Uma organização europeia demora em média 241 dias a identificar e conter uma violação de dados, segundo o relatório Cost of a Data Breach 2025 da IBM. É o valor mais baixo em nove anos, mas continua a ser tempo suficiente para um atacante exfiltrar bases de dados inteiras. A ferramenta que mais influencia esse número chama-se SIEM (Security Information and Event Management) e, em 2026, a escolha resume-se quase sempre a dois nomes: Wazuh, gratuito e de código aberto, e Splunk, o veterano empresarial agora sob a Cisco. Este artigo compara as duas plataformas em preço, desempenho, deteção de ameaças e conformidade com a NIS2, que entrou em vigor em Portugal a 3 de abril de 2026.
A decisão não é apenas técnica. Um SOC (Security Operations Center) que ingere 100 GB de logs por dia pode pagar 0€ em licenças com o Wazuh ou cerca de 69 mil dólares por ano só na camada Enterprise Security do Splunk, sem contar infraestrutura. Por outro lado, o Splunk continua a liderar em maturidade de correlação, UEBA e suporte comercial 24/7. Vamos aos números.
Este artigo cruza dados oficiais do Wazuh e da Splunk com análises independentes de preços, avaliações públicas no G2 e relatórios do setor como o ENISA Threat Landscape 2025 e o IBM Cost of a Data Breach 2025. Sempre que um número não pôde ser confirmado em fonte pública, foi deixado de fora em vez de estimado. O objetivo é simples: dar a uma equipa de segurança em Portugal, ou a qualquer leitor técnico, uma base sólida para decidir entre construir o próprio SIEM ou comprar um pronto a usar.
O Que é o Wazuh e Como Funciona
O Wazuh nasceu como um fork do OSSEC em 2015 e evoluiu para uma plataforma XDR/SIEM completa, mantendo o modelo open source. A versão estável em 2026 é a linha 4.14.x, com o ponto de lançamento 4.14.7 publicado a 29 de julho, segundo as notas oficiais de lançamento da documentação do Wazuh. O repositório no GitHub soma 16.646 estrelas e 2.452 forks, um sinal de comunidade ativa para um projeto de segurança crítica.
A arquitetura assenta em três componentes. O servidor (manager) recebe e processa eventos. O indexador, construído sobre OpenSearch, armazena e pesquisa os dados. O painel (dashboard) trata da visualização e da resposta. Agentes leves correm em Linux, Windows, macOS, Solaris, AIX e HP-UX, e dispositivos sem agente são cobertos via syslog ou SSH. As funcionalidades centrais incluem deteção de intrusões, monitorização de integridade de ficheiros (FIM), deteção de vulnerabilidades, avaliação de configuração de segurança (SCA) e, desde a versão 4.14.0, um painel dedicado à API do Microsoft Graph para vigiar atividade no Microsoft 365 e Azure.
A cadência de lançamentos do Wazuh em 2026 foi rápida: seis versões de correção entre janeiro e julho (4.14.2 a 4.14.7), cada uma reforçando autenticação, dependências e cobertura de plataformas como o Windows Server 2025 e o macOS Tahoe. Segundo o blog oficial da Wazuh, a próxima versão 5.0, ainda em beta, vai eliminar o Filebeat como camada intermédia e tornar o modo cluster o comportamento predefinido, simplificando implementações a grande escala.
Um detalhe que passa despercebido em comparações superficiais: o Wazuh não é apenas um coletor de logs. A partir da versão 4.14.5, o Syscollector no Windows passou a incluir argumentos de linha de comandos dos processos, uma capacidade de caça a ameaças (threat hunting) que historicamente exigia um agente EDR separado. Combinado com a deteção de rootkits e a análise de configuração via CIS benchmarks, o produto cobre hoje três categorias que antes exigiam ferramentas distintas: SIEM, gestão de vulnerabilidades e avaliação de conformidade.
