SecOps Toolkit

Calculadora de Costos de Almacenamiento de Logs: SIEM vs Cloud Storage

Decidir dónde almacenar los logs de seguridad es una de las partidas más difíciles de presupuestar en un SOC. Esta calculadora compara, en USD por mes y por año, el costo de mantener sus logs en almacenamiento de objetos (AWS S3, Glacier, Cloudflare R2, Backblaze B2 y Wasabi) frente a una referencia de Splunk Cloud y AWS CloudWatch Logs.

El cálculo incluye retención en caliente y en frío, compresión, búsquedas mensuales, tarifas de egress y recuperación, y puede ajustar todos los precios a sus propias cotizaciones.

Por qué el costo de los logs crece más rápido que la infraestructura

En la mayoría de las organizaciones el volumen de logs de seguridad y de aplicaciones se duplica cada pocos meses: más microservicios, más endpoints, más trazas de autenticación y más tráfico de red. Los productos SIEM tradicionales facturan por volumen de ingesta, de modo que cada gigabyte que entra tiene un precio, se consulte o no después. Almacenar los mismos datos en almacenamiento de objetos cuesta una fracción, pero introduce otros costos que a menudo se pasan por alto: tarifas de recuperación y de transferencia saliente (egress).

Modelo de cálculo y fórmulas

La calculadora usa un modelo de régimen estable, es decir, asume que la retención ya está completa y que cada mes tiene 30 días. Las capas caliente y fría se dimensionan sobre datos comprimidos:

  • Ingesta bruta mensual: I = GB_día × 30
  • Volumen comprimido diario: Vc = GB_día / r, donde r es el ratio de compresión.
  • Almacenamiento caliente y frío: H = Vc × días_caliente y F = Vc × días_frío
  • Costo de almacenamiento: H × precio_caliente + F × precio_frío, con precios en USD por GB-mes.
  • Datos leídos al mes: L = búsquedas × GB_por_búsqueda / r. Si una fracción p de las búsquedas consulta el archivo frío, L_frío = L × p y L_caliente = L − L_frío.
  • Egress: máx(0, L − g × (H + F)) × precio_egress, donde g es el egress gratuito como múltiplo de lo almacenado (3 en Backblaze B2 y 0 en el resto).
  • Recuperación en Glacier: L_frío × precio_recuperación
  • Splunk Cloud (referencia): I × precio_por_GB_ingerido más el archivo en frío.
  • CloudWatch Logs: I × precio_ingesta + H × precio_almacenamiento + (L_caliente × r) × precio_Insights

Ejemplo numérico con los valores por defecto

Con 200 GB/día sin comprimir, 30 días en caliente, 335 días en frío y un ratio 8:1, la ingesta bruta es de 6.000 GB al mes, el volumen comprimido diario es de 25 GB, y se almacenan unos 750 GB en caliente y 8.375 GB en frío. Con los precios de lista aproximados incluidos por defecto, S3 Standard con Glacier ronda los 115 USD al mes, Backblaze B2 los 55 USD, Wasabi los 64 USD, Cloudflare R2 los 137 USD y S3 solo Standard los 277 USD. Las estimaciones de referencia para CloudWatch Logs y Splunk Cloud, que cobran por ingesta, se sitúan en torno a 3.100 y 24.000 USD al mes respectivamente. Las cifras concretas dependen de los precios que usted edite.

Qué conviene saber de cada proveedor

  • AWS S3 Standard: almacenamiento de objetos con alta disponibilidad y sin tarifa de recuperación, pero con egress a internet.
  • S3 Glacier Flexible Retrieval: muy barato por GB, con tarifa de recuperación, latencia de recuperación y un mínimo de 90 días de almacenamiento. Ideal para el archivo frío.
  • Cloudflare R2: compatible con la API de S3 y sin tarifa de egress, lo que favorece las lecturas frecuentes.
  • Backblaze B2: precio de almacenamiento bajo y egress gratuito hasta tres veces los datos almacenados.
  • Wasabi: tarifa plana de almacenamiento sin egress bajo política de uso razonable y con duración mínima de almacenamiento.
  • Splunk Cloud y CloudWatch Logs: incluyen indexación y búsqueda, pero se facturan sobre todo por volumen ingerido, por lo que son la referencia cara de la tabla.

