Η Brava Security συγκεντρώνει 15 εκατομμύρια δολάρια για να δοκιμάσει τι μπορούν πράγματι να ανιχνεύσουν οι κυβερνοάμυνες με τεχνητή νοημοσύνη

Brava Security βγήκε από τη λειτουργία stealth έχοντας εξασφαλίσει 15 εκατομμύρια δολάρια σε αρχική χρηματοδότηση, με στόχο να αντιμετωπίσει μια θεμελιώδη αδυναμία της κυβερνοάμυνας με υποβοήθηση τεχνητής νοημοσύνης: ένας αυτοματοποιημένος αναλυτής δεν μπορεί να διερευνήσει μια επίθεση αν τα υποκείμενα συστήματα ασφάλειας δεν την ανιχνεύσουν ποτέ.

Του γύρου χρηματοδότησης ηγήθηκαν οι F2 Venture Capital και Pitango, με συμμετοχή ως επενδυτών-αγγέλων στελεχών από τις Anthropic, Microsoft και Check Point. Η Brava σχεδιάζει να αξιοποιήσει τη χρηματοδότηση για την ανάπτυξη προϊόντων και την εμπορική επέκταση σε όλη τη Βόρεια Αμερική, συμπεριλαμβανομένων ευκαιριών στον χρηματοπιστωτικό τομέα και στον δημόσιο τομέα.

Η προσέγγιση της εταιρείας είναι να δημιουργεί τα δεδομένα τηλεμετρίας που θα παρήγαγε μια επίθεση σε ένα συγκεκριμένο περιβάλλον, χωρίς να πραγματοποιεί την ίδια την επίθεση. Στη συνέχεια, ελέγχει αν οι υφιστάμενες άμυνες αναγνωρίζουν αυτά τα στοιχεία και συμβάλλει στην κάλυψη των κενών. Έτσι, στο επίκεντρο της πρότασής της βρίσκεται η επαλήθευση της ανίχνευσης και όχι απλώς η ταχύτερη διερεύνηση ειδοποιήσεων.

Έλεγχος των στοιχείων πριν από ένα περιστατικό

Τα κέντρα επιχειρήσεων ασφάλειας βασίζονται στην τηλεμετρία: καταγραφές δραστηριότητας σε τερματικά, περιβάλλοντα cloud, ταυτότητες και εφαρμογές. Ένα σύστημα διαχείρισης πληροφοριών και συμβάντων ασφάλειας, ή SIEM, συλλέγει και αναλύει αυτές τις καταγραφές, χρησιμοποιώντας κανόνες ανίχνευσης για τον εντοπισμό ύποπτης συμπεριφοράς.

Η διαδικασία αυτή εξαρτάται από διάφορους παράγοντες. Το σχετικό σύστημα πρέπει να παράγει μια χρήσιμη καταγραφή, η διοχέτευση των δεδομένων πρέπει να τη μεταφέρει και ο μηχανισμός ανίχνευσης πρέπει να ερμηνεύει σωστά τα πεδία. Οι περισσότερες καταγραφές δεν συνεπάγονται αυτομάτως καλύτερη κάλυψη, αν τα στοιχεία που απαιτούνται για μια συγκεκριμένη επίθεση λείπουν ή δεν μπορούν να χρησιμοποιηθούν.

Η Brava αναφέρει ότι η τεχνολογία της, η οποία βασίζεται σε πολλαπλούς πράκτορες, μοντελοποιεί τη συμπεριφορά των επιτιθέμενων και προσδιορίζει πώς θα πρέπει να αποτυπώνονται συγκεκριμένες τεχνικές στις πηγές καταγραφών ενός πελάτη. Στη συνέχεια, η πλατφόρμα της ελέγχει αν αυτά τα ίχνη θα ενεργοποιούσαν τις προβλεπόμενες άμυνες, ανασυντάσσει τους κανόνες ανίχνευσης SIEM που λείπουν και αντιμετωπίζει τα κενά στις ροές δεδομένων.

