Brava Security sammelt 15 Millionen US-Dollar ein, um zu testen, was Cyberabwehrsysteme mit KI tatsächlich erkennen

Brava Security ist mit einer Seed-Finanzierung in Höhe von 15 Millionen US-Dollar aus dem Stealth-Modus hervorgetreten. Das Unternehmen will eine grundlegende Schwachstelle der KI-gestützten Cyberabwehr angehen: Ein automatisierter Analyst kann einen Angriff nicht untersuchen, wenn die zugrunde liegenden Sicherheitssysteme ihn gar nicht erst erkennen.

Die Finanzierungsrunde wurde von F2 Venture Capital und Pitango angeführt. Auch Führungskräfte von Anthropic, Microsoft und Check Point beteiligten sich als Business Angels. Brava will die Mittel für die Produktentwicklung und die geschäftliche Expansion in Nordamerika einsetzen, unter anderem für Chancen im Finanzdienstleistungssektor und im öffentlichen Bereich.

Das Unternehmen erzeugt Telemetriedaten, wie sie ein Angriff in einer bestimmten Umgebung hervorbringen würde, ohne den Angriff selbst auszuführen. Anschließend prüft es, ob vorhandene Abwehrsysteme diese Hinweise erkennen, und hilft dabei, Lücken zu schließen. Im Mittelpunkt des Angebots steht damit die Validierung von Erkennungsmechanismen – und nicht bloß die schnellere Untersuchung von Warnmeldungen.

Hinweise prüfen, bevor es zu einem Vorfall kommt

Security Operations Center sind auf Telemetriedaten angewiesen: Aufzeichnungen von Aktivitäten auf Endgeräten, in Cloud-Umgebungen sowie in Identitäts- und Anwendungssystemen. Ein Sicherheitsinformations- und Ereignismanagementsystem, kurz SIEM, sammelt und analysiert diese Aufzeichnungen und nutzt Erkennungsregeln, um verdächtiges Verhalten zu identifizieren.

Dieser Prozess hängt von mehreren Faktoren ab. Das betreffende System muss einen aussagekräftigen Datensatz erzeugen, die Datenpipeline muss ihn weiterleiten und die Erkennungslogik muss die Felder korrekt auswerten. Mehr Protokolldaten bedeuten nicht automatisch eine bessere Abdeckung, wenn die für einen bestimmten Angriff benötigten Hinweise fehlen oder nicht nutzbar sind.

Brava zufolge modelliert die Multi-Agenten-Technologie des Unternehmens das Verhalten von Angreifern und ermittelt, wie sich bestimmte Techniken in den Protokolldatenquellen eines Kunden niederschlagen sollten. Die Plattform prüft anschließend, ob diese Spuren die vorgesehenen Abwehrmechanismen auslösen, ergänzt fehlende SIEM-Erkennungen und behebt Lücken in den Datenfeeds.

„Man kann keine Entscheidung auf Grundlage von Hinweisen automatisieren, die niemand je überprüft hat“, sagte Idan Basre, Mitgründer und CEO von Brava, der zuvor das Produktmanagement für Microsoft Defender leitete.

Der Unterschied zwischen dem Erzeugen von Hinweisen und dem Ausführen eines Angriffs ist entscheidend. Brava testet den Erkennungspfad mithilfe synthetisch erzeugter Telemetriedaten. So lassen sich möglicherweise eine stumme Regel oder ein fehlendes Feld aufdecken. Ein erfolgreicher Test beweist jedoch weder, dass jede Variante eines realen Eindringversuchs erkannt wird, noch, dass ein Angreifer das System nicht erreichen könnte.

Die Lücke zwischen einer Regel und einem Alarm schließen

Der Produktablauf von Brava umfasst vier Schritte: die Bedrohung modellieren, ihre Telemetriedaten synthetisch erzeugen, Erkennungslücken überprüfen und beheben sowie die Hinweise erneut einspeisen, um zu bestätigen, dass im SIEM ein Alarm erscheint. Außerdem beschreibt das Unternehmen, dass Tests bei Änderungen an der Umgebung wiederholt werden.

Damit unterscheidet sich der Ansatz sinnvoll davon, eine installierte Regel bereits als bestätigte Abdeckung zu betrachten. Eine Umbenennung von Feldern, eine Aktualisierung des Parsers oder eine getrennte Datenquelle kann dazu führen, dass eine zuvor nützliche Erkennung die Aktivität, für die sie entwickelt wurde, nicht mehr erfasst. Ein erneuter Test nach einer Änderung hilft festzustellen, ob die Erkennung mit den Daten, die sie tatsächlich erhält, weiterhin funktioniert.