Arquitectura de referencia: almacenamiento por niveles

Una arquitectura habitual para reducir costos separa la búsqueda interactiva del cumplimiento normativo. Los colectores envían los eventos a un pipeline que los enruta por criticidad: los de alto valor (autenticación, EDR, firewall) van al SIEM durante 30 a 90 días, y todo el volumen se archiva comprimido (gzip o Parquet) en almacenamiento de objetos, particionado por fecha y fuente. Cuando se necesita una investigación histórica, un motor de consulta sobre objetos lee solo las particiones necesarias. Así el SIEM indexa menos datos y el archivo cumple con la retención exigida; por ejemplo, PCI DSS pide conservar el historial de logs de auditoría al menos 12 meses, con tres meses disponibles de inmediato.

Casos de uso reales

  • Presupuestar una migración de SIEM: comparar el costo anual de mantener todo en caliente frente a un esquema por niveles.
  • Cumplimiento de retención: dimensionar un archivo de 12 meses o más para auditorías sin pagar indexación sobre datos que casi nunca se consultan.
  • MSSP y equipos de FinOps: estimar el costo por cliente y detectar el punto en que el egress supera al ahorro de almacenamiento.
  • Elegir el proveedor de archivo: contrastar cuánto pesa el egress cuando las búsquedas se ejecutan fuera de la red del proveedor.

Limitaciones del modelo

La herramienta no incluye tarifas por solicitudes (PUT, GET, LIST), cargos de cómputo del motor de consulta, descuentos por compromiso ni impuestos. Los precios son aproximaciones de lista que cambian con frecuencia, y el ratio de compresión real depende del formato y la repetitividad de sus logs. Use los resultados para comparar órdenes de magnitud y sustitúyalos por cotizaciones reales antes de tomar decisiones de compra.

Preguntas Frecuentes

¿Cuál es el ratio de compresión típico de los logs?
Los logs de texto son muy repetitivos y suelen comprimirse bien con gzip o zstd, con ratios habituales de 5:1 a 10:1 y, en logs muy estructurados, incluso superiores. Los formatos en columnas como Parquet pueden mejorar esa cifra. Sin embargo, los logs con cargas binarias, identificadores aleatorios o datos ya cifrados comprimen peor. Si no conoce su ratio real, comprima una muestra representativa de un día y mida la diferencia de tamaño antes de fiarse del valor por defecto.
¿Qué son las tarifas de egress y por qué importan en el archivo de logs?
El egress es la tarifa que cobra un proveedor por los datos que salen de su red hacia internet u otra nube. Si su SIEM o su motor de consulta se ejecuta fuera del proveedor de almacenamiento, cada búsqueda sobre el archivo genera egress. Con proveedores como AWS esa tarifa puede superar al propio almacenamiento cuando se consulta mucho, mientras que Cloudflare R2 no la cobra y Backblaze B2 incluye una franquicia. Si las búsquedas se ejecutan dentro de la misma nube y región, puede desactivar el interruptor de egress.
¿Los precios de la calculadora son oficiales?
No. Son precios públicos de lista aproximados, útiles para comparar órdenes de magnitud, y pueden haber cambiado. Los costos reales dependen de la región, el volumen, los descuentos por compromiso y el contrato con cada proveedor. Por eso la calculadora permite editar todos los precios unitarios en el panel correspondiente. Antes de decidir, sustitúyalos por las cotizaciones o las calculadoras oficiales de cada proveedor, y trate las filas de Splunk Cloud y CloudWatch como estimaciones de referencia.
¿Cuánto tiempo debo conservar los logs en caliente y en frío?
Depende de su caso de uso y de la normativa aplicable. Para detección y respuesta a incidentes, muchos equipos mantienen entre 30 y 90 días de datos con búsqueda inmediata. Para auditoría y cumplimiento, el archivo en frío puede ampliarse a 12 meses o más; por ejemplo, PCI DSS exige conservar al menos 12 meses de historial de logs de auditoría, con tres meses disponibles de inmediato. Consulte con su responsable de cumplimiento los plazos exactos que le aplican.
¿Mis datos de volumen de logs se envían a algún servidor?
No. El cálculo se ejecuta íntegramente en su navegador mediante JavaScript. Los valores que introduce, como los GB diarios, los días de retención o los precios que edite, no se transmiten ni se almacenan en ningún servidor de SecOps Toolkit, por lo que puede usar cifras reales de su organización sin exponerlas.