Cribl industrialise l’ingénierie de détection avec CardinalOps

Cribl ajoute à sa plateforme des fonctions permettant d’évaluer la couverture des menaces et la qualité des règles de sécurité. Issues de l’acquisition de CardinalOps, elles doivent aider les équipes à repérer les détections manquantes, défectueuses ou trop bruyantes.

L’accumulation de règles de détection ne garantit pas nécessairement une meilleure protection. Certaines cessent de fonctionner après la modification d’une source de données, tandis que d’autres produisent trop d’alertes ou couvrent imparfaitement les techniques d’attaque auxquelles l’entreprise est exposée. Cribl étend ses capacités d’ingénierie de détection afin de fournir aux équipes de sécurité une vision plus précise de l’efficacité de leurs dispositifs. Cette évolution s’appuie sur CardinalOps, spécialiste de l’ingénierie de détection acquis récemment par l’entreprise.

Identifier les failles de couverture

Les nouvelles fonctions associent les règles existantes au référentiel MITRE ATT&CK. Les équipes peuvent ainsi déterminer les techniques déjà couvertes et repérer les zones pour lesquelles aucune détection adaptée n’est disponible.

Cribl doit également identifier les règles défectueuses ou générant un volume excessif de bruit. Ces problèmes peuvent passer inaperçus lorsque les contenus de détection sont répartis entre plusieurs environnements ou lorsque leur fonctionnement n’est contrôlé qu’à l’occasion d’un incident. Des workflows assistés par l’intelligence artificielle doivent faciliter la maintenance et l’amélioration des règles au fil du temps. L’objectif n’est pas seulement de créer de nouvelles détections, mais de vérifier que les contenus déjà déployés continuent de recevoir les données attendues et produisent des résultats exploitables.

Cette analyse ne se limite pas au périmètre d’un SIEM unique. Cribl s’appuie sur la télémétrie disponible dans les différents environnements de l’entreprise pour établir une vision plus large de la couverture. Les équipes peuvent alors concentrer leurs efforts sur les lacunes les plus importantes plutôt que de maintenir indistinctement l’ensemble des règles.

Cette annonce constitue l’une des premières traductions de l’acquisition de CardinalOps dans la plateforme de Cribl. Elle reflète aussi une évolution du marché de la détection, désormais davantage orienté vers la mesure continue de l’efficacité des règles que vers leur seule multiplication.