Brava Security keräsi 15 miljoonaa dollaria testatakseen, mitä tekoälyyn perustuva kyberpuolustus todella pystyy havaitsemaan

Brava Security on tullut julkisuuteen stealth-vaiheesta kerättyään 15 miljoonan dollarin siemenrahoituksen. Yhtiö pyrkii ratkaisemaan tekoälyavusteisen kyberpuolustuksen perustavanlaatuisen heikkouden: automatisoitu analyytikko ei voi tutkia hyökkäystä, jos taustalla olevat tietoturvajärjestelmät eivät koskaan havaitse sitä.

Rahoituskierrosta johtivat F2 Venture Capital ja Pitango, ja siihen osallistui enkelisijoittajina Anthropic-, Microsoft- ja Check Point -yhtiöiden johtajia. Brava aikoo käyttää rahoituksen tuotekehitykseen ja kaupalliseen laajentumiseen Pohjois-Amerikassa, myös rahoituspalvelualalla ja julkishallinnossa.

Yhtiö tuottaa tietyssä ympäristössä sellaista telemetriatietoa, jota hyökkäys synnyttäisi, toteuttamatta itse hyökkäystä. Sen jälkeen se tarkistaa, tunnistavatko nykyiset puolustusjärjestelmät nämä jäljet, ja auttaa korjaamaan havaitut puutteet. Yhtiön tarjonnan ytimessä on siis tunnistusten toimivuuden varmistaminen, ei pelkästään hälytysten nopeampi tutkiminen.

Jälkien testaaminen ennen tietoturvapoikkeamaa

Tietoturvavalvomot tarvitsevat telemetriatietoja eli tietueita päätelaitteiden, pilviympäristöjen, käyttäjätunnusten ja sovellusten toiminnasta. Tietoturvatietojen ja tapahtumien hallintajärjestelmä eli SIEM kerää ja analysoi näitä tietueita sekä tunnistaa epäilyttävää toimintaa tunnistussääntöjen avulla.

Tämä prosessi riippuu useasta tekijästä. Asianmukaisen järjestelmän on tuotettava hyödyllinen tietue, tiedonsiirtoketjun on toimitettava se perille, ja tunnistuksen on tulkittava kentät oikein. Lokien lisääminen ei automaattisesti paranna kattavuutta, jos tiettyä hyökkäystä koskevat jäljet puuttuvat tai niitä ei voida käyttää.

Bravan mukaan sen moniagenttiteknologia mallintaa hyökkääjien toimintaa ja määrittää, miltä tietyt tekniikat näyttäisivät asiakkaan eri lokilähteissä. Alusta testaa sitten, aktivoisivatko nämä jäljet tarkoitetut puolustusmekanismit, luo puuttuvat SIEM-tunnistukset uudelleen ja korjaa tietosyötteiden puutteita.

”Et voi automatisoida päätöstä sellaisten todisteiden perusteella, joita kukaan ei ole koskaan varmistanut”, sanoi Bravan toinen perustaja ja toimitusjohtaja Idan Basre, joka johti aiemmin Microsoft Defenderin tuotehallintaa.

Sillä on merkitystä, tuotetaanko jälkiä vai toteutetaanko hyökkäys. Brava testaa tunnistusketjua synteettisen telemetrian avulla. Näin voidaan paljastaa esimerkiksi toimimaton sääntö tai puuttuva kenttä, mutta onnistunut testi ei todista, että kaikki todellisen tunkeutumisen muunnelmat havaitaan tai ettei hyökkääjä voisi päästä järjestelmään.

Säännön ja hälytyksen välisen ketjun sulkeminen

Bravan tuotteen työnkulku koostuu neljästä vaiheesta: uhkan mallintamisesta, sen telemetriatietojen tuottamisesta, tunnistuspuutteiden varmistamisesta ja korjaamisesta sekä jälkien toistamisesta sen vahvistamiseksi, että SIEM-järjestelmässä näkyy hälytys. Yhtiö kertoo myös testaavansa järjestelmää uudelleen ympäristön muuttuessa.

