En rachetant CardinalOps, Cribl associe son infrastructure de gestion de la télémétrie à une technologie capable de vérifier en continu la qualité des règles de sécurité. L’objectif est d’aider les SOC à déterminer ce qu’ils détectent réellement, plutôt que de mesurer uniquement le volume de données collectées.
Accumuler des journaux, connecter de nombreux outils et recevoir un grand nombre d’alertes ne signifie pas nécessairement qu’une entreprise dispose d’une bonne couverture contre les cybermenaces. Une règle peut être mal configurée, devenue obsolète ou ne couvrir qu’une partie des techniques employées par les attaquants.
C’est sur cet écart entre la quantité de données disponibles et l’efficacité réelle des détections que Cribl veut agir en acquérant CardinalOps. La solution de CardinalOps utilise l’intelligence artificielle pour analyser les contrôles de sécurité d’une organisation et les rapprocher des tactiques et comportements réellement observés lors d’attaques. Elle automatise ainsi une partie du travail d’ingénierie de détection généralement réalisé par les équipes SOC.
Vérifier les règles plutôt que compter les alertes
La technologie peut repérer les lacunes de couverture, mais aussi identifier une règle qui ne fonctionne plus comme prévu ou qui produit trop de faux positifs. Les analystes peuvent alors ajuster leurs mécanismes de détection en fonction des risques réellement rencontrés.
Cette approche doit également aider les organisations à mieux exploiter leurs investissements existants. Une entreprise peut disposer de plusieurs outils performants sans avoir de vision claire sur la manière dont leurs règles se complètent ou sur les scénarios d’attaque qui restent insuffisamment couverts. « Trop d’équipes de sécurité disposent de données de qualité, d’outils puissants et d’alertes incessantes, mais n’ont aucune certitude réelle quant à leur véritable protection », explique Michael Mumcuoglu, cofondateur et CEO de CardinalOps.
Appliquer l’analyse à une télémétrie distribuée
La plateforme de Cribl permet de collecter, transférer, stocker et rechercher les données issues de différents systèmes. Son architecture fédérée autorise les recherches directement dans les environnements où les données se trouvent déjà. L’intégration de CardinalOps doit permettre d’appliquer les mécanismes d’évaluation des détections à cette télémétrie distribuée. Les données n’ont donc pas nécessairement besoin d’être copiées dans une nouvelle plateforme centralisée avant d’être analysées.
Ce modèle peut réduire les déplacements de données, mais aussi les coûts de stockage souvent associés aux SIEM. Il doit surtout permettre de rapprocher l’analyse de sécurité des sources de données déjà utilisées par les entreprises.
Une architecture commune à la sécurité et à l’observabilité
Cribl prévoit de développer ses futures capacités de sécurité et d’observabilité sur une base de télémétrie commune. Une même donnée pourrait ainsi être utilisée pour surveiller les performances d’un service, rechercher un incident et vérifier la couverture d’une règle de détection. Les clients pourront adopter progressivement ces fonctions sans remplacer immédiatement l’ensemble de leur infrastructure. Cribl veut ainsi proposer un modèle modulaire, dans lequel les entreprises choisissent les capacités nécessaires tout en conservant la maîtrise de leurs outils et de leurs données.
L’acquisition de CardinalOps constitue donc moins l’ajout d’un produit isolé que la première étape vers une plateforme réunissant gestion de la télémétrie, recherche fédérée et ingénierie de détection alimentée par l’IA.
