Alternativas a Qualys: qué escáner elegir y cómo cambiar sin dejar huecos de cobertura

Por qué cambiarte a Tenable. Es el rival de siempre de Qualys, con el mismo alcance: red, equipos, cloud y aplicaciones web desde una sola plataforma. La diferencia que te importa: Tenable Vulnerability Management se compra online por 3.500 $ al año para 100 activos (6.825 $ por dos años, 9.975 $ por tres). Sabes la cifra antes de hablar con un comercial. Su motor, Nessus, es el escáner que casi todos los administradores ya han usado.

Para quién. El equipo que deja Qualys por el precio o por la relación comercial, pero quiere mantener una cobertura amplia e informes de cumplimiento.

Para quién no. La empresa pequeña sin nadie que lea los resultados: la herramienta es potente, pero no prioriza por ti.

Su límite. El precio público cubre la gestión de vulnerabilidades; los módulos vecinos (aplicaciones web, cloud, exposición) se pagan aparte, igual que en Qualys. Si solo necesitas un escáner que instalas tú, Nessus Professional cuesta 4.790 $ al año con análisis ilimitados. La versión gratis, Nessus Essentials, se queda en 5 IP y no permite uso comercial.

Cómo hacer el cambio. Tenable tiene su propio agente: quita el de Qualys y despliega el de Tenable en la misma tanda. Lanza primero un escaneo de descubrimiento sobre tus rangos conocidos y compara el número de activos con tu inventario de Qualys. Una diferencia de más de unos pocos puntos suele ser una subred olvidada.

Por qué cambiarte a Rapid7. InsightVM apunta a las mismas organizaciones que Qualys, y los equipos suelen destacar una cosa: paneles en vivo que construyes tú, y que entienden quienes corrigen. Rapid7 ha integrado InsightVM en una oferta más amplia, Exposure Command, que se vende en dos niveles, Essentials y Ultimate.

Para quién. La empresa mediana o grande con equipo de seguridad que quiere unir vulnerabilidades y detección de incidentes en el mismo proveedor (nuestro ranking de SIEM cubre esa pieza).

Para quién no. Quien deja Qualys justo para tener un precio público: Rapid7 tampoco lo publica.

Su límite. El precio depende de los tipos de activos y de los usos que entren en el perímetro, y pasa por el equipo comercial. Acabas en la misma negociación de renovación que con Qualys. Pide un presupuesto a tres años con el precio por activo por escrito.

Cómo hacer el cambio. Rapid7 tiene su agente y sus motores de escaneo para instalar en tu red. Usa las dos herramientas a la vez sobre la misma muestra de 50 equipos durante un ciclo de escaneo. Verás enseguida si las dos encuentran las mismas vulnerabilidades críticas, y tendrás cifras para la dirección.

Por qué cambiarte a Defender. Si tus equipos ya tienen Defender for Endpoint Plan 2, ya cuentas con inventario, evaluación de vulnerabilidades, priorización por riesgo y seguimiento de la corrección, sin instalar nada más. El complemento Defender Vulnerability Management cuesta 2 $ por usuario al mes y añade evaluación de configuraciones de referencia, bloqueo de aplicaciones vulnerables y análisis de extensiones de navegador y certificados. Un agente menos en cada equipo es una ventaja real.

Para quién. Las empresas con Microsoft 365 cuyo parque es sobre todo Windows y se gestiona con Intune (Defender for Endpoint aparece en nuestro ranking de antivirus EDR).

Para quién no. Un entorno con mucho equipo de red, impresoras u objetos conectados: sin agente, Defender los ve mal. Y el complemento no está disponible para clientes de Defender for Business, la oferta de Microsoft para pymes.

Su límite. Microsoft retiró el escaneo autenticado de Windows: todo pasa por el agente. Para analizar un cortafuegos o un servidor sin agente necesitas otra herramienta, como Greenbone. La prueba dura un mes y luego pasa a una suscripción de pago de 12 meses: apunta la fecha.

Cómo hacer el cambio. Comprueba primero que todos los equipos aparecen en el portal de Defender. Compara esa lista con tu inventario de Qualys: lo que falte no tiene agente y necesita otra cobertura. Después quita el agente de Qualys por tandas.

Por qué cambiarte a Intruder. Qualys da por hecho que alguien ajusta los escaneos y ordena los resultados. Intruder, un proveedor británico, va al revés: das de alta tus dominios, IP y cuentas cloud, y lanza los análisis solo, con una interfaz pensada para no especialistas. Según el plan, usa motores conocidos: Nuclei y OpenVAS, y Tenable en los planes de pago.