«Δεν μπορείς να αυτοματοποιήσεις μια απόφαση βασισμένη σε στοιχεία που κανείς δεν έχει ποτέ επαληθεύσει», δήλωσε ο Idan Basre, συνιδρυτής και διευθύνων σύμβουλος της Brava, ο οποίος στο παρελθόν ήταν επικεφαλής διαχείρισης προϊόντων για το Microsoft Defender.

Έχει σημασία η διάκριση ανάμεσα στη δημιουργία στοιχείων και την εκτέλεση μιας επίθεσης. Η Brava δοκιμάζει τη διαδρομή ανίχνευσης μέσω συνθετικών δεδομένων τηλεμετρίας. Αυτό μπορεί να βοηθήσει στον εντοπισμό ενός ανενεργού κανόνα ή ενός πεδίου που λείπει, αλλά μια επιτυχής δοκιμή δεν αποδεικνύει ότι θα εντοπιστεί κάθε παραλλαγή μιας πραγματικής εισβολής ούτε ότι ένας επιτιθέμενος δεν θα μπορούσε να αποκτήσει πρόσβαση στο σύστημα.

Κλείνοντας τον κύκλο από τον κανόνα έως την ειδοποίηση

Η ροή εργασιών του προϊόντος της Brava περιλαμβάνει τέσσερα στάδια: μοντελοποίηση της απειλής, σύνθεση των δεδομένων τηλεμετρίας της, επαλήθευση και αποκατάσταση των κενών στην ανίχνευση και επανάληψη της αναπαραγωγής των στοιχείων, ώστε να επιβεβαιωθεί ότι εμφανίζεται ειδοποίηση στο SIEM. Περιγράφει επίσης την επανάληψη των δοκιμών καθώς αλλάζουν τα περιβάλλοντα.

Αυτό διαφοροποιείται ουσιαστικά από την αντιμετώπιση ενός εγκατεστημένου κανόνα ως επαληθευμένης κάλυψης. Η μετονομασία ενός πεδίου, η ενημέρωση ενός αναλυτή ή η αποσύνδεση μιας πηγής μπορεί να καταστήσει έναν προηγουμένως χρήσιμο μηχανισμό ανίχνευσης ανίκανο να αντιστοιχίσει τη δραστηριότητα για την οποία σχεδιάστηκε. Η επανάληψη μιας δοκιμής μετά από μια αλλαγή βοηθά να διαπιστωθεί αν ο μηχανισμός ανίχνευσης εξακολουθεί να λειτουργεί με τα δεδομένα που πράγματι λαμβάνει.

Η πλατφόρμα έχει σχεδιαστεί ώστε να λειτουργεί με τις υφιστάμενες υποδομές ασφάλειας. Η Brava αναφέρει ότι υποστηρίζει τα Splunk, Google SecOps και CrowdStrike, καθώς και περισσότερες από 70 πηγές και προορισμούς, περιορίζοντας την ανάγκη αντικατάστασης των εργαλείων που ήδη χρησιμοποιεί μια ομάδα ασφάλειας.

Για έναν μηχανικό ανίχνευσης, η πρακτική αξία είναι ότι λαμβάνει μια πιο συγκεκριμένη απάντηση από έναν γενικό δείκτη κάλυψης: ποια στοιχεία θα έπρεπε να υπάρχουν, ποιο σημείο της διαδρομής ανίχνευσης δεν τα εντόπισε και αν η αποκατάσταση οδήγησε σε ειδοποίηση. Αυτά τα ερωτήματα συνδέουν μια μηχανική αλλαγή με ένα παρατηρήσιμο αποτέλεσμα.

Η διερεύνηση και οι διοχετεύσεις δεδομένων στηρίζονται στην ίδια βάση

Ο ιστότοπος της εταιρείας παρουσιάζει δύο συναφείς δυνατότητες. Το Aquarium, το περιβάλλον διερεύνησής της, σχεδιάζει αναζητήσεις σε διάφορες πηγές και συνδέει τα ευρήματα με τα υποκείμενα συμβάντα. Τα εργαλεία της για διοχετεύσεις δεδομένων αναλύουν και κανονικοποιούν τις καταγραφές, δρομολογούν τα σχετικά συμβάντα στο SIEM και διατηρούν τα υπόλοιπα δεδομένα σε οικονομικότερο αποθηκευτικό χώρο όπου είναι δυνατή η αναζήτησή τους.

