MtoM Mag - Le journal de l'MtoM.

Un SIEM complet, construit sur la plateforme ouverte que les équipes de sécurité utilisent déjà

Cribl, la plateforme d’IA dédiée aux données de télémétrie, annonce le lancement de Cribl Detect, reposant sur la plateforme de données ouverte de l’entreprise, ce nouveau SIEM complet permet de réduire les coûts jusqu’à 50 % par rapport aux autres solutions du marché.

La solution permet aux équipes de sécurité de mieux détecter les menaces, d’enquêter et d’y répondre, sans enfermer leurs données de télémétrie dans une nouvelle infrastructure monolithique dépendante d’un fournisseur unique. Avec cette nouvelle approche centrée sur la plateforme, les entreprises peuvent adapter et personnaliser leur SIEM en fonction des besoins propres à leurs opérations de sécurité. Cette annonce marque l’entrée de Cribl sur le marché du SIEM, estimé à 8,2 milliards de dollars.

Les attaques générées par l’IA accélèrent et gagnent en sophistication, obligeant les équipes de sécurité à détecter les menaces et à y répondre plus rapidement. Cribl Detect s’appuie sur la plateforme de Cribl, alimentée par l’IA agentique et dotée de capacités d’inférence intégrées ainsi que d’un environnement d’exécution agentique, ce qui lui permet d’aller au-delà des détections statiques fondées sur des règles. Les capacités d’AI SOC de Cribl contribuent à automatiser les workflows de détection et d’investigation, en appliquant l’analyse au plus près des données afin de faire émerger des signaux fiables et directement exploitables, de réduire le bruit et de prioriser les menaces les plus importantes. Ensemble, ces capacités aident les équipes de sécurité à identifier les angles morts et à améliorer l’efficacité de leurs opérations.

Les équipes de sécurité face aux limites des SIEM actuels

Depuis plusieurs années, les équipes de sécurité insatisfaites de leur SIEM sont confrontées à deux options imparfaites. Les SIEM historiques et monolithiques offrent une intégration étendue, mais au prix d’un manque de choix : les entreprises se voient imposer le schéma et le modèle tarifaire d’un fournisseur unique, ainsi qu’une tarification au gigaoctet qui fait de l’analyse un poste de coût supplémentaire. Les architectures plus récentes dites « sans SIEM », assemblées sur des plateformes de données généralistes, offrent davantage de choix mais moins d’intégration. Les équipes peuvent sélectionner leurs outils, mais doivent alors assurer elles-mêmes leur intégration en reliant des schémas, des contrats et des pipelines distincts. Cribl Detect a été conçu pour réunir le meilleur de ces deux approches : l’ouverture et la capacité de personnalisation d’une plateforme, associées à des fonctions complètes et prêtes à l’emploi de détection, d’investigation et de réponse, conçues spécifiquement pour cet usage. Cette même approche fondée sur une plateforme est au cœur du portefeuille de solutions de Cribl, qui continue de s’élargir.

« Les clients ne veulent plus du SIEM dont ils disposent aujourd’hui, mais ils n’ont pas les ressources nécessaires pour construire celui dont ils ont besoin », déclare Clint Sharp, cofondateur et CEO de Cribl « Avec Cribl Detect, nous avons adopté une approche différente qui répond à ces deux problématiques : un SIEM prêt à l’emploi, reposant sur une plateforme extrêmement flexible et spécifiquement conçue pour la télémétrie, que les entreprises peuvent adapter, façonner, voire reconstruire en fonction de leurs besoins. Et parce que la plateforme intègre nativement des capacités d’inférence et un environnement d’exécution agentique, Cribl Detect va au-delà des règles statiques pour détecter les menaces liées à l’IA qui évoluent rapidement. »

Éviter la complexité d’un SIEM développé en interne

Si une approche consistant à développer soi-même son SIEM et ses opérations de sécurité peut sembler séduisante, les entreprises disposent rarement des ressources nécessaires pour construire et maintenir l’environnement dont elles ont besoin. La nouvelle approche de Cribl constitue une alternative qui s’appuie sur les mêmes données de télémétrie auxquelles les entreprises accèdent déjà via la plateforme Cribl, dans des formats ouverts qu’elles peuvent contrôler. Les alertes, investigations et analyses de Cribl Detect peuvent ainsi s’appliquer aux données là où elles résident, plutôt que d’imposer leur centralisation ou leur duplication au sein d’une infrastructure monolithique dépendante d’un fournisseur unique. Avec Cribl Detect, la fédération permet aux analystes de mener leurs investigations à travers des données de télémétrie distribuées entre pipelines, lacs de données, stockages objet et outils existants. Cribl applique également les détections directement aux flux de données lorsqu’ils transitent dans les pipelines, en rapprochant la logique de sécurité des données là où elles circulent. Les signaux pertinents peuvent ainsi être identifiés plus tôt, ce qui accélère les corrélations et les investigations.

L’un des principaux éléments différenciants de Cribl Detect réside dans le fait que ses fonctions de détection et de gestion de la posture de détection (DPM), de triage via l’AI SOC, d’orchestration, d’automatisation et de réponse de sécurité (SOAR), ainsi que de conformité et de gouvernance, bénéficient toutes d’un accès aux données disponibles sur la plateforme. La solution peut ainsi être utilisée sans qu’il soit nécessaire de déplacer au préalable les données historiques.

« Cribl Detect réunit deux capacités essentielles pour les professionnels de la sécurité : mener des investigations à partir de données qu’ils contrôlent déjà et identifier les lacunes de détection, les règles défaillantes et les données de télémétrie manquantes », déclare Francis Odum, chercheur en cybersécurité chez Software Analyst Cyber Research « L’intégration de ces capacités à sa plateforme de données existante constitue une orientation particulièrement pertinente pour Cribl et offre aux équipes de sécurité un moyen de moderniser leur SOC sans créer un nouveau silo de données propriétaire. »

DPM intégré et triage par IA pour accélérer la réponse aux incidents

Cribl Detect intègre des fonctions de gestion de la posture de détection qui offrent aux équipes de sécurité une vision actualisée en continu de ce qu’elles détectent et de ce qui leur échappe. La solution met en correspondance les détections existantes avec les techniques du référentiel MITRE ATT&CK afin d’identifier les lacunes de couverture, les règles défaillantes ou trop bruyantes et les données de télémétrie manquantes. Elle fournit également des recommandations et des workflows permettant d’y remédier rapidement. En complément des détections fondées sur des règles, les capacités d’AI SOC alimentent des techniques de détection automatisées capables d’identifier des menaces que les règles seules ne permettraient pas de détecter. Les fonctions de triage, d’investigation et de traitement assistées par l’IA permettent ensuite aux analystes de passer plus rapidement de l’alerte à la réponse, sans avoir à corréler manuellement les données issues de différents outils.