O Que é o Splunk e a Splunk Enterprise Security
O Splunk começou como motor de pesquisa e indexação de logs de máquina e tornou-se, ao longo de mais de uma década, a referência empresarial em análise de dados de segurança. A Cisco fechou a aquisição da Splunk a 18 de março de 2024, num negócio avaliado em cerca de 28 mil milhões de dólares em valor de capital (27 mil milhões em termos contabilísticos, segundo o processo submetido à SEC). Em 2026, o produto continua a operar sob a marca Splunk, agora integrado ao portefólio de segurança da Cisco.
A Splunk Enterprise Security (ES) corre sobre o motor Splunk Enterprise e acrescenta deteção avançada de ameaças, análise de comportamento de utilizadores (UEBA), correlação de ativos e identidades, e conteúdo alinhado com o MITRE ATT&CK através de pesquisas de correlação e eventos notáveis. É este pacote, não o Splunk base, que compete diretamente com o Wazuh como SIEM de resposta a incidentes.
Um detalhe frequentemente ignorado por quem compara as duas plataformas apenas pelo preço de licença: o Splunk base, sem o pacote Enterprise Security, já é usado por muitas empresas apenas para observabilidade de infraestrutura e aplicações, não para segurança. Isto significa que uma parte da base instalada do Splunk referida em estudos de mercado não compete de todo com o Wazuh, porque nunca foi comprada como ferramenta de deteção de ameaças. Ao avaliar propostas comerciais, vale sempre confirmar se o orçamento apresentado inclui apenas o Splunk Enterprise ou também a camada Enterprise Security, já que a diferença de preço entre os dois pode ultrapassar largamente os valores base de ingestão.
O modelo de licenciamento tradicional cobra por volume de dados ingeridos por dia (GB/dia). A empresa introduziu também as Splunk Virtual Compute (SVC), unidades que combinam capacidade de ingestão, pesquisa e armazenamento num único indicador, sobretudo para clientes do Splunk Cloud. Seja qual for o modelo, o custo cresce com o volume de logs, o que torna o dimensionamento inicial uma decisão financeira tão importante quanto técnica.
Do lado técnico, o Splunk continua a assentar num tripé clássico: forwarders universais que recolhem dados na origem, indexadores que armazenam e indexam os eventos, e search heads que executam pesquisas e correm as aplicações de análise. A Splunk Enterprise Security acrescenta a essa base o Notable Event Framework, que transforma resultados de pesquisas de correlação em casos de investigação, e o Risk-Based Alerting, que soma pontuações de risco por entidade (utilizador, máquina, IP) em vez de disparar um alerta isolado por cada evento suspeito. É esta camada de agregação que grandes SOCs apontam como a principal razão para pagar o preço por GB.
Wazuh vs Splunk: Tabela Comparativa de Especificações
A tabela seguinte resume as diferenças técnicas e comerciais mais relevantes entre as duas plataformas, com dados de 2026.
| Critério | Wazuh | Splunk Enterprise Security |
|---|---|---|
| Modelo de licença | Open source (GPLv2), gratuito | Proprietário, subscrição paga |
| Versão atual (2026) | 4.14.7 (29 julho 2026) | Splunk ES sobre Splunk Enterprise |
| Preço de entrada | 0€ | A partir de ~150 $/GB/dia |
| Estrelas no GitHub | 16.646 | Não aplicável (código fechado) |
| Arquitetura | Manager + indexador OpenSearch + dashboard | Indexadores + search heads + forwarders |
| Sistemas operativos suportados | Linux, Windows, macOS, Solaris, AIX, HP-UX | Linux, Windows (via forwarders universais) |
| Monitorização de integridade de ficheiros | Sim, nativa (FIM) | Via apps e add-ons de terceiros |
| Deteção de vulnerabilidades | Sim, nativa por agente | Via integrações externas |
| UEBA (análise comportamental) | Limitada | Sim, nativa na ES |
| Implementação em cluster | Manual até 4.14, por omissão na 5.0 beta | Nativa (index/search head clustering) |
| Suporte comercial 24/7 | Via parceiros certificados | Sim, incluído nos planos empresariais |
| Avaliação G2 (comunidade) | 4,5 de 5 (70 avaliações) | 4,3 de 5 (248 avaliações) |
| Modelo de preço | Sem custo de licença | GB/dia ou Splunk Virtual Compute (SVC) |
Lida linha a linha, esta tabela mostra que a diferença central não está nas funcionalidades de deteção básica, onde as duas plataformas se aproximam bastante, mas na análise comportamental avançada e no modelo de suporte. Uma equipa que precisa sobretudo de FIM, deteção de vulnerabilidades e alertas em tempo real encontra tudo isso no Wazuh sem custo de licença. Uma equipa que precisa de UEBA madura, correlação entre dezenas de milhares de fontes e um número de telefone para chamar às três da manhã tende a justificar o preço do Splunk.
