Brava Security raccoglie 15 milioni di dollari per verificare cosa riescono davvero a rilevare le difese informatiche basate sull’IA

Brava Security è uscita dalla modalità stealth con un finanziamento seed di 15 milioni di dollari per affrontare una debolezza fondamentale nella difesa informatica assistita dall’IA: un analista automatizzato non può indagare su un attacco se i sistemi di sicurezza sottostanti non lo rilevano.

Il round è stato guidato da F2 Venture Capital e Pitango, con la partecipazione, in qualità di angel investor, di dirigenti di Anthropic, Microsoft e Check Point. Brava intende utilizzare i fondi per sviluppare il prodotto e ampliare le attività commerciali in Nord America, anche nei settori dei servizi finanziari e della pubblica amministrazione.

L’approccio dell’azienda consiste nel generare la telemetria che un attacco produrrebbe in uno specifico ambiente, senza eseguire l’attacco stesso. Verifica poi se le difese esistenti riconoscono queste evidenze e contribuisce a colmare le lacune. Al centro della sua proposta c’è quindi la convalida dei sistemi di rilevamento, non semplicemente un’indagine più rapida sugli avvisi.

Verificare le evidenze prima di un incidente

I centri operativi di sicurezza si basano sulla telemetria: registrazioni delle attività su endpoint, ambienti cloud, identità e applicazioni. Un sistema di gestione delle informazioni e degli eventi di sicurezza