Tämä on tärkeä ero verrattuna siihen, että asennettua sääntöä pidettäisiin todennettuna kattavuutena. Kentän nimen muutos, jäsennysohjelman päivitys tai yhteyden katkeaminen tietolähteeseen voi estää aiemmin hyödyllistä tunnistusta havaitsemasta toimintaa, jota varten se on laadittu. Testin toistaminen muutoksen jälkeen auttaa selvittämään, toimiiko tunnistus edelleen sillä datalla, jota se todella saa.

Alusta on suunniteltu toimimaan nykyisen tietoturvainfrastruktuurin kanssa. Brava mainitsee Splunkin, Google SecOpsin, CrowdStriken sekä yli 70 tietolähdettä ja kohdetta, mikä vähentää tarvetta korvata tietoturvatiimin jo käyttämiä työkaluja.

Tunnistusten kehittäjälle käytännön hyöty on yleistä kattavuuspistemäärää täsmällisempi vastaus: mitä jälkiä pitäisi olla olemassa, missä tunnistusketjun vaiheessa ne jäivät huomaamatta ja synnyttikö korjaus hälytyksen. Näin tekninen muutos voidaan yhdistää havaittavaan tulokseen.

Tutkinta ja tietoputket perustuvat samaan pohjaan

Yhtiön verkkosivustolla esitellään kaksi tähän liittyvää ominaisuutta. Aquarium, yhtiön tutkintakäyttöliittymä, suunnittelee hakuja eri lähteistä ja linkittää löydökset niitä vastaaviin tapahtumiin. Tietoputkityökalut jäsentävät ja yhdenmukaistavat tietueita, ohjaavat olennaiset tapahtumat SIEM-järjestelmään ja tallentavat muut tiedot haettavissa olevaan, edullisempaan tallennustilaan.

Nämä toiminnot ratkaisevat saman operatiivisen ongelman eri puolia. Analyytikko tarvitsee todisteita tapahtumien kulun selvittämiseen, kun taas tunnistussääntö tarvitsee oikeat kentät käynnistyäkseen. Tietojen sisäänoton määrän vähentämisestä on hyötyä vain, jos tunnistamiseen ja tutkintaan tarvittavat tiedot säilyvät saatavilla.

Bravan tiedotteen mukaan alusta tuottaa ensimmäiset havainnot 10–15 minuutissa käyttöönotosta. Kyse on yhtiön ilmoittamasta ajasta ensimmäisiin löydöksiin, ei takuusta, että koko yritystason käyttöönotto tai jokainen tunnistuspuutteen korjaus valmistuisi tässä ajassa.

Yritysasiakkaita ja tekoälyn sekä tietoturvan ympärille rakentunut tiimi

Bravan mukaan sen asiakkaisiin kuuluu Fortune 100 -yrityksiä vähittäiskaupan, energia-alan ja majoituspalvelujen parista sekä Cushman & Wakefield ja kanadalainen terveydenhuoltoyhtiö WELL Health. Cushman & Wakefieldin tietoturvajohtaja Erik Hart sanoi, että alusta tutkii tapahtumia hänen tiiminsä rinnalla ja kokoaa todisteet päätöksenteon tueksi.

Yrityksen perustivat Basre ja teknologiajohtaja Itay Gabbay. Basre työskenteli kymmenen vuotta yksikössä 8200 uhkatutkijana ennen siirtymistään Microsoftille. Gabbay rakensi seitsemän vuoden ajan tekoälyjärjestelmiä IDF:ssä. Työhön kuului myös osallistuminen DARPA:n ja Israelin yhteiseen tutkimusohjelmaan.

Bravalla on noin 20 työntekijää. Tutkimus- ja kehitystyötä tehdään Israelissa, ja Yhdysvaltojen kaupallinen tiimi kasvaa. Rahoituksella tuetaan tuotetta, jossa tekoälytutkimus yhdistyy vaativaan tietoturvatekniikan tehtävään: mallintamaan, miten hyökkäykset ilmenevät yrityksen käyttämissä järjestelmissä.

Yrityksen lähtökohtana on, että itsenäisten tietoturvapäätösten tueksi tarvitaan todennettua näyttöä. Vahvin osoitus tämän lähtökohdan paikkansapitävyydestä on havaintojen laadun säilyminen asiakkaiden ympäristöjen muuttuessa: vähemmän hiljaisia sääntöjä, vähemmän puuttuvia signaaleja ja korjauksia, joiden tietoturvatiimit pystyvät osoittamaan todella toimivan.