Los registros de seguridad en un data lake ahora son buscables: un problema de costos para las grandes empresas de SIEM.

EnEl 14 de septiembre, una pequeña empresa de software privada llamada Imply informó queSu producto más reciente ya está disponible en general: Lumi Loglake. Este producto permite a los equipos de seguridad buscar de forma instantánea los registros brutos que se encuentran en sus lagos de datos. No es necesario realizar ningún tipo de configuración de esquema, ni mover los datos, ni realizar ningún proceso de indexación previa. El comunicado de prensa suena técnico y específico. Lo que realmente merece la atención de los inversionistas minoristas es el costo asociado a este producto, ya que indica el modelo de precios de uno de los sectores de software empresarial más costosos existentes.

Lo primero que hay que saber es que no existe acciones de Imply para comprar. Fundada en 2015 por los creadores originales de la base de datos de análisis de código abierto Apache Druid, Imply recientemente recibió un financiamiento adicional.100 millones de dólares en la serie D, con una valoración de 1.1 mil millones de dólares, en mayo de 2022.yHa recaudado aproximadamente 215 millones de dólares.Es algo privado. Por lo tanto, no se trata de un evento que pueda ser invertido por sí mismo. Lo que es realmente importante es una oportunidad para entender la economía de ese gran mercado en el que las empresas públicas compiten entre sí.

El modelo de costos bajo ataque

Ese mercado se llama SIEM: gestión de información y eventos de seguridad. Un SIEM es el sistema que recopila los registros de servidores, aplicaciones y redes en un solo lugar, los indexa y permite a los analistas buscarlos y generar alertas para detectar ataques. El líder del mercado es Splunk, que Cisco adquirió en 2024. Elastic también opera un competidor con costos más bajos, al igual que Microsoft Sentinel.

Los precios tradicionales de SIEM se basan en el volumen de servicio.Splunk cobra unos 150 dólares por gigabyte ingerido diariamente.A precio de venta inicial, así que…La implementación de terabytes por día cuesta aproximadamente 800,000 a 1.5 millones de dólares al año.Solo en concepto de tarifas de licencia… antes de pagar por el hardware informático dedicado que se utiliza para realizar la indexación. Para un terabyte al día, eso significa mucho dinero.Por lo general, significa entre 15 y 25 servidores indexadores.La parte incómoda del modelo es que se factura por cada gigabyte que se utilice, independientemente de si alguien lo ve o no. Los análisis de implementaciones reales demuestran que…Entre el 60% y el 80% de los datos ingeridos nunca se buscan durante los primeros 30 días..

El flip por unidad

Loglake se basa en una lógica diferente para cada unidad de almacenamiento. Se dejan los registros en un almacenamiento de objetos económico, como Amazon S3; no se indexan de antemano. Solo se utiliza la computación cuando realmente alguien realiza una búsqueda. Se cobra por lo que se consulta, y no por lo que se almacena.Reduce los costos de software en un 70% o más, y los costos de infraestructura en un 40% o más.Se trata de un sistema indexado que está siempre en funcionamiento. La filosofía detrás de este sistema es “realizar consultas primero, luego optimizar”. El efecto es el siguiente: en lugar de pagar por cada gigabyte almacenado, sin importar su uso, uno paga principalmente por las búsquedas que realmente se realizan. Si la mayoría de los registros nunca se buscan, entonces esa cantidad de datos se vuelve económica de mantener.

Esa aritmética es la razón por la cual hay que preocuparse. Los equipos de seguridad se encuentran abrumados por datos de máquinas, y las cargas de trabajo de IA ahora generan más información que las organizaciones pueden manejar con el modelo antiguo. El software que permite guardar todo en almacenamiento económico y buscarlo únicamente cuando sea necesario, ataca a los negocios tradicionales en su punto más débil: el vínculo directo entre el crecimiento de los datos y los costos. Son las mismas reglas económicas relacionadas con los “data lakes” las que ya han afectado a otras categorías de software: mantener todo a bajo costo, y pagar por el cálculo computacional solo cuando se utiliza ese servicio.

Léelo como un signo, no como una operación comercial.

Ahora, hay que considerar qué tan mucho se debe interpretar como información de un solo evento. En primer lugar, Imply es una empresa privada, y los 70% y 40% de ahorros mencionados son cifras proporcionadas por los proveedores, no son números verificados de forma independiente, con clientes identificados y puntos de referencia reproducibles. Por lo tanto, deben tratarse como un activo de marketing, y eso es precisamente lo que son. En segundo lugar, esto evita que se trate de una historia simple sobre “Splunk está muriendo”. El producto no reemplaza a un SIEM; más bien, lo amplía.Los materiales propios de Imply demuestran que Loglake puede consultar los registros a través del lenguaje de búsqueda de Splunk y de la aplicación Enterprise Security. También se puede hacerlo mediante Databricks y Grafana.Se está vendiendo infraestructura más económica bajo el manto de operaciones del actual proveedor; además, se tiene la capacidad de acceder a los datos del lago desde otros instrumentos. En tercer lugar, los “datos de seguridad” mencionados en el titular son exagerados: la búsqueda interactiva es la primera y más económica etapa del análisis de seguridad. La detección, correlación e investigación son problemas más complejos y separados, y es aquí donde Splunk y Elastic defienden su modelo de precios. La capacidad de buscar datos en un lago no es lo mismo que garantizar su seguridad.

Para el inversor común, lo importante es la dirección general, no una orden para actuar. La GA confirma la dirección de la presión en una categoría de software muy grande y costosa: el modelo de cobro por gigabytes está estructuralmente expuesto a las condiciones económicas del ecosistema de datos. Cualquier proveedor cuyos ingresos dependen de cobrar por los datos que se almacenan, y que no son buscados, enfrentará problemas en la gestión de costos a medida que este modelo se desarrolle. Si se tienen en cuenta las empresas públicas que operan en ese mercado final, como Cisco, que está integrando Splunk en su portafolio de seguridad, o Elastic, con su propio modelo de cobro por gigabytes, esto es algo que vale la pena observar a medida que se acumulan datos reales y datos sobre costos reales. Pero eso no es algo que pueda invertirse hoy en día. El mecanismo es claro; pero las pruebas de quién ganará en escala SIEM aún no están disponibles.