Die Plattform ist für den Einsatz mit bestehender Sicherheitsinfrastruktur ausgelegt. Brava nennt Splunk, Google SecOps, CrowdStrike sowie mehr als 70 Datenquellen und -ziele. Dadurch müssen Sicherheitsteams ihre bereits eingesetzten Werkzeuge seltener ersetzen.

Für Detection Engineers liegt der praktische Nutzen in einer konkreteren Antwort als bei einer allgemeinen Abdeckungsbewertung: Welche Hinweise sollten vorliegen, an welcher Stelle des Erkennungspfads gingen sie verloren und hat die Behebung einen Alarm ausgelöst? Diese Fragen stellen den Zusammenhang zwischen einer technischen Änderung und einem beobachtbaren Ergebnis her.

Untersuchungen und Datenpipelines beruhen auf derselben Grundlage

Die Website des Unternehmens nennt zwei damit verbundene Funktionen. Aquarium, die Untersuchungsoberfläche des Unternehmens, soll Suchanfragen über verschiedene Quellen hinweg ermöglichen und Ergebnisse mit den zugrunde liegenden Ereignissen verknüpfen. Die Werkzeuge für Datenpipelines analysieren und normalisieren Datensätze, leiten relevante Ereignisse an das SIEM weiter und speichern andere Daten in durchsuchbarem, kostengünstigerem Speicher.

Diese Funktionen betreffen verschiedene Aspekte desselben betrieblichen Problems. Analysten benötigen Hinweise, um den Hergang zu rekonstruieren, während eine Erkennungsregel die richtigen Felder braucht, um auszulösen. Ein geringeres Datenvolumen bei der Aufnahme ist nur dann nützlich, wenn die für Erkennung und Untersuchung erforderlichen Informationen verfügbar bleiben.

Laut der Mitteilung von Brava liefert die Plattform innerhalb von 10–15 Minuten nach dem Onboarding erste Erkenntnisse. Dabei handelt es sich um eine vom Unternehmen angegebene Zeit bis zu den ersten Ergebnissen, nicht um eine Garantie dafür, dass eine vollständige Bereitstellung in einem Großunternehmen oder jede Reparatur einer Erkennung innerhalb dieses Zeitraums abgeschlossen ist.

Unternehmenskunden und ein Team mit Schwerpunkt auf KI und Sicherheit

Brava gibt an, Kunden aus den Fortune 100 in den Bereichen Einzelhandel, Energie und Gastgewerbe zu haben. Zu den Kunden zählen außerdem Cushman & Wakefield und das kanadische Gesundheitsunternehmen WELL Health. Erik Hart, CISO von Cushman & Wakefield, sagte, die Plattform untersuche Sicherheitsvorgänge gemeinsam mit seinem Team und führe Hinweise zusammen, um Entscheidungen zu unterstützen.

Das Unternehmen wurde von Basre und CTO Itay Gabbay gegründet. Basre war zehn Jahre lang als Bedrohungsforscher bei Unit 8200 tätig, bevor er zu Microsoft wechselte. Gabbay arbeitete sieben Jahre lang beim IDF am Aufbau von KI-Systemen, unter anderem im Rahmen eines gemeinsamen Forschungsprogramms der DARPA und Israels.

Brava beschäftigt etwa 20 Mitarbeiter. Die Forschungs- und Entwicklungsabteilung ist in Israel angesiedelt, während das Vertriebsteam in den Vereinigten Staaten wächst. Mit der Finanzierung wird ein Produkt unterstützt, das KI-Forschung mit einer anspruchsvollen Aufgabe der Sicherheitstechnik verbindet: Es modelliert, wie Angriffe in den konkreten Systemen eines Unternehmens auftreten.

Die Grundannahme des Unternehmens lautet, dass autonome Sicherheitsentscheidungen auf validierten Belegen beruhen müssen. Der überzeugendste Beleg für diese Annahme wird eine dauerhaft hohe Erkennungsqualität sein, auch wenn sich die Kundenumgebungen verändern: weniger unbemerkte Regeln, weniger fehlende Signale und Fehlerbehebungen, deren Wirksamkeit Sicherheitsteams nachweisen können.