Cribl a acheté un moyen de contourner votre facture SIEM

Ce que Cribl a acheté, et à quel prix

L'opération fait passer Cribl de la tuyauterie à la détection. Le 14 juillet 2026, Cribl, dont la plateforme achemine et remodèle des données de sécurité et d'observabilité, a annoncé l'acquisition de CardinalOps, une société d'ingénierie de détection par IA. Cribl n'a pas divulgué le prix; les informations l'ont situé autour de 100 millions de dollars. CardinalOps a été fondée début 2020 par Michael Mumcuoglu et Yair Manor, vétérans de l'Unité 8200 israélienne dont les sociétés antérieures ont été rachetées par Palo Alto Networks et Microsoft, et Cribl ouvrira un bureau à Tel-Aviv pour retenir l'équipe.

Clint Sharp, cofondateur et directeur général de Cribl, a dit que les équipes de sécurité n'ont pas besoin de plus d'outils déconnectés, mais d'une meilleure façon de transformer la télémétrie en détections efficaces. Mumcuoglu a dit que rejoindre Cribl permet à son équipe de porter la détection directement dans la couche de télémétrie. Javier Garcia Quintela, directeur mondial de la sécurité de l'information du groupe énergétique espagnol Repsol, a salué la combinaison pour renforcer la détection tout en maîtrisant le coût, ce qui est tout l'argument en une phrase.

Le modèle de coût du SIEM est la vraie cible

Ce qui est attaqué n'est pas un produit rival, c'est une habitude de prix. Un SIEM classique vous demande d'envoyer chaque journal dans un stockage central, de payer au gigaoctet pour l'y garder, puis de payer encore pour y exécuter des détections. À mesure que les volumes ont gonflé avec les charges cloud et IA, cette facture est devenue l'une des lignes les plus grosses et les moins maîtrisables d'un budget de sécurité, et les équipes ont commencé à jeter des données qu'elles devraient garder, juste pour contenir le coût.

Cribl se place déjà en amont de ce stockage, décidant quelle télémétrie va où. En ajoutant l'ingénierie de détection, elle peut proposer d'exécuter les détections sur les données en place, sur le pipeline que le client exploite déjà, au lieu de tout forcer d'abord par un SIEM au gigaoctet. C'est pourquoi l'entreprise présente le résultat comme une alternative ouverte aux architectures SIEM classiques et non comme un outil de plus vissé à côté.

Ce que l'ingénierie de détection par agents change pour votre SOC

L'ingénierie de détection est le travail ingrat qui décide si une alerte se déclenche un jour. Quelqu'un doit écrire les règles qui attrapent un attaquant, les garder alignées sur le comportement réel de l'adversaire, retirer celles qui noient les analystes sous le bruit, et trouver les trous où rien ne surveille. Dans la plupart des centres d'opérations de sécurité, cela se fait à la main, lentement, et pourrit en silence à mesure que les attaquants changent.

CardinalOps automatise cette boucle avec des agents d'IA: elle mesure votre couverture de détection face aux techniques d'attaque connues, signale où vous êtes aveugle, et propose ou répare des règles. Pour un dirigeant, la promesse pratique est moins d'attaques manquées et moins d'heures d'analyste gâchées, sans recruter un rare spécialiste de la détection. La prudence pratique est qu'un jeu de règles automatisé a toujours besoin d'un propriétaire humain, car une détection que vous ne comprenez pas est une détection que vous ne pouvez pas défendre.

L'arbitrage: une facture d'ingestion plus petite, un fournisseur unique plus gros

Coût plus bas et concentration accrue sont ici la même décision. Acheminer la détection par le pipeline que vous exploitez déjà peut vraiment réduire le volume que vous payez à un SIEM classique pour l'ingérer. Mais cela confie aussi une plus grande part de votre pile de sécurité à un seul fournisseur: le même fournisseur façonne désormais votre télémétrie, décide de ce que vous conservez et possède de plus en plus ce sur quoi vous détectez. C'est un levier, et un levier finit par apparaître dans un devis de renouvellement.

Rien de tout cela ne rend l'opération mauvaise. Cela en fait un choix qu'un dirigeant devrait poser délibérément plutôt que d'y glisser. La bonne question n'est pas de savoir si la proposition de Cribl est séduisante, elle l'est clairement, mais si vous êtes à l'aise avec la même entreprise qui tient le tuyau, la décision de stockage et la logique de détection, et à quoi ressemble votre sortie si ce bloc cesse de vous servir.

Ce que les dirigeants doivent peser maintenant

Vous n'avez pas à agir ce trimestre, vous devez lire avant de renouveler. Sortez votre contrat SIEM actuel et séparez deux chiffres: ce que vous payez pour centraliser et conserver les données, et ce que vous payez pour les détections qui vous protègent vraiment. Le modèle Cribl-CardinalOps est un pari que ces deux-là peuvent être dissociés et que la plupart des acheteurs paient trop pour le premier afin d'obtenir le second.

Sous NIS2 et DORA, une détection faible est désormais autant une exposition de conformité qu'une exposition de sécurité, car vous devez repérer et signaler les incidents graves dans un délai chronométré. Cela accroît la valeur d'une meilleure ingénierie de détection et le coût de tolérer des angles morts. Voyez cette acquisition comme une invitation à demander si votre SOC paie pour du stockage ou pour des résultats, avant votre prochain échange fournisseur, pas après.

À lire ensuite: NetApp achète une feuille de route sans promesse  |  Berlin obtient une garantie, 14 marchés sont vendus deux fois