Preços em 2026: de Grátis a Dezenas de Milhares de Euros
O Wazuh não cobra licença. O custo real está na infraestrutura que a empresa decide alocar (servidores, armazenamento, backups) e, opcionalmente, em contratos de suporte com parceiros certificados, cujos valores não são publicados de forma uniforme. Para uma equipa técnica com capacidade de gerir Linux e OpenSearch, isto pode significar uma fatura de poucas centenas de euros por mês em cloud pública.
O Splunk segue outra lógica. Segundo a análise de preços publicada pela Costbench, a Splunk Enterprise Security custa entre 150 e 2.000 dólares por GB/dia em 2026, com a maioria das equipas a pagar cerca de 690 dólares por GB no escalão mais popular. Um cliente com um volume de entrada inicial de 1 a 10 GB/dia paga cerca de 1.800 dólares por GB/dia/ano nesse escalão. Uma organização maior, a ingerir 100 GB/dia, entra no escalão empresarial, orçado em 5.750 dólares por GB/dia/ano, o que resulta num total próximo de 69 mil dólares anuais só na componente de licenciamento, segundo a mesma fonte e confirmado pela análise da Security Operations Cost.
| Volume de dados/dia | Wazuh (licença) | Splunk ES (licença, aprox.) |
|---|---|---|
| 1-10 GB/dia | 0 $ | ~1.800 $/GB/dia/ano |
| 50 GB/dia | 0 $ | Escalão intermédio, negociado |
| 100 GB/dia (empresarial) | 0 $ | ~5.750 $/GB/dia/ano (~69.000 $/ano) |
| Custo médio por GB (mercado) | 0 $ | ~690 $/GB/dia |
| Infraestrutura e operação | A cargo da empresa (cloud ou on-prem) | Incluída no Splunk Cloud, à parte no self-hosted |
Estes números confirmam um padrão conhecido no setor: o Wazuh compete pelo custo total de posse mais baixo, enquanto o Splunk vende previsibilidade de suporte e profundidade analítica a um preço que escala linearmente com o volume de dados. Empresas que ingerem grandes volumes de logs (superiores a 200 GB/dia) sentem essa curva de custos de forma particularmente dura, o que explica o crescimento de arquiteturas híbridas onde o Wazuh trata a recolha inicial e apenas os alertas de maior risco seguem para uma plataforma paga.
Há ainda custos que não aparecem em nenhuma tabela de preços e que pesam de forma diferente em cada plataforma. No Wazuh, o custo oculto mais comum é o tempo de engenharia: dimensionar corretamente o indexador OpenSearch, gerir certificados TLS entre componentes e manter os agentes atualizados exige uma pessoa (ou fração de uma pessoa) dedicada, sobretudo em ambientes acima de algumas centenas de agentes. No Splunk, o custo oculto mais comum é o crescimento não planeado do volume de ingestão: cada nova fonte de dados (um novo firewall, uma nova aplicação SaaS) empurra a organização para o escalão de preço seguinte, muitas vezes sem aviso até chegar a fatura anual de renovação.
Desempenho e Escalabilidade: o Que os Dados Mostram
Nem a Wazuh nem a Splunk publicam benchmarks independentes e comparáveis de eventos por segundo (EPS), pelo que qualquer número de “X milhões de EPS” citado sem fonte deve ser tratado com desconfiança. O que existe são indicadores indiretos, cruzados a partir de três fontes distintas.
