Les journaux de sécurité dans un data lake sont désormais consultables – un problème de coût pour les géants du SIEM.

OnLe 14 septembre, une petite société de logiciels privée nommée Imply a déclaréSon produit le plus récent est désormais disponible en général : Lumi Loglake. Cet outil permet aux équipes de sécurité de rechercher instantanément les fichiers bruts qui se trouvent dans leurs data lakes – sans besoin de configuration de schéma, sans transfert de données, sans indexation préalable. Le communiqué de presse semble plutôt technique et complexe. Ce qui mérite l’attention des investisseurs privés, c’est la description des coûts associés à cet outil, car cela indique le modèle de tarification d’l’un des produits logiciels commerciaux les plus chers existants.

La première chose à savoir est qu’il n’y a pas de stocks d’Imply à acheter. Fondée en 2015 par les créateurs originaux de la base de données d’analyse open-source Apache Druid, Imply a récemment levé des fonds.100 millions de dollars dans le série D, avec une valeur de 1,1 milliard de dollars en mai 2022etIl a collecté environ 215 millions de dollars.C’est un domaine privé. Donc, ce n’est pas un événement qui peut être investi en soi-même. Ce qu’il représente, c’est une fenêtre sur l’économie d’un marché où de grandes entreprises publiques se disputent.

Le modèle de coûts sous attaque

Ce marché s’appelle SIEM – Security Information and Event Management. Un SIEM est un système qui rassemble les logs provenant des serveurs, des applications et des réseaux en un seul endroit, les indexe, et permet aux analystes de les rechercher et d’être alertés en cas d’attaque. Le concurrent dominant est Splunk, que Cisco a acquis en 2024. Elastic exploite également un concurrent à moindre coût, tout comme Microsoft Sentinel.

Le tarif traditionnel de SIEM est basé sur le volume.Splunk facture environ 150 dollars par Go de données ingérées par jour.au prix de base, donc uneLa déploiement de terabits par jour coûte environ 800 000 à 1,5 million de dollars par an.Seulement avec les frais de licence… Avant de payer pour le matériel informatique dédié à l’indexation, ce qui représente un coût élevé pour chaque téraoctet déployé par jour.En général, cela signifie 15 à 25 serveurs indexeurs.Le point désagréable avec ce modèle est que vous êtes facturé pour chaque gobelet d’information que vous recevez, qu’il s’agisse ou non de données qui sont utilisées par quelqu’un d’autre. Les analyses des installations réelles montrent que…De 60 % à 80 % des données ingérées ne sont jamais recherchées au cours des 30 premiers jours..

Le changement par unité

Loglake est basé sur une logique différente par unité de stockage. Il suffit de conserver les fichiers dans un stockage objet bon marché comme Amazon S3 ; il ne faut pas indexer ces fichiers en amont. Le calcul est activé uniquement lorsque quelqu’un effectue une recherche réelle, et les frais sont appliqués en fonction des requêtes effectuées, plutôt que du volume de données stockées.Réduit les coûts de logiciels de 70 % ou plus, et les coûts d’infrastructure de 40 % ou plus.Contrairement aux systèmes indexés en continu, cette philosophie consiste à faire des requêtes avant d’optimiser. L’effet est donc inverse : au lieu de payer pour chaque gobelet de données stockées, on paie principalement pour les recherches que l’on effectue réellement. Si la plupart des données ne sont jamais consultées, alors la quantité de données stockées devient peu coûteuse à entretenir.

Cette arithmétique est la raison pour laquelle il est important de se soucier de cela. Les équipes de sécurité sont submergées par des données provenant des machines, et les tâches d’IA produisent maintenant plus de données que les organisations ne peuvent gérer avec les modèles anciens. Les logiciels qui permettent de conserver toutes ces données dans un stockage bon marché, et de les rechercher uniquement lorsque c’est nécessaire, attaquent le secteur traditionnel, qui est confronté à son point faible : le lien entre l’augmentation des données et les coûts. C’est la même logique économique du “data lake” qui a déjà affecté d’autres catégories de logiciels : garder tout à bas prix, et payer pour les calculs coûteux uniquement lorsque vous les utilisez.

Lisez-le comme un signal, pas comme une opportunité commerciale.

Maintenant, il s’agit de déterminer dans quelle mesure il convient d’interpréter cet événement. Premièrement, Imply est une entreprise privée ; ces 70 % et 40 % de économies correspondent à des réclamations des fournisseurs, et non à des chiffres vérifiés indépendamment, avec des clients identifiés et des critères reproductibles. Il convient donc de les considérer comme un atout marketing, ce qui en fait bien. Deuxièmement, afin que ce ne soit pas une histoire simple concernant l’épuisement de Splunk, le produit ne remplace pas un SIEM ; il l’étend plutôt.Les données propres à Imply montrent que Loglake peut interroger les journaux via le langage de recherche de Splunk, ainsi que via l’application Enterprise Security. De plus, il est possible d’interroger les journaux via Databricks et Grafana.C’est une manière de vendre des infrastructures moins chères, sous le nom de “front-end” du fournisseur existant. De plus, cela permet d’accéder aux données du lac depuis d’autres outils. Troisièmement, les informations concernant la “sécurité” mentionnées dans l’annonce exagèrent la portée du service : la recherche interactive constitue bien la première et la moins coûteuse étape de l’analyse de sécurité. La détection, la corrélation et l’enquête – où réside la véritable valeur et les bénéfices d’un SIEM – sont des problèmes plus complexes et distincts. C’est là que Splunk et Elastic se défendent par leurs prix. La faisabilité de rechercher les données du lac n’équivaut pas à sa sécurisation.

Pour l’investisseur ordinaire, le point important est plutôt la direction à prendre, et non une invitation à agir. Les données de GA confirment que la pression sur cette catégorie de logiciels très importante et très coûteuse est forte : le modèle basé sur le nombre de gobs d’information est structurellement exposé aux conditions économiques liées aux data lakes. Tout fournisseur dont les revenus dépendent du fait de facturer pour les données stockées, qui ne sont pas utilisées, risque de rencontrer des problèmes de découverte des coûts à mesure que ce modèle se développe. Si vous possédez des entreprises publiques qui contrôlent ce marché final – comme Cisco, qui intègre Splunk dans son portefeuille de services de sécurité, ou Elastic avec son propre modèle basé sur le nombre de gobs d’information – il est utile de surveiller ces entreprises, car les données réelles et les coûts réels s’accumulent. Ce n’est pas quelque chose sur lequel on peut spéculer aujourd’hui. Le mécanisme est clair ; mais les preuves de qui gagnera sur la scale du SIEM ne sont pas encore disponibles.