Οι λειτουργίες αυτές αντιμετωπίζουν διαφορετικές πτυχές του ίδιου επιχειρησιακού προβλήματος. Ένας αναλυτής χρειάζεται στοιχεία για να ανασυνθέσει τι συνέβη, ενώ ένας κανόνας ανίχνευσης χρειάζεται τα κατάλληλα πεδία για να ενεργοποιηθεί. Η μείωση του όγκου των δεδομένων που εισάγονται είναι χρήσιμη μόνο αν παραμένουν διαθέσιμες οι πληροφορίες που είναι απαραίτητες για την ανίχνευση και τη διερεύνηση.

Στην ανακοίνωσή της, η Brava αναφέρει ότι η πλατφόρμα παρέχει τις πρώτες πληροφορίες μέσα σε 10–15 λεπτά από την ένταξη του πελάτη. Πρόκειται για χρόνο μέχρι τα πρώτα ευρήματα, όπως τον αναφέρει η εταιρεία, και όχι για εγγύηση ότι μια πλήρης εταιρική εγκατάσταση ή κάθε αποκατάσταση μηχανισμού ανίχνευσης ολοκληρώνεται μέσα σε αυτό το διάστημα.

Εταιρικοί πελάτες και ομάδα με επίκεντρο την τεχνητή νοημοσύνη και την ασφάλεια

Η Brava αναφέρει ότι διαθέτει πελάτες από τη λίστα Fortune 100 στους κλάδους του λιανεμπορίου, της ενέργειας και της φιλοξενίας, καθώς και τις Cushman & Wakefield και WELL Health, καναδική εταιρεία υγειονομικής περίθαλψης. Ο Erik Hart, CISO της Cushman & Wakefield, δήλωσε ότι η πλατφόρμα διερευνά περιστατικά σε συνεργασία με την ομάδα του και συγκεντρώνει στοιχεία για να υποστηρίζει τη λήψη αποφάσεων.

Η εταιρεία ιδρύθηκε από τον Basre και τον τεχνικό διευθυντή (CTO) Itay Gabbay. Πριν αναλάβει τον ρόλο του στη Microsoft, ο Basre εργάστηκε επί δέκα χρόνια στη Μονάδα 8200 ως ερευνητής απειλών. Ο Gabbay πέρασε επτά χρόνια αναπτύσσοντας συστήματα τεχνητής νοημοσύνης στις Ισραηλινές Αμυντικές Δυνάμεις (IDF), μεταξύ άλλων στο πλαίσιο ενός κοινού ερευνητικού προγράμματος της DARPA και του Ισραήλ.

Η Brava έχει περίπου 20 εργαζομένους, με την έρευνα και ανάπτυξη να πραγματοποιείται στο Ισραήλ και την εμπορική ομάδα να επεκτείνεται στις Ηνωμένες Πολιτείες. Η χρηματοδότηση στηρίζει ένα προϊόν που συνδυάζει την έρευνα στην τεχνητή νοημοσύνη με μια απαιτητική εργασία μηχανικής ασφάλειας: τη μοντελοποίηση του τρόπου με τον οποίο εκδηλώνονται οι επιθέσεις στα συγκεκριμένα συστήματα που χρησιμοποιεί κάθε επιχείρηση.

Η βασική παραδοχή της εταιρείας είναι ότι οι αυτόνομες αποφάσεις ασφάλειας χρειάζονται επικυρωμένα τεκμήρια για να στηρίζονται σε αυτά. Η ισχυρότερη δοκιμασία αυτής της παραδοχής θα είναι η διατήρηση υψηλής ποιότητας στον εντοπισμό απειλών καθώς αλλάζουν τα περιβάλλοντα των πελατών: λιγότεροι σιωπηλοί κανόνες, λιγότερα σήματα που λείπουν και διορθώσεις για τις οποίες οι ομάδες ασφάλειας μπορούν να αποδείξουν ότι πράγματι λειτουργούν.