Para quién. La pyme que quiere saber cada semana qué ve un atacante de sus servidores, webs y cuentas cloud.

Para quién no. La gran empresa que necesita informes de cumplimiento detallados sobre miles de equipos internos.

Su límite. Los precios de Cloud y Pro no aparecen en cifras: una cuota base más un coste por objetivo, a consultar. El escaneo con agente de servidores internos y portátiles solo llega con Pro. Y una licencia de objetivo solo se reasigna una vez cada 4 semanas: no des de alta máquinas que cambian a diario.

Cómo hacer el cambio. Empieza con el plan gratis, que no caduca: 5 objetivos de infraestructura expuesta, un escaneo externo cada semana, vigilancia de los puertos 80 y 443, 1 cuenta cloud y 3 usuarios (el escaneo autenticado de aplicaciones web no está incluido). La prueba de 14 días abre después las funciones de Cloud con 5 objetivos. Ponla sobre tus 5 servidores más expuestos y compárala con el último informe de Qualys.

Por qué cambiarte a ManageEngine. Donde Qualys vende los parches en un módulo aparte, Vulnerability Manager Plus une cada vulnerabilidad con el parche que la corrige, en la misma consola. Y el precio es público: la edición Professional cuesta 695 $ al año por 100 equipos instalada en tus servidores, 895 $ en cloud. La edición Enterprise empieza en 1.195 $ por 100 equipos.

Para quién. El equipo de sistemas que gestiona un parque sobre todo Windows y quiere cerrar vulnerabilidades sin saltar entre dos herramientas.

Para quién no. La empresa cuyo riesgo está sobre todo en sus aplicaciones web y en la nube pública: no es su terreno.

Su límite. Los servidores van en otra tabla de precios: 1.145 $ al año por 100 servidores en Professional local. Incluye un técnico; cada técnico extra se paga. Cuenta tus servidores antes de comparar con tu presupuesto de Qualys.

Cómo hacer el cambio. Usa sus propios agentes. Despliégalos por directiva de grupo en una unidad organizativa piloto, revisa lo que encuentran y amplía. Aprovecha el cambio para activar el parcheo automático en los puestos de oficina y deja los servidores con aprobación manual.

Por qué cambiarte a Greenbone. Greenbone es la empresa alemana que desarrolla OpenVAS, el gran escáner de código abierto. Hay dos caminos: una edición comunitaria gratis y ofertas de pago con un flujo de detección profesional. El precio de entrada es público: OPENVAS BASIC cuesta 2.524 € al año para redes de menos de 150 activos, con 14 días de prueba gratis. Si te importa que los datos se queden en Europa, es el argumento más fácil de defender ante tu equipo legal.

Para quién. El equipo técnico que se mueve bien con Linux, o la organización que quiere un escáner en sus propias instalaciones con precio conocido.

Para quién no. El equipo que quiere una plataforma cloud que priorice y haga el seguimiento por él: con Greenbone, ese trabajo es tuyo.

Su límite. Lo gratis tiene un coste oculto: tu tiempo. Instalación, actualización del flujo y ajuste de los escaneos dependen de ti. Por encima de 150 activos, OPENVAS SCAN va bajo presupuesto.

Cómo hacer el cambio. No hay agentes que desplegar: Greenbone escanea por la red. Trae tus rangos de IP y tus credenciales de escaneo autenticado desde Qualys, crea un objetivo por rango y lanza un primer escaneo completo de noche. Un rango con mucha actividad puede tardar horas.

Por qué tenerla en cuenta. Si te vas por el precio y tu parque es pequeño, mira primero la Community Edition de Qualys. Es gratis, en la nube, sin nada que instalar en un servidor, y cubre el descubrimiento de activos, el escaneo de vulnerabilidades y el de aplicaciones web. Tu equipo mantiene la interfaz que ya conoce.

Para quién. El equipo pequeño que quiere una segunda opinión sobre un perímetro reducido, o que mantiene Qualys mientras decide.

Para quién no. Una empresa que debe demostrar su cobertura a un auditor: la página oficial no indica el número de activos cubiertos ni las condiciones de uso comercial.

Su límite. Sin límites publicados, pide la respuesta por escrito a Qualys antes de montar nada encima. Es un puente, no un destino.

Cómo hacerlo. Abre la cuenta gratis antes de que acabe tu contrato de pago, mantén un perímetro pequeño (tus servidores expuestos) y exporta aparte tu histórico de VMDR: la Community Edition no lo recupera.