- Cadência de lançamentos (GitHub/Wazuh): seis versões de manutenção em sete meses de 2026 sugerem um ciclo de correção rápido, mas também maior superfície de mudança para equipas que gerem atualizações manuais.
- Avaliações de utilizadores (G2): o Wazuh regista 4,5/5 em 70 avaliações e o Splunk ES 4,3/5 em 248 avaliações, uma amostra mais de três vezes maior que reflete a base instalada empresarial do Splunk.
- Impacto real na deteção (IBM Cost of a Data Breach 2025): o tempo médio global para identificar uma violação foi de 181 dias e para a conter, 60 dias, totalizando 241 dias, o valor mais baixo em nove anos segundo a IBM.
Na prática, o fator que mais influencia o desempenho percebido não é o motor de indexação em si, mas o dimensionamento do hardware e a qualidade das regras de correlação. Um Wazuh mal dimensionado em disco lento perde eventos tão facilmente como um Splunk com poucos indexadores. A diferença está em quem absorve esse risco: no Wazuh, a equipa interna. No Splunk, em parte, o fornecedor através de SLAs contratuais.
Escalabilidade horizontal também merece nota. O Wazuh só passa a suportar clustering por omissão na versão 5.0, ainda em beta em 2026, o que significa que a maioria das instalações em produção hoje corre em modo não-clusterizado ou com clustering configurado manualmente. O Splunk, pelo contrário, tem clustering de indexadores e de search heads desde há vários anos, testado em ambientes com dezenas de terabytes por dia. Para uma organização pequena isto é irrelevante. Para uma que planeia crescer rapidamente o volume de dados monitorizados, é um fator a pesar antes de escolher.
Deteção de Ameaças e Resposta a Incidentes
Segundo o ENISA Threat Landscape 2025, que analisou 4.875 incidentes na União Europeia entre julho de 2024 e junho de 2025, o ransomware representou 81,1% de todos os incidentes de cibercrime contra organizações europeias, com as violações de dados a seguir com 15,2%. Este cenário torna a velocidade de deteção o fator mais crítico de qualquer SIEM, mais até do que a profundidade de relatórios.
O Wazuh responde a esta pressão com deteção baseada em regras (decoders e regras XML), correlação em tempo quase real e respostas ativas automáticas, como bloquear um IP ou isolar um processo suspeito. A partir da versão 4.13, ganhou também um painel de higiene de TI que cobre extensões de browser, serviços e grupos, área frequentemente esquecida em auditorias tradicionais.
Um exemplo prático ilustra a diferença de abordagem. Perante uma tentativa de movimento lateral via RDP, o Wazuh dispara uma regra específica assim que deteta múltiplas tentativas de autenticação falhadas seguidas de uma sessão bem-sucedida a partir de um IP interno invulgar, e pode responder automaticamente bloqueando esse IP na firewall do sistema operativo. O Splunk ES, com dados semelhantes, tende a atribuir uma pontuação de risco crescente a essa combinação de eventos, que só dispara um caso de investigação quando ultrapassa um limiar definido pela equipa de segurança, cruzando o comportamento com outros sinais da mesma entidade ao longo de várias horas ou dias.
O Splunk ES aposta em pesquisas de correlação com pontuação de risco (risk-based alerting), o que reduz o número de alertas triviais ao agregar sinais de baixo risco até atingirem um limiar de investigação. Para equipas de SOC com grande volume de eventos, esta abordagem reduz a fadiga de alertas, um dos principais motivos apontados para o tempo médio de 181 dias até à identificação de uma violação.
Linguagens de Pesquisa e Ecossistema de Integrações
A curva de aprendizagem de cada plataforma passa, na prática, pela linguagem usada para investigar eventos. No Splunk, essa linguagem é o SPL (Search Processing Language), uma sintaxe própria com dezenas de comandos de transformação, junção e estatística, ensinada em certificações oficiais e usada por milhares de analistas em todo o mundo. O investimento de aprendizagem é real, mas paga-se em produtividade: um analista experiente em SPL consegue construir dashboards complexos em minutos.
