Brava Security rejser 15 millioner dollars for at teste, hvad AI-forsvar mod cyberangreb rent faktisk kan opdage

Brava Security er kommet ud af stealth-fasen med 15 millioner dollars i seedfinansiering for at afhjælpe en grundlæggende svaghed ved AI-understøttet cyberforsvar: En automatiseret analytiker kan ikke undersøge et angreb, hvis de underliggende sikkerhedssystemer aldrig opdager det.

Finansieringsrunden blev ledet af F2 Venture Capital og Pitango med deltagelse som business angels fra ledere hos Anthropic, Microsoft og Check Point. Brava vil bruge finansieringen på produktudvikling og kommerciel ekspansion i Nordamerika, herunder muligheder inden for finansielle tjenester og den offentlige sektor.

Virksomhedens tilgang går ud på at generere den telemetri, som et angreb ville skabe i et bestemt miljø, uden selv at udføre angrebet. Derefter undersøger den, om de eksisterende forsvarssystemer genkender disse spor, og hjælper med at afhjælpe manglerne. Dermed er validering af trusselsdetektion – snarere end blot hurtigere undersøgelse af advarsler – kernen i virksomhedens tilbud.

Test af sporene før en hændelse

Sikkerhedscentre baserer sig på telemetri: registreringer af aktivitet på tværs af slutpunkter, cloudmiljøer, identiteter og applikationer. Et system til sikkerhedsinformation og hændelseshåndtering, eller SIEM-system, indsamler og analyserer disse registreringer og bruger detektionsregler til at identificere mistænkelig adfærd.

Denne proces afhænger af flere ting. Det relevante system skal producere en brugbar registrering, datapipelinen skal levere den, og detektionsreglen skal fortolke felterne korrekt. Flere logfiler giver ikke automatisk bedre dækning, hvis de spor, der er nødvendige for at opdage et bestemt angreb, mangler eller ikke kan bruges.

Brava siger, at virksomhedens teknologi med flere AI-agenter modellerer angriberes adfærd og identificerer, hvordan bestemte teknikker bør afspejle sig i en kundes logkilder. Platformen tester derefter, om disse spor ville udløse de tilsigtede forsvarsmekanismer, omskriver manglende SIEM-detektioner og afhjælper mangler i datafeeds.

»Man kan ikke automatisere en beslutning på grundlag af spor, som ingen nogensinde har efterprøvet,« sagde Idan Basre, Bravas medstifter og administrerende direktør, der tidligere stod i spidsen for produktledelsen for Microsoft Defender.

Det er vigtigt at skelne mellem at generere spor og at udføre et angreb. Brava tester detektionsforløbet ved hjælp af syntetisk telemetri. Det kan hjælpe med at afsløre en tavs regel eller et manglende felt, men en vellykket test beviser hverken, at alle variationer af et virkeligt indbrud vil blive opdaget, eller at en angriber ikke ville kunne få adgang til systemet.

Sådan lukkes kredsløbet mellem en regel og en advarsel

Bravas produktforløb består ifølge virksomheden af fire trin: modellering af truslen, syntetisering af dens telemetri, verificering og afhjælpning af mangler i detektionen samt genafspilning af sporene for at bekræfte, at der vises en advarsel i SIEM-systemet. Virksomheden beskriver også gentestning, efterhånden som miljøerne ændrer sig.

Det er en nyttig forskel i forhold til at betragte en installeret regel som bekræftet dækning. Et ændret feltnavn, en opdatering af en parser eller en afbrudt datakilde kan betyde, at en detektionsregel, der tidligere fungerede, ikke længere kan matche den aktivitet, den blev skrevet til at opdage. En gentest efter en ændring hjælper med at afgøre, om detektionen stadig fungerer med de data, den faktisk modtager.

Platformen er udviklet til at fungere sammen med den eksisterende sikkerhedsinfrastruktur. Brava angiver, at platformen understøtter Splunk, Google SecOps, CrowdStrike samt mere end 70 datakilder og destinationer, så sikkerhedsteams i mindre grad behøver at udskifte de værktøjer, de allerede bruger.

For en ingeniør, der arbejder med trusselsdetektion, er den praktiske værdi et mere konkret svar end en generisk dækningsscore: Hvilke spor bør være til stede, hvilken del af detektionsforløbet overså dem, og førte afhjælpningen til en advarsel? Disse spørgsmål forbinder en teknisk ændring med et målbart resultat.

Undersøgelser og datapipelines bygger på det samme fundament

Virksomhedens hjemmeside beskriver yderligere to relaterede funktioner. Aquarium, virksomhedens undersøgelsesgrænseflade, planlægger søgninger på tværs af kilder og knytter resultater til de underliggende hændelser. Værktøjerne til datapipelines fortolker og standardiserer registreringer, sender relevante hændelser videre til SIEM-systemet og gemmer andre data i søgbar lagring til en lavere pris.

Disse funktioner løser forskellige dele af det samme driftsproblem. En analytiker har brug for spor til at rekonstruere, hvad der skete, mens en detektionsregel har brug for de rette felter for at blive udløst. Det er kun en fordel at reducere mængden af data, der indlæses, hvis de oplysninger, der er nødvendige for detektion og undersøgelse, fortsat er tilgængelige.

I sin meddelelse skriver Brava, at platformen leverer de første indsigter inden for 10–15 minutter efter onboarding. Det er virksomhedens oplysning om tiden frem til de første resultater, ikke en garanti for, at en komplet virksomhedsimplementering eller alle reparationer af detektionsregler bliver afsluttet inden for dette tidsrum.

Virksomhedskunder og et team med ekspertise i AI og sikkerhed

Brava oplyser, at virksomheden har kunder blandt Fortune 100-virksomheder inden for detailhandel, energi og hotel- og restaurationsbranchen samt Cushman & Wakefield og den canadiske sundhedsvirksomhed WELL Health. Cushman & Wakefields CISO, Erik Hart, sagde, at platformen undersøger hændelser sammen med hans team og samler sporene for at understøtte beslutninger.

Virksomheden blev grundlagt af Basre og teknologidirektør Itay Gabbay. Basre tilbragte ti år i Unit 8200 som trusselsforsker, før han kom til Microsoft. Gabbay brugte syv år på at udvikle AI-systemer i IDF, herunder på et fælles DARPA-israelsk forskningsprogram.

Brava har cirka 20 medarbejdere med forskning og udvikling i Israel og et kommercielt team, der vokser i USA. Finansieringen skal understøtte et produkt, der kombinerer AI-forskning med en krævende opgave inden for sikkerhedsteknik: at modellere, hvordan angreb viser sig i de specifikke systemer, en virksomhed bruger.

Virksomhedens grundantagelse er, at autonome sikkerhedsbeslutninger skal bygge på valideret dokumentation. Den stærkeste prøve på den antagelse bliver en vedvarende høj detektionskvalitet, efterhånden som kundernes miljøer ændrer sig: færre regler, der ikke giver udslag, færre manglende signaler og rettelser, som sikkerhedsteams kan påvise rent faktisk virker.