Brava Security lève 15 millions de dollars pour tester ce que les défenses cyber fondées sur l’IA peuvent réellement détecter

Brava Security sort de sa période de discrétion avec un financement d’amorçage de 15 millions de dollars pour remédier à une faiblesse fondamentale de la cyberdéfense assistée par l’IA : un analyste automatisé ne peut pas enquêter sur une attaque si les systèmes de sécurité sous-jacents ne la détectent jamais.

Le tour de table a été mené par F2 Venture Capital et Pitango, avec la participation, à titre d’investisseurs providentiels, de dirigeants d’Anthropic, de Microsoft et de Check Point. Brava prévoit d’utiliser ces fonds pour développer ses produits et étendre ses activités commerciales en Amérique du Nord, notamment dans les services financiers et le secteur public.

L’entreprise génère les données de télémétrie qu’une attaque produirait dans un environnement donné, sans mener l’attaque elle-même. Elle vérifie ensuite si les défenses en place reconnaissent ces éléments et contribue à corriger les lacunes. Son argumentaire est donc centré sur la validation de la détection, et non simplement sur l’accélération de l’analyse des alertes.

Tester les éléments de preuve avant un incident

Les centres des opérations de sécurité s’appuient sur la télémétrie : des enregistrements de l’activité sur les terminaux, dans les environnements infonuagiques, au sein des systèmes d’identité et dans les applications. Un système de gestion des informations et des événements de sécurité (SIEM) recueille et analyse ces enregistrements en s’appuyant sur des règles de détection pour repérer les comportements suspects.

Ce processus dépend de plusieurs éléments. Le système concerné doit produire un enregistrement exploitable, le pipeline doit le transmettre et le mécanisme de détection doit interpréter correctement les champs. Un plus grand nombre de journaux ne garantit pas une meilleure couverture si les éléments nécessaires pour détecter une attaque donnée sont absents ou inutilisables.

Brava affirme que sa technologie multiagents modélise le comportement des attaquants et détermine comment des techniques précises devraient apparaître dans les sources de journaux d’un client. Sa plateforme vérifie ensuite si ces traces déclencheraient les défenses prévues, réécrit les règles de détection SIEM manquantes et remédie aux lacunes des flux de données.

« On ne peut pas automatiser une décision à partir d’éléments de preuve que personne n’a jamais validés », a déclaré Idan Basre, cofondateur et PDG de Brava, qui a auparavant dirigé la gestion des produits pour Microsoft Defender.

La distinction entre la génération d’éléments de preuve et l’exécution d’une attaque est importante. Brava teste le processus de détection au moyen de données de télémétrie synthétiques. Cela peut aider à repérer une règle inactive ou un champ manquant, mais la réussite d’un test ne prouve pas que toutes les variantes d’une intrusion réelle seront détectées ni qu’un attaquant ne pourrait pas accéder au système.

Relier une règle à une alerte

Le processus de travail du produit de Brava comprend quatre étapes : modéliser la menace, synthétiser ses données de télémétrie, vérifier et corriger les lacunes de détection, puis rejouer les éléments de preuve pour confirmer qu’une alerte apparaît dans le SIEM. L’entreprise indique également que les tests sont répétés à mesure que les environnements évoluent.

Il est utile de distinguer cette approche du fait de considérer une règle installée comme une couverture vérifiée. Le renommage d’un champ, la mise à jour d’un analyseur ou la déconnexion d’une source peuvent empêcher une règle de détection jusque-là utile de reconnaître l’activité pour laquelle elle a été conçue. Répéter un test après une modification permet de déterminer si la règle fonctionne toujours avec les données qu’elle reçoit réellement.

La plateforme est conçue pour fonctionner avec l’infrastructure de sécurité existante. Brava cite Splunk, Google SecOps, CrowdStrike et plus de 70 sources et destinations, ce qui réduit la nécessité de remplacer les outils déjà utilisés par une équipe de sécurité.

Pour un ingénieur en détection, l’intérêt pratique est d’obtenir une réponse plus précise qu’un simple score de couverture générique : quels éléments de preuve devraient être présents, quelle partie du processus de détection ne les a pas pris en compte et si la correction a généré une alerte. Ces questions relient une modification technique à un résultat observable.

Enquête et pipelines de données : un socle commun

Le site de l’entreprise présente deux fonctionnalités connexes. Aquarium, son interface d’investigation, planifie des recherches dans différentes sources et relie les résultats aux événements sous-jacents. Ses outils de pipeline de données analysent et normalisent les enregistrements, acheminent les événements pertinents vers le SIEM et conservent les autres données dans un espace de stockage interrogeable à moindre coût.

Ces fonctions répondent à différents aspects d’un même problème opérationnel. Un analyste a besoin d’éléments de preuve pour reconstituer les faits, tandis qu’une règle de détection doit disposer des bons champs pour se déclencher. Réduire le volume de données ingérées n’est utile que si les informations nécessaires à la détection et à l’investigation restent accessibles.

Dans son communiqué, Brava indique que la plateforme fournit ses premiers résultats entre 10 et 15 minutes après l’intégration. Il s’agit du délai annoncé par l’entreprise pour obtenir les premiers résultats, et non d’une garantie qu’un déploiement complet en entreprise ou que toutes les corrections de détection seront achevés dans ce délai.

Des clients dans de grandes entreprises et une équipe à la croisée de l’IA et de la sécurité

Brava indique compter parmi ses clients des entreprises du Fortune 100 dans les secteurs du commerce de détail, de l’énergie et de l’hôtellerie, ainsi que Cushman & Wakefield et WELL Health, une entreprise canadienne du secteur de la santé. Erik Hart, directeur de la sécurité des systèmes d’information de Cushman & Wakefield, a déclaré que la plateforme mène des investigations aux côtés de son équipe et rassemble les éléments de preuve pour éclairer les décisions.

L’entreprise a été fondée par Basre et Itay Gabbay, son directeur technique. Avant de rejoindre Microsoft, Basre a passé dix ans au sein de l’Unit 8200 comme chercheur en menaces. Gabbay a passé sept ans à développer des systèmes d’IA au sein de l’IDF, notamment dans le cadre d’un programme de recherche conjoint entre la DARPA et Israël.

Brava compte environ 20 employés. Ses activités de recherche et développement sont basées en Israël, tandis que son équipe commerciale se développe aux États-Unis. Le financement soutient un produit qui associe la recherche en IA à une tâche exigeante d’ingénierie de la sécurité : modéliser la manière dont les attaques se manifestent dans les systèmes spécifiques utilisés par une entreprise.

Le postulat de l’entreprise est que les décisions autonomes en matière de sécurité doivent reposer sur des preuves validées. La meilleure façon de vérifier ce postulat sera d’évaluer durablement la qualité de la détection à mesure que les environnements des clients évoluent : moins de règles silencieuses, moins de signaux manquants et des correctifs dont les équipes de sécurité peuvent démontrer qu’ils fonctionnent réellement.