O Wazuh não tem uma linguagem própria de pesquisa. Como o indexador assenta em OpenSearch, as consultas usam a sintaxe Query DSL (baseada em JSON) ou a linguagem de pesquisa simplificada do próprio dashboard, mais próxima do Lucene usado pelo Elasticsearch. Para equipas que já trabalham com a stack Elastic ou OpenSearch, a transição é quase imediata. Para quem nunca usou nenhuma das duas famílias de ferramentas, o Wazuh tende a ser mais direto para tarefas simples, mas menos expressivo do que o SPL em análises estatísticas complexas com múltiplas junções de dados.
Em termos de ecossistema, o Splunk beneficia de mais de uma década de Splunkbase, o repositório de aplicações e add-ons de terceiros, com integrações prontas para praticamente qualquer firewall, proxy ou serviço cloud comercial. O Wazuh cresce através de integrações nativas (Slack, PagerDuty, VirusTotal, Shuffle para automação SOAR) e de uma comunidade que publica decoders e regras personalizadas em repositórios públicos. A diferença é de maturidade e não de capacidade técnica: o Wazuh consegue quase tudo o que o Splunk faz nesta frente, mas exige mais configuração manual e menos “clicar e ativar”.
Segurança das Próprias Plataformas: o Caso Splunk CVE-2026-20253
Um SIEM que protege uma organização também é, ele próprio, um alvo. Em junho de 2026, a Splunk divulgou a CVE-2026-20253, com pontuação CVSS de 9.8, uma falha de ausência de autenticação (CWE-306) que permitia execução remota de código no Splunk Enterprise sem qualquer credencial. Oito dias depois, a 18 de junho, a empresa confirmou exploração ativa e a CISA adicionou o CVE ao catálogo de Vulnerabilidades Conhecidas Exploradas, dando às agências federais dos EUA apenas 72 horas para aplicar o patch.
O incidente é um lembrete útil: quanto mais dados críticos um SIEM concentra, maior o prémio para um atacante que o comprometa. Isto aplica-se a qualquer plataforma, incluindo o Wazuh, cuja superfície de ataque inclui o indexador OpenSearch e a API de gestão, ambos alvos regulares de scans automatizados. Manter o próprio SIEM atualizado, algo que a Wazuh reforça a cada versão 4.14.x com bibliotecas de criptografia e autenticação renovadas, deixou de ser opcional.
Vale ainda recordar que problemas de deteção de vulnerabilidades em geral continuam a ser um desafio estrutural na Europa. O atraso na base de dados europeia de vulnerabilidades (EUVD) deixou muitas organizações sem uma fonte única e atempada de CVEs críticos durante meses, obrigando equipas de segurança a cruzar múltiplas fontes manualmente antes de decidir onde aplicar patches primeiro.
Para uma equipa que avalia o Wazuh, a lição prática da CVE-2026-20253 não é “o Splunk é inseguro”. É que qualquer SIEM concentra risco por definição e por isso precisa do mesmo rigor de patching que se aplica a um firewall ou a um controlador de domínio. Isolar a rede de gestão do SIEM, restringir o acesso administrativo por VPN ou rede privada, e aplicar autenticação multifator ao painel são medidas que valem tanto para uma instalação Wazuh como para um cluster Splunk, e que raramente aparecem nos guias de instalação rápida de qualquer uma das duas plataformas.
Conformidade e NIS2: o Que Muda em Portugal a Partir de Abril de 2026
Portugal transpôs a diretiva NIS2 para o direito nacional através do Decreto-Lei n.º 125/2025, publicado a 4 de dezembro de 2025, depois de a Comissão Europeia ter emitido um parecer fundamentado a 7 de maio de 2025 pela transposição em atraso. O novo regime entrou em vigor a 3 de abril de 2026, após um período de vacatio legis de 120 dias, conforme detalha a página oficial da Comissão Europeia sobre a diretiva NIS2.
A diretiva não obriga, em termos literais, à compra de um “SIEM”. Exige, sim, capacidades de monitorização contínua, deteção de incidentes e gestão de vulnerabilidades, obrigações que na prática se traduzem quase sempre num SIEM ou XDR como peça central da resposta técnica. Entidades essenciais e importantes abrangidas em Portugal (energia, saúde, transportes, banca, administração pública, entre outros setores) precisam agora de demonstrar essa capacidade a um regulador nacional, sob pena de coimas.
