2 sem disparar o orçamento de segurança, é muitas vezes o ponto de partida mais realista, com margem para migrar para uma plataforma gerida à medida que a organização cresce.

Perguntas frequentes

O que é exatamente um SIEM e em que difere de um antivírus?

Um antivírus protege um único dispositivo contra ameaças conhecidas. Um SIEM (Security Information and Event Management) recolhe eventos de dezenas ou centenas de fontes diferentes, como firewalls, servidores e aplicações, e cruza esses dados para detetar padrões suspeitos que nenhuma ferramenta isolada conseguiria ver sozinha.

A Graylog Open é mesmo gratuita sem limites?

Sim, segundo a documentação oficial da Graylog, a edição Open não tem limite diário de ingestão nem restrições de volume quando corre em modo self-hosted sem os módulos empresariais pagos. Os limites de gigabytes por dia aplicam-se apenas a licenças gratuitas dos módulos Operations ou Security, não ao núcleo Open.

Qual das três plataformas é mais fácil de implementar para uma equipa pequena?

A Datadog Cloud SIEM é normalmente a mais rápida de ativar para equipas que já usam a plataforma para observabilidade, porque reaproveita a ingestão de logs já existente. A Graylog Open exige mais trabalho inicial de instalação e configuração, mas elimina custos de licenciamento.

Estas plataformas cumprem os requisitos do NIS2 em Portugal?

Nenhuma das três garante conformidade automática, porque o NIS2 avalia o processo de gestão de segurança da organização como um todo, não uma ferramenta isolada. Todas podem fazer parte de uma estratégia de conformidade, mas a responsabilidade final de cumprir os prazos de notificação e as obrigações de monitorização é sempre da entidade abrangida.

Vale a pena migrar de um SIEM legado como o Splunk para uma destas três opções?

Depende do custo atual e da satisfação com o desempenho. Se o principal problema for o preço, a Graylog costuma oferecer a redução de custo mais imediata a partir de 20 GB por dia. Se o problema for falta de integração com deteção alargada (XDR), a Elastic Security tende a resolver mais lacunas de uma só vez.

Os benchmarks de eventos por segundo são comparáveis entre fornecedores?

Não diretamente. Cada benchmark foi medido em condições de hardware, rede e tipo de dados diferentes. O valor de 800 mil eventos por segundo da Elastic vem de um exercício militar de grande escala, enquanto os 40 a 50 mil eventos por segundo de testes de laboratório do ELK Stack refletem clusters muito mais pequenos. Servem como indicação de ordem de grandeza, não como comparação direta e científica.

Consigo usar as três plataformas ao mesmo tempo?

Tecnicamente sim, mas raramente compensa. Manter três pipelines de ingestão de logs em paralelo triplica o trabalho de manutenção e a superfície de configuração, sem benefício claro de segurança. A prática mais comum é escolher uma plataforma principal e, no máximo, manter uma segunda como redundância para fontes de dados críticas.