Brava Security recauda 15 millones de dólares para probar qué pueden detectar realmente las defensas cibernéticas de IA

Brava Security sale del modo sigiloso con 15 millones de dólares de financiación inicial para abordar una debilidad básica de la ciberdefensa asistida por IA: un analista automatizado no puede investigar un ataque si los sistemas de seguridad subyacentes nunca lo detectan.

La ronda fue liderada por F2 Venture Capital y Pitango, con la participación de inversores ángeles que son directivos de Anthropic, Microsoft y Check Point. Brava planea destinar los fondos al desarrollo de productos y a su expansión comercial en Norteamérica, incluidas oportunidades en los sectores de servicios financieros y administración pública.

El enfoque de la empresa consiste en generar la telemetría que produciría un ataque en un entorno determinado, sin llevarlo a cabo. Después, comprueba si las defensas existentes reconocen esos indicios y ayuda a corregir las brechas. Así, su propuesta se centra en validar la detección, en lugar de limitarse a acelerar la investigación de alertas.

Probar los indicios antes de que ocurra un incidente

Los centros de operaciones de seguridad se basan en la telemetría: registros de actividad en terminales, entornos en la nube, identidades y aplicaciones. Un sistema de gestión de información y eventos de seguridad, o SIEM, recopila y analiza esos registros y utiliza reglas de detección para identificar comportamientos sospechosos.

Ese proceso depende de varios factores. El sistema correspondiente debe generar un registro útil, la canalización debe entregarlo y el mecanismo de detección debe interpretar correctamente sus campos. Tener más registros no implica automáticamente una mejor cobertura si los indicios necesarios para detectar un ataque concreto no están disponibles o no se pueden utilizar.

Brava afirma que su tecnología multiagente modela el comportamiento de los atacantes e identifica cómo deberían aparecer técnicas específicas en las distintas fuentes de registros de un cliente. A continuación, su plataforma comprueba si esos rastros activarían las defensas previstas, reescribe las detecciones de SIEM que faltan y aborda las brechas en los flujos de datos.

«No se puede automatizar una decisión basándose en indicios que nadie ha demostrado», afirmó Idan Basre, cofundador y director ejecutivo de Brava, quien anteriormente dirigió la gestión de productos de Microsoft Defender.

Es importante distinguir entre generar indicios y ejecutar un ataque. Brava prueba la ruta de detección mediante telemetría sintética. Esto puede ayudar a descubrir una regla que no se activa o un campo que falta, pero una prueba satisfactoria no demuestra que se detectarán todas las variantes de una intrusión real ni que un atacante no podría acceder al sistema.

Cerrar el ciclo entre una regla y una alerta

El flujo de trabajo del producto de Brava consta de cuatro etapas: modelar la amenaza, sintetizar su telemetría, verificar y corregir las brechas de detección, y reproducir los indicios para confirmar que aparezca una alerta en el SIEM. También contempla repetir las pruebas a medida que cambian los entornos.

Esto permite distinguir entre tener una regla instalada y contar con una cobertura verificada. Un cambio de nombre de campo, una actualización del analizador o una fuente desconectada pueden hacer que una detección que antes era útil deje de identificar la actividad para la que se creó. Repetir la prueba después de un cambio ayuda a determinar si la detección sigue funcionando con los datos que recibe realmente.

La plataforma está diseñada para funcionar con la infraestructura de seguridad existente. Brava menciona Splunk, Google SecOps, CrowdStrike y más de 70 fuentes y destinos, lo que reduce la necesidad de reemplazar las herramientas que ya utiliza un equipo de seguridad.

Para un ingeniero de detección, el valor práctico consiste en obtener una respuesta más concreta que una puntuación genérica de cobertura: qué indicios deberían existir, qué parte de la ruta de detección no los identificó y si la corrección generó una alerta. Estas preguntas vinculan un cambio de ingeniería con un resultado observable.

La investigación y las canalizaciones de datos comparten los mismos fundamentos

El sitio web de la empresa añade dos capacidades relacionadas. Aquarium, su interfaz de investigación, permite planificar búsquedas en distintas fuentes y vincular los hallazgos con los eventos subyacentes. Sus herramientas de canalización de datos analizan y normalizan registros, dirigen los eventos pertinentes al SIEM y conservan los demás datos en un almacenamiento de menor costo en el que se pueden realizar búsquedas.

Estas funciones abordan distintas partes del mismo problema operativo. Un analista necesita indicios para reconstruir lo sucedido, mientras que una regla de detección necesita los campos adecuados para activarse. Reducir el volumen de datos ingeridos solo es útil si sigue estando disponible la información necesaria para la detección y la investigación.

En su comunicado, Brava afirma que la plataforma ofrece los primeros hallazgos entre 10 y 15 minutos después de la incorporación. Se trata del tiempo hasta obtener los primeros resultados, según la empresa, y no de una garantía de que una implementación empresarial completa o todas las correcciones de detección se completen dentro de ese plazo.

Clientes empresariales y un equipo especializado en IA y seguridad

Brava informa que tiene clientes de Fortune 100 en los sectores minorista, energético y hotelero, además de Cushman & Wakefield y WELL Health, una empresa canadiense del sector sanitario. Erik Hart, director de seguridad de la información de Cushman & Wakefield, afirmó que la plataforma investiga junto con su equipo y reúne indicios para respaldar la toma de decisiones.

La empresa fue fundada por Basre y su director de tecnología, Itay Gabbay. Antes de trabajar en Microsoft, Basre pasó diez años en la Unidad 8200 como investigador de amenazas. Gabbay pasó siete años desarrollando sistemas de IA en las FDI, incluido su trabajo en un programa conjunto de investigación de DARPA e Israel.

Brava tiene aproximadamente 20 empleados, con equipos de investigación y desarrollo en Israel y un equipo comercial que se está expandiendo en Estados Unidos. La financiación respalda un producto que combina la investigación en IA con una exigente tarea de ingeniería de seguridad: modelar cómo se manifiestan los ataques en los sistemas específicos que utiliza una empresa.

La premisa de la empresa es que las decisiones autónomas de seguridad necesitan pruebas validadas que las sustenten. La prueba más exigente de esa premisa será mantener una alta calidad de detección a medida que cambien los entornos de los clientes: menos reglas silenciosas, menos señales ausentes y correcciones cuyo funcionamiento real puedan demostrar los equipos de seguridad.