Aqui a escolha entre Wazuh e Splunk ganha um peso regulatório. O Wazuh oferece políticas de avaliação de configuração de segurança (SCA) alinhadas com benchmarks CIS para Windows Server 2025, Ubuntu, macOS e SUSE, úteis como evidência de controlo técnico. O Splunk, por seu lado, tem historicamente aplicações e dashboards de conformidade dedicados (PCI, HIPAA), mas nenhuma das duas empresas publica uma certificação formal de produto, como SOC 2 Type II, especificamente para os módulos de SIEM. A responsabilidade de demonstrar conformidade continua a recair sobre a organização que os implementa.
Para as PME portuguesas classificadas como entidades importantes, e não apenas essenciais, o Decreto-Lei n.º 125/2025 prevê um regime de supervisão mais leve, mas ainda assim exige mecanismos de deteção e notificação de incidentes num prazo curto após a descoberta. Um SIEM, seja Wazuh ou Splunk, é o componente que normalmente gera a evidência de log necessária para cumprir esse prazo de notificação. Sem ele, a reconstrução manual de uma linha temporal de incidente a partir de logs dispersos pode, sozinha, consumir os primeiros dias do prazo regulatório.
5 Casos de Uso Reais para Escolher Entre Wazuh e Splunk
A escolha certa depende menos da tecnologia e mais do perfil da organização. Estes cinco cenários cobrem os casos mais comuns encontrados em equipas de segurança portuguesas e europeias.
- Startup ou PME com menos de 50 postos de trabalho: o Wazuh cobre a maioria das necessidades de monitorização sem custo de licença, e a equipa reduzida consegue gerir um manager e um indexador únicos sem clustering.
- Banco ou seguradora com equipa de SOC dedicada: o volume de dados e a exigência de UEBA avançada favorecem o Splunk ES, cujo custo por GB/dia é absorvido mais facilmente por margens financeiras maiores e pela necessidade de suporte contratual 24/7.
- Hospital ou operador de infraestrutura crítica sob NIS2: ambas as plataformas ajudam a cumprir requisitos de monitorização contínua, mas o orçamento público limitado torna o Wazuh mais viável para a maioria das unidades de saúde, complementado por consultoria externa para o dimensionamento inicial.
- Fornecedor de serviços geridos de segurança (MSSP): muitos MSSPs optam por Wazuh multi-tenant como base de custo baixo para clientes pequenos, reservando o Splunk para contratos empresariais que já o exigem por herança tecnológica.
- Empresa SaaS com presença multi-cloud: a integração nativa do Wazuh com a API do Microsoft Graph cobre bem ambientes Microsoft 365, mas empresas com forte dependência de AWS e GCP tendem a valorizar o ecossistema mais maduro de apps e integrações do Splunk.
Um padrão emerge destes cinco cenários: o tamanho da equipa de segurança pesa mais do que o tamanho da empresa. Uma PME de 200 pessoas com um único analista de segurança dedicado tem mais dificuldade em operar qualquer SIEM avançado do que uma startup de 30 pessoas com um engenheiro que já domina Kubernetes e OpenSearch. Antes de comparar preços de licença, vale sempre perguntar quem, na prática, vai escrever e manter as regras de deteção todos os dias.
Prós e Contras do Wazuh
Depois de mapear preços, arquitetura e casos de uso, vale isolar as vantagens e limitações de cada plataforma de forma direta.
- A favor: sem custo de licença, código aberto auditável, FIM e deteção de vulnerabilidades nativas, comunidade GitHub ativa com 16.646 estrelas, ciclo de lançamentos frequente.
- A favor: boa cobertura multi-plataforma, incluindo sistemas Unix legados (Solaris, AIX, HP-UX) que o Splunk cobre de forma menos direta.
- Contra: suporte comercial depende de parceiros terceiros, sem um SLA único e centralizado como o Splunk oferece.
- Contra: UEBA e correlação avançada exigem mais trabalho manual de configuração de regras do que na Splunk ES.
- Contra: o custo “invisível” de infraestrutura e operação interna pode aproximar-se do custo de uma licença Splunk de entrada, se a equipa não tiver experiência prévia em OpenSearch.
No balanço geral, o Wazuh compensa melhor equipas técnicas autossuficientes do que organizações que preferem transferir risco operacional para um fornecedor externo. A ausência de custo de licença é real e verificável, mas não deve ser confundida com ausência de custo total.
Prós e Contras do Splunk
- A favor: UEBA e correlação de risco maduras, reduzindo fadiga de alertas em ambientes de grande volume.
- A favor: suporte comercial direto, SLAs contratuais e uma base de 248 avaliações no G2 que reflete anos de adoção empresarial.
- A favor: ecossistema alargado de apps e integrações, incluindo módulos de conformidade prontos a usar.
- Contra: custo que escala linearmente com o volume de dados, entre 150 e 2.000 dólares por GB/dia, tornando-se proibitivo para organizações com grandes volumes de logs e orçamento limitado.
- Contra: a CVE-2026-20253 mostrou que uma falha crítica no próprio Splunk pode expor exatamente os dados de segurança que a ferramenta deveria proteger.
O Splunk continua a ser a escolha mais segura, no sentido comercial da palavra, para organizações que não podem correr o risco de uma lacuna de suporte durante um incidente grave. Esse conforto tem preço, e cabe a cada organização decidir se o volume de dados que gera justifica pagá-lo.
Guia de Migração: de Splunk para Wazuh (ou o Inverso)
Trocar de SIEM é uma operação de risco médio-alto, porque interrompe temporariamente a visibilidade de segurança. O caminho mais seguro segue seis etapas.
- Inventariar todas as fontes de dados atuais (agentes, forwarders, syslog, APIs de nuvem) e mapear o volume diário em GB gerado por cada uma.
- Implementar a nova plataforma em paralelo, sem desligar a antiga, e direcionar uma cópia dos logs para ambos os sistemas durante um período de sobreposição.
- Recriar as regras de correlação críticas primeiro (deteção de ransomware, movimento lateral, exfiltração), validando falsos positivos e negativos contra o histórico da plataforma anterior.
- Migrar dashboards e relatórios de conformidade usados por auditores, garantindo que a evidência exigida pela NIS2 ou por normas setoriais continua disponível sem interrupção.
- Formar a equipa de SOC na nova sintaxe de pesquisa (SPL no Splunk, KQL/Lucene no stack OpenSearch do Wazuh) antes de desligar a plataforma antiga.
- Manter a plataforma original em modo só leitura durante pelo menos um ciclo de retenção regulatória completo, antes de a desligar por completo.
# Exemplo simplificado: encaminhar logs syslog para ambos os SIEMs em paralelo
# rsyslog.conf
*.* @@wazuh-manager.exemplo.local:514
*.* @@splunk-hf.exemplo.local:9997O período de sobreposição recomendado varia entre 30 e 90 dias, dependendo da complexidade do ambiente. Organizações sob NIS2 devem documentar esta transição como parte do registo de gestão de risco, já que reguladores podem pedir prova de continuidade de monitorização durante qualquer mudança de fornecedor.
Um erro comum em migrações de Splunk para Wazuh é subestimar o volume de regras de correlação acumuladas ao longo de anos. Equipas que usam o Splunk há uma década costumam ter centenas de pesquisas guardadas, muitas delas esquecidas ou redundantes. Antes de tentar recriar tudo no Wazuh, vale a pena auditar quais dessas regras ainda geram alertas úteis. Na direção inversa, quem sai do Wazuh para o Splunk ganha acesso imediato a um catálogo de conteúdo pré-construído no Splunkbase, mas perde a transparência total do código-fonte das regras, algo que equipas mais regulamentadas por vezes valorizam para efeitos de auditoria interna.
Veredicto: Qual SIEM Escolher em 2026
Não há um vencedor absoluto, e qualquer artigo que o afirme está a simplificar demasiado. Os números, porém, apontam padrões claros. Para organizações com menos de 200 GB/dia de logs e uma equipa técnica capaz de gerir Linux e OpenSearch, o Wazuh entrega grande parte das funcionalidades de deteção por 0€ de licença, um argumento difícil de ignorar quando o orçamento de segurança compete com outras prioridades de TI.
Para bancos, seguradoras e operadores de infraestrutura crítica com volumes acima de 200 GB/dia e exigências contratuais de suporte 24/7, o Splunk ES continua a justificar o preço através de UEBA madura e de um ecossistema de integrações que reduz o tempo de engenharia interna. A CVE-2026-20253 e o tempo médio de 241 dias para conter uma violação, segundo a IBM, mostram que nenhuma das duas plataformas resolve sozinha o problema. O que muda o resultado é a disciplina operacional: regras afinadas, patches aplicados a horas e uma equipa que revê alertas todos os dias, não o logótipo na fatura.
Se ainda assim for preciso resumir a um número, fica este: com o ransomware a explicar 81,1% dos incidentes de cibercrime na União Europeia segundo a ENISA, e com Portugal já sob o Decreto-Lei n.º 125/2025 desde abril de 2026, adiar a escolha de um SIEM deixou de ser uma opção neutra. Custa tempo, e o tempo, como mostra o relatório da IBM, é exatamente o recurso que falta a quem sofre um ataque.
Perguntas Frequentes
O Wazuh é mesmo gratuito ou tem custos escondidos?
O software é gratuito e de código aberto sob licença GPLv2. Os custos surgem na infraestrutura (servidores, armazenamento, largura de banda) e, opcionalmente, em contratos de suporte com parceiros certificados, cujos preços não são públicos de forma padronizada.
O Splunk ainda existe como marca própria depois da compra pela Cisco?
Sim. A Cisco fechou a aquisição a 18 de março de 2024 por cerca de 28 mil milhões de dólares, mas manteve a marca Splunk nos seus produtos de segurança e observabilidade em 2026.
É possível usar Wazuh e Splunk ao mesmo tempo?
Sim, e é uma arquitetura comum. Muitas equipas usam o Wazuh para recolha e triagem inicial de baixo custo e enviam apenas os alertas de maior risco para o Splunk, reduzindo o volume de GB/dia faturado.
A NIS2 obriga as empresas portuguesas a ter um SIEM?
Não de forma literal. O Decreto-Lei n.º 125/2025 exige capacidades de deteção, monitorização contínua e gestão de vulnerabilidades, obrigações que na prática quase sempre exigem uma ferramenta do tipo SIEM ou XDR para serem cumpridas de forma auditável.
Qual das duas plataformas é mais fácil de aprender?
Para equipas já familiarizadas com Linux e OpenSearch, o Wazuh tem uma curva de aprendizagem direta. O Splunk exige aprender a linguagem SPL (Search Processing Language), mas beneficia de mais documentação, cursos e certificações oficiais disponíveis no mercado.
O que aconteceu na CVE-2026-20253 do Splunk?
Uma falha de ausência de autenticação, com pontuação CVSS de 9.8, permitia execução remota de código no Splunk Enterprise sem credenciais. Foi divulgada a 10 de junho de 2026, com exploração ativa confirmada oito dias depois e inclusão imediata no catálogo de vulnerabilidades conhecidas exploradas da CISA.
Quanto custa mesmo o Splunk para uma empresa média?
Depende do volume diário de logs. No escalão empresarial de 100 GB/dia, o custo ronda os 5.750 dólares por GB/dia por ano, o que equivale a cerca de 69 mil dólares anuais só em licenciamento, sem contar infraestrutura ou suporte adicional.
O Wazuh consegue substituir completamente o Splunk num SOC empresarial?
Para a maioria das funções de deteção e resposta, sim. Onde o Wazuh ainda fica atrás é na análise comportamental avançada (UEBA) e na profundidade de correlação entre milhares de fontes de dados heterogéneas, área onde o Splunk mantém vantagem em ambientes de grande escala.
