Brava Security získává 15 milionů dolarů na testování toho, co kybernetická obrana využívající AI skutečně dokáže odhalit

Brava Security vyšla z utajení s počáteční investicí 15 milionů dolarů. Chce řešit zásadní slabinu kybernetické obrany využívající AI: automatizovaný analytik nemůže vyšetřovat útok, pokud ho základní bezpečnostní systémy vůbec nezaznamenají.

Investiční kolo vedly společnosti F2 Venture Capital a Pitango. Zapojili se také jako andělští investoři vedoucí pracovníci společností Anthropic, Microsoft a Check Point. Brava plánuje využít získané prostředky na vývoj produktů a obchodní expanzi v Severní Americe, včetně příležitostí ve finančních službách a státní správě.

Společnost vytváří telemetrická data, která by útok v daném prostředí zanechal, aniž by samotný útok provedla. Poté ověřuje, zda stávající obranné systémy tyto důkazy rozpoznají, a pomáhá odstranit zjištěné nedostatky. Jádrem její nabídky je tedy ověřování schopnosti detekce, nikoli pouze rychlejší vyšetřování výstrah.

Ověřování důkazů před bezpečnostním incidentem

Centra bezpečnostních operací se spoléhají na telemetrická data, tedy záznamy o aktivitách na koncových zařízeních, v cloudových prostředích, identitách a aplikacích. Systém pro správu bezpečnostních informací a událostí, zkráceně SIEM, tyto záznamy shromažďuje a analyzuje a pomocí detekčních pravidel identifikuje podezřelé chování.

Tento proces závisí na několika faktorech. Příslušný systém musí vytvořit užitečný záznam, datový tok ho musí doručit a detekční mechanismus musí správně interpretovat jeho pole. Větší množství protokolů automaticky neznamená lepší pokrytí, pokud důkazy potřebné k odhalení konkrétního útoku chybějí nebo jsou nepoužitelné.

Brava uvádí, že její technologie využívající více agentů modeluje chování útočníků a určuje, jak by se konkrétní techniky měly projevit v různých zdrojích protokolů zákazníka. Platforma následně ověřuje, zda by tyto stopy aktivovaly zamýšlenou obranu, doplňuje chybějící detekční pravidla SIEM a řeší nedostatky v datových tocích.

„Rozhodnutí nelze automatizovat na základě důkazů, které nikdo nikdy neověřil,“ řekl Idan Basre, spoluzakladatel a generální ředitel společnosti Brava, který dříve vedl produktové řízení pro Microsoft Defender.

Rozdíl mezi vytvořením důkazů a provedením útoku je důležitý. Brava testuje cestu detekce pomocí synteticky vytvořených telemetrických dat. Tak lze odhalit neaktivní pravidlo nebo chybějící pole, úspěšný test však nedokazuje, že bude zachycena každá varianta skutečného průniku ani že se útočník nebude moci dostat do systému.

Uzavření smyčky mezi pravidlem a výstrahou

Pracovní postup produktu Brava popisuje ve čtyřech fázích: modelování hrozby, syntézu jejích telemetrických dat, ověření a nápravu nedostatků v detekci a opětovné přehrání důkazů, které potvrdí, že se v systému SIEM zobrazí výstraha. Zmiňuje také opakované testování při změnách prostředí.

Díky tomu lze odlišit skutečně ověřené pokrytí od pouhé přítomnosti nainstalovaného pravidla. Přejmenování pole, aktualizace analyzátoru nebo odpojení zdroje může způsobit, že dříve užitečná detekce přestane odpovídat aktivitě, kterou měla zachytit. Opakování testu po změně pomáhá určit, zda detekce stále funguje s daty, která skutečně dostává.

Platforma je navržena tak, aby fungovala se stávající bezpečnostní infrastrukturou. Brava uvádí Splunk, Google SecOps, CrowdStrike a více než 70 zdrojů a cílů, takže bezpečnostní týmy nemusejí nahrazovat nástroje, které už používají.

Pro inženýra detekčních systémů spočívá praktický přínos v konkrétnější odpovědi, než jakou nabízí obecné skóre pokrytí: jaké důkazy by měly být k dispozici, která část detekčního procesu je nezachytila a zda náprava vedla k vytvoření výstrahy. Tyto otázky propojují technickou změnu s pozorovatelným výsledkem.

Vyšetřování a datové toky mají společný základ

Web společnosti uvádí dvě související funkce. Její rozhraní pro vyšetřování Aquarium plánuje vyhledávání napříč zdroji a propojuje zjištění s příslušnými událostmi. Nástroje pro datové toky analyzují a normalizují záznamy, směrují relevantní události do systému SIEM a ostatní data ukládají do prohledávatelného úložiště s nižšími náklady.

Tyto funkce řeší různé části téhož provozního problému. Analytik potřebuje důkazy, aby mohl zrekonstruovat, co se stalo, zatímco detekční pravidlo ke svému spuštění potřebuje správná pole. Omezení objemu přijímaných dat je užitečné pouze tehdy, zůstanou-li dostupné informace nezbytné pro detekci a vyšetřování.

Podle oznámení společnosti Brava poskytuje platforma první poznatky do 10–15 minut od zahájení používání. Jde o čas do prvních zjištění uváděný společností, nikoli o záruku, že se v této lhůtě dokončí úplné nasazení v podniku nebo náprava všech nedostatků v detekci.

Podnikoví zákazníci a tým spojující AI s kybernetickou bezpečností

Brava uvádí, že mezi její zákazníky patří společnosti z žebříčku Fortune 100 z oblasti maloobchodu, energetiky a pohostinství, dále Cushman & Wakefield a kanadská zdravotnická společnost WELL Health. Erik Hart, ředitel bezpečnosti informací společnosti Cushman & Wakefield, uvedl, že platforma vyšetřuje incidenty společně s jeho týmem a shromažďuje důkazy, které pomáhají při rozhodování.

Společnost založili Basre a technický ředitel Itay Gabbay. Basre před nástupem do Microsoftu strávil deset let v jednotce 8200 jako výzkumník hrozeb. Gabbay strávil sedm let vývojem systémů umělé inteligence v IDF, mimo jiné pracoval na společném výzkumném programu DARPA a Izraele.

Brava má přibližně 20 zaměstnanců, přičemž výzkum a vývoj probíhá v Izraeli a obchodní tým se rozrůstá ve Spojených státech. Financování podpoří produkt, který propojuje výzkum umělé inteligence s náročným úkolem bezpečnostního inženýrství: modelováním toho, jak se útoky projevují v konkrétních systémech, které podnik používá.

Předpokladem společnosti je, že autonomní bezpečnostní rozhodnutí musí vycházet z ověřených důkazů. Nejspolehlivějším testem tohoto předpokladu bude dlouhodobá kvalita detekce v měnících se prostředích zákazníků: méně pravidel, která mlčí, méně chybějících signálů a opravy, jejichž skutečnou funkčnost mohou bezpečnostní týmy prokázat.