El cuello de botella de todo equipo Blue Team no es la inteligencia. Es el tiempo que se pierde cambiando de herramienta.
Un analista SOC promedio usa entre 6 y 12 herramientas distintas para investigar un solo incidente.
Abre VirusTotal, después Shodan, después AbuseIPDB, después TheHive para abrir el caso, después Wazuh para ver las alertas correlacionadas.
Gjallarhorn nació para terminar con ese problema. Una sola plataforma que centraliza la investigación, el análisis, el forense y la gestión de casos, con todas las integraciones SOC que un equipo Blue Team necesita.
herramientas distintas usa un analista SOC por incidente
del tiempo de un analista se pierde en tareas manuales y cambio de contexto
fuentes de threat intelligence integradas en Gjallarhorn
Todo lo que necesita un analista Blue Team. En un solo lugar.
Cada módulo de Gjallarhorn existe porque un analista lo necesitó en producción. No son funcionalidades de catálogo, son herramientas reales para amenazas reales.
Investigación IOC
Ingresás una IP, dominio, hash o URL y Gjallarhorn la cruza en tiempo real contra 20+ fuentes de threat intelligence: VirusTotal, Shodan, AbuseIPDB, AlienVault OTX, GreyNoise, Criminal IP, URLScan y más. En segundos tenés el score consolidado, los veredictos de cada fuente y el historial completo de investigaciones del equipo. Lo que antes era copiar y pegar entre pestañas, ahora es un clic.
Análisis de malware
Análisis estático de archivos sospechosos sin ejecutarlos, cero riesgo de contaminación. Soporta PE (.exe, .dll, .sys), scripts (.ps1, .bat, .js, .vbs), documentos Office, PDFs y archivos comprimidos. Detecta firmas de ransomware conocido, Cobalt Strike beacons, C2 frameworks, técnicas de ofuscación y comportamiento malicioso. Cada análisis queda en el historial con hash SHA-256, score y veredicto para correlación futura.
Forense de email
Arrastrás un archivo .eml y Gjallarhorn lo disecciona completamente. Valida autenticación SPF, DKIM y DMARC. Extrae y analiza todos los IOCs presentes en headers, cuerpo y adjuntos. Detecta patrones de phishing, BEC (Business Email Compromise) e ingeniería social. Traza la ruta completa del mensaje a través de los servidores de salto. Lo que antes tomaba 30 minutos a un analista experto, tarda segundos.
Gestión de casos
Cada incidente y hallazgo de seguridad gestionado en un solo lugar: apertura, asignación, severidad, estado y cierre. Sincronización bidireccional con TheHive, los casos se crean en Gjallarhorn y aparecen automáticamente en TheHive, y viceversa. Clasificación por TLP (AMBER, RED, GREEN, WHITE), filtros por estado y severidad, y trazabilidad completa del ciclo de vida de cada incidente.
Integraciones SOC nativas
Gjallarhorn se conecta con las herramientas que ya usás. TheHive para gestión de casos, Wazuh para SIEM y EDR, Velociraptor para forense live en endpoints, Nessus y OpenVAS para vulnerabilidades. La configuración es via API key, sin agentes adicionales, sin configuraciones complejas. El dashboard muestra el estado de cada integración en tiempo real y suma todos los eventos en una vista unificada.
Correlación y respuesta automática
Cuando Wazuh o Suricata detectan un evento, Gjallarhorn investiga los IOCs involucrados y, si el score supera el umbral, abre el caso enriquecido sin intervención humana. La respuesta se arma en un editor visual de playbooks: pasos en orden, cada uno con su condición, que avisan por correo, bloquean la IP en el feed, aíslan el equipo comprometido con una respuesta activa de Wazuh o lanzan un escaneo de OpenVAS. El analista llega a la mañana y encuentra el incidente ya investigado, clasificado y contenido.
Sandbox de análisis dinámico
El archivo sospechoso se detona en un entorno aislado y se observa qué hace: procesos que lanza, cambios en el registro, archivos que escribe y hacia dónde intenta conectarse. Corre contra CAPE, y del resultado salen los indicadores ya extraídos y el caso abierto con la evidencia vinculada, sin volver a cargar nada a mano.
Editor de reglas de detección
Lo que se aprende investigando se convierte en detección. El editor genera reglas Sigma y YARA desde los indicadores del caso, y las traduce a las consultas del SIEM que use la organización. La investigación deja de terminar en un informe y pasa a dejar una regla puesta.
Intercambio de inteligencia
Los hallazgos se exportan en STIX 2.1, el formato estándar para compartir inteligencia de amenazas, y las técnicas observadas se mapean sobre MITRE ATT&CK. Sirve para reportar a un CERT, alimentar otra plataforma o mostrarle a la dirección qué técnicas se están viendo.
Separación por organización
Una sola instalación puede atender a varias organizaciones con la información de cada una completamente aislada de las demás, con sus propias integraciones y sus propias claves de API. Es lo que permite operar un SOC para terceros sin montar una instancia por cliente.
Monitoreo de infraestructura
Saber que un servidor dejó de responder no debería depender de que alguien llame por teléfono. Gjallarhorn mide por su cuenta los equipos que le indiques, por ping, por puerto o por respuesta web, y avisa por correo cuando algo se cae y cuando vuelve. Si ya tenés un Zabbix andando, lo integra y trae sus equipos y sus alertas a la misma pantalla, para que no haya que mirar dos sistemas para saber si la red está de pie. Cada equipo se puede nombrar como lo llama tu organización, y el sondeo dice qué sistema operativo tiene y qué puertos expone.
Inventario de activos informáticos
Antes de proteger algo hay que saber que existe. Gjallarhorn arma el inventario de equipos con lo que tu organización ya tiene: lo que él mismo mide, lo que administra tu Zabbix y lo que está cargado en tu GLPI. El mismo equipo queda en una sola ficha aunque lo reporten tres herramientas distintas, con el número de serie que aporta una, la dirección que aporta otra y el estado que mide él. Cuando dos herramientas dicen cosas diferentes del mismo equipo, te lo muestra en vez de elegir una: esa diferencia casi siempre significa que el inventario está desactualizado, y es información que el análisis de riesgo necesita.
Gestión de WAF
Gestioná el cortafuegos de aplicación (ModSecurity sobre nginx) de uno o varios servidores desde el SOC, sin entrar por SSH. Un agente en cada servidor es el único con permisos; Gjallarhorn ve el estado, trae las métricas del log de auditoría, cambia entre detección y bloqueo y ajusta las reglas, siempre validando la configuración antes de recargar y con vuelta atrás si algo falla.
Migración desde TheHive
Si venís de TheHive, traés tus casos a Gjallarhorn en un paso. La importación es idempotente (deduplica por el identificador de origen), mapea severidad, estado y TLP, trae los observables, y al terminar apaga la integración. Si algo no cuadra, se deshace sin tocar los casos propios.
Esto no es un prototipo. Es Gjallarhorn funcionando.
Veintisiete segundos de recorrido real: el informe ejecutivo del SOC, la investigación de un indicador contra diez fuentes de inteligencia, un beacon de Cobalt Strike detectado dentro de una planilla, la detonación de una muestra en sandbox y el forense de un correo de phishing.
Hacé clic acá y solicitá una demostración en vivo con nuestro equipo de trabajo. Te recorremos la plataforma completa, módulo por módulo, con tu escenario sobre la mesa y respondiendo todo lo que quieras preguntar.
El sandbox corre sobre CAPE autohospedado y devuelve el comportamiento observado, las conexiones de red, los procesos y los archivos soltados. Como es propio, la muestra no sale de la organización, que es lo que impide usar un servicio público cuando el archivo es de un cliente.
Cada indicador se consulta en paralelo contra VirusTotal, AlienVault OTX, ThreatFox, MalwareBazaar, URLhaus, AbuseIPDB, Shodan, Criminal IP, IPQualityScore y URLScan. El panel muestra qué respondió cada una y con qué tasa de detección, así el analista ve en qué se apoya el número.
SPF, DKIM y DMARC, la cadena de cabeceras, la detección de fraude al CEO y los indicadores extraídos del cuerpo. La mayoría de los incidentes entra por acá, y un enlace limpio en un correo mal autenticado sigue siendo un problema.
Cada resultado lleva el botón para abrir el caso, con la evidencia que lo originó ya adentro. Es el paso donde se pierde la mitad del trabajo cuando la investigación vive en una pestaña y la gestión en otra.
Wazuh, Suricata, OpenVAS, Nessus, Velociraptor, TheHive y Shuffle se conectan y reportan su estado en el mismo panel. No reemplaza el stack defensivo, le pone la capa que le faltaba para que el analista no salte de consola en consola.
Gjallarhorn crece con cada investigación real
No es una plataforma terminada, es un sistema vivo que incorpora nuevas capacidades a medida que los analistas de AllSafe las necesitan en producción.
v1.0, núcleo SOC
Plataforma base, con las integraciones y el análisis que sostienen la operación diaria.
v1.2, sandbox y reglas de detección
Análisis dinámico de malware desconocido, y la regla de detección generada desde el propio caso.
v1.3, respuesta automática y reporting
El circuito pasa de detectar a actuar, y los informes se generan solos.
v1.4, varias organizaciones en una instalación
Aislamiento total de la información por organización, sobre la misma instancia.
v1.5, inventario de activos y monitoreo de infraestructura
Saber qué equipos hay y si están de pie, sin depender de que alguien avise.
v1.6, migración desde plataformas de terceros
Traer los casos de un TheHive existente sin arrancar de cero.
v1.8, gestión de WAF
Administrar el cortafuegos de aplicación del servidor desde el SOC, sin entrar por SSH.
v1.9, respuesta automática avanzada
Respuestas de varios pasos, configurables sin escribir código.
v2.0, orquestación con el equipo ofensivo
Puente opcional con Gungnir para alinear la defensa y el pentest.
v3.0, IA local y en la nube
Integración de modelos de lenguaje para automatizar procesos de la plataforma, con el modelo corriendo dentro de la infraestructura o en la nube, a elección.
No es otra capa encima de tus herramientas. Es la capa que faltaba.
Construido por analistas de seguridad que se cansaron de perder tiempo entre herramientas que no se hablan entre sí.
Integración, no reemplazo
Se conecta con TheHive, Wazuh, Velociraptor y Nessus via API. No reemplaza tus herramientas, las hace trabajar juntas por primera vez.
Diseñado para SOC reales
Cada feature existe porque un analista de AllSafe lo necesitó en una investigación real. No hay demos vacías ni features de catálogo.
RBAC + 2FA desde el día 1
JWT con autenticación de dos factores TOTP, control de acceso por roles y rate limiting. La seguridad de la herramienta de seguridad no es opcional.
Soporte de quien lo construyó
No comprás una licencia y quedás solo. El equipo AllSafe que desarrolló Gjallarhorn te acompaña en la implementación, configuración e integración.
Quiero Gjallarhorn en mi SOC
Completá el formulario y un especialista de AllSafe te contactará para evaluar tu entorno, mostrar la plataforma en funcionamiento y diseñar la implementación para tu equipo.
Sabías que existe Gjallarhorn Community?
Versión gratuita y open source (AGPL-3.0) con los módulos centrales de la plataforma: investigación IOC, análisis de malware, forense de email, gestión de casos e integraciones SOC. Libre para siempre, código auditable, listo para desplegar.