Tiempo de lectura: 5 minutos.
Security Onion es una distribución gratuita y de código abierto para monitoreo de seguridad de red: integra, bajo una sola consola, herramientas que de otro modo habría que instalar y conectar una por una (sensores de detección, motores de búsqueda, correlación de alertas). No reemplaza entender cómo funciona un IDS o qué es un indicador de compromiso; los pone a trabajar juntos.
Una plataforma, no una herramienta más
La versión 3 de Security Onion (actual: 3.3.0, septiembre de 2026) corre exclusivamente sobre Oracle Linux 9 y solo en procesadores x86-64. No hay versión para ARM ni para otras distribuciones Linux. Dentro, combina Suricata y Zeek (análisis de tráfico), Strelka (análisis de archivos), Elasticsearch y Logstash (búsqueda e indexación), ElastAlert (correlación) y una consola web desde la que un analista revisa todo.
El camino de un dato hasta convertirse en alerta
El tráfico de red pasa por el sensor, que lo examina con firmas (Suricata), metadatos de protocolo (Zeek) y análisis de archivos (Strelka). Los registros de los equipos (logs de Windows, Sysmon) llegan por una vía distinta. Ambos caminos confluyen en la capa de búsqueda, donde se indexan y correlacionan. Lo que termina en la consola ya no es un paquete suelto ni una línea de log: es una alerta que un analista puede abrir, investigar y cerrar.
Elegir el modo correcto
Security Onion no se instala de una sola forma. El modo Import sirve para analizar un archivo ya capturado; Eval, para un laboratorio o una prueba temporal; Standalone, para que un solo equipo haga todo el trabajo; y el modo Distribuido, para monitorear varias redes o un volumen de tráfico que un equipo no soporta. Cada modo trae su propio mínimo de hardware documentado, y ese mínimo no es una recomendación de producción: instalar en el piso más bajo para monitorear tráfico real suele terminar en alertas perdidas o rendimiento degradado.
Lo que una herramienta de monitoreo no vuelve opcional
Un sensor de este tipo ve direcciones IP, nombres de usuario y, en ciertos casos, contenido de comunicaciones: son datos personales. La Ley Orgánica de Protección de Datos Personales exige aplicar medidas de seguridad proporcionales al riesgo y tomar en cuenta los antecedentes de pérdida o divulgación al definirlas (Art. 37 y numeral 4 del Art. 41 de la Ley Orgánica de Protección de Datos Personales). Capturar todo el tráfico de una red sin definir antes qué segmento es relevante para seguridad expone datos que no tenían por qué estar bajo ese monitoreo.
Y fuera de un entorno de prueba expresamente autorizado, instalar sensores o analizar tráfico ajeno sin consentimiento puede constituir acceso no consentido a un sistema informático (Art. 234 del Código Orgánico Integral Penal).
Preguntas frecuentes
¿Security Onion reemplaza al antivirus? No. Cubre la capa de red y, con agentes, la de host; un antivirus cubre otra parte del problema. Se complementan.
¿Es gratis? Sí, en lo esencial. Tiene dos versiones:
Community (gratuita y de código abierto) — Es la que normalmente se usa: captura tráfico, genera alertas, permite investigar incidentes. No tiene costo y sigue funcionando sin límite de tiempo.
Pro (de pago) — Un paquete adicional pensado para empresas grandes o entidades con requisitos estrictos. No reemplaza la versión gratuita, la complementa. Incluye, entre otras cosas:
- Avisos automáticos por correo o Slack cuando ocurre un evento
- Inicio de sesión único (entrar con la cuenta de Google, GitHub o Active Directory en vez de una contraseña aparte)
- Cifrado y cumplimiento normativo exigido por el gobierno de EE. UU. (STIG, FIPS)
- Soporte técnico con tiempos de respuesta garantizados y ayuda profesional
Lo importante: si no se paga Pro, no se pierde nada de lo que ya se usa. La propia empresa lo confirma: si la licencia Pro vence, el sistema simplemente “vuelve” a la versión Community, sin perder el monitoreo básico.
¿Una alerta significa que hubo un ataque? No necesariamente. La mayoría de las alertas de severidad baja o media son ruido que hay que ajustar; por eso cada alerta exige revisar el contexto antes de concluir algo.
¿Se puede instalar en cualquier servidor que ya se tenga? Solo si corre, o puede correr, Oracle Linux 9 sobre un procesador x86-64 y cumple el mínimo de hardware del modo elegido; no hay versión para otros sistemas operativos.
Fuentes
- Security Onion Solutions, LLC. (2026). Hardware requirements. https://docs.securityonion.net/en/3/main/hardware/
- Security Onion Solutions, LLC. (2026). First-time users. https://docs.securityonion.net/en/3/main/first-time-users
- Security Onion Solutions, LLC. (2026, 8 de septiembre). Security Onion 3.3.0 now available. https://blog.securityonion.net/2026/09/
- Asamblea Nacional del Ecuador. (2021, 26 de mayo). Ley Orgánica de Protección de Datos Personales. Registro Oficial, Quinto Suplemento N.º 459.
- Asamblea Nacional del Ecuador. (2014). Código Orgánico Integral Penal, Art. 234.
Licencia y nota
Texto publicado bajo licencia CC BY-SA 4.0. Contenido educativo.
Opiniones personales del autor.