Cómo estimar tus GB/día antes de cotizar un SIEM

Empieza por las fuentes

Cotizar un SIEM requiere una aproximación al volumen diario de registros que recibirá. Contar usuarios o equipos ayuda a describir el entorno, pero cada fuente produce una cantidad distinta de datos. Un servidor, un firewall y un tenant de correo no tienen el mismo comportamiento. El primer paso es elaborar un inventario de fuentes y decidir qué registros se integrarán, con qué nivel de auditoría y durante qué horarios de operación.

La calculadora de MUUSA usa factores de referencia versionados para 2026, derivados de la calculadora de 2019. Son supuestos de dimensionamiento, no mediciones de tu organización. Expresan GB/día por unidad de log crudo normalizado. Entre ellos están 0,05 por estación, 0,3 por servidor Windows, 0,15 por servidor Linux/Unix y 1,5 por controlador de dominio. El volumen real cambia con la actividad y la configuración de cada fuente.

En red, los factores incluyen 1,5 GB/día por firewall de sucursal, 8 por firewall perimetral mediano y 25 por uno de datacenter o alto tráfico. Para Microsoft 365 se usan 0,004 GB/día por usuario y para Google Workspace, 0,003. En nube, una cuenta AWS aporta una referencia de 0,5; una suscripción Azure o un proyecto GCP, 0,3. Es necesario elegir la fuente que describe el entorno y evitar duplicar registros ya considerados.

Una suma y dos márgenes

La base se obtiene multiplicando la cantidad de cada fuente por su factor y sumando los resultados. Después se aplican el filtrado en origen, el margen para picos y el crecimiento previsto. Los valores iniciales son filtrado del 0 %, picos del 20 % y crecimiento a doce meses del 20 %. Los dos márgenes se multiplican: juntos producen un factor de 1,44, no de 1,40.

La fórmula es: GB/día estimados = GB base × (1 − filtrado) × (1 + picos) × (1 + crecimiento). El filtrado puede ajustarse entre 0 y 30 %. El valor inicial de cero evita descontar datos que todavía no se ha demostrado que puedan excluirse. Los porcentajes deben reflejar decisiones documentadas; subir o bajar una casilla no reemplaza la revisión técnica de la recolección.

Considera un ejemplo hipotético con 100 estaciones, 10 servidores Windows y 800 usuarios de Microsoft 365. Las estaciones aportan 100 × 0,05 = 5 GB/día; los servidores, 10 × 0,3 = 3; y Microsoft 365, 800 × 0,004 = 3,2. La base total es 11,2 GB/día. Sin filtrado y con los márgenes iniciales, el resultado es 11,2 × 1,20 × 1,20 = 16,128 GB/día.

Si se comprueba que puede filtrarse un 10 % en origen, el mismo ejemplo da 11,2 × 0,90 × 1,20 × 1,20 = 14,5152 GB/día. Esa reducción solo es razonable si no elimina evidencia necesaria para los casos de uso. Deben revisarse los eventos descartados, la posibilidad de recuperarlos y el efecto sobre investigaciones futuras. Filtrar después de la ingesta no implica necesariamente reducir el volumen recibido por el SIEM.

EPS y almacenamiento son aproximaciones diferentes

Para estimar eventos por segundo, la calculadora supone un tamaño medio de 800 bytes por evento. Usa GB decimales: EPS aproximados = GB/día × 1.000.000.000 ÷ 800 ÷ 86.400. Con 16,128 GB/día, el promedio resultante es aproximadamente 233,33 EPS. Un promedio diario no describe el máximo instantáneo; una fuente puede concentrar buena parte de su actividad en intervalos cortos.

El almacenamiento caliente se aproxima con GB/día × días de retención ÷ compresión. Con 90 días y una compresión supuesta de 10:1, el ejemplo sin filtrado da 145,152 GB. La compresión se utiliza para almacenamiento: no se divide por diez la ingesta contratada. El resultado tampoco equivale a una garantía de espacio físico, pues índices, réplicas y otros componentes dependen de la arquitectura y del comportamiento de los datos.

Valida antes de cerrar el alcance

El siguiente paso es recoger muestras representativas de las fuentes, incluyendo periodos de mayor actividad. Verifica bytes recibidos, eventos, duplicados y pérdidas, además del efecto de cambios de auditoría. Si la muestra cubre únicamente un día tranquilo, registra esa limitación. Repite la estimación cuando cambien aplicaciones, usuarios o políticas de registro. El objetivo es acordar una capacidad sustentada en evidencia y márgenes explícitos.

La calculadora selecciona la menor capacidad disponible del catálogo que cubre la estimación; si supera el máximo, solicita una cotización a la medida. La retención se elige por separado. Prueba tu inventario en Calcula tu plan y lleva los supuestos a una demo con MUUSA, donde validamos el volumen con muestreo o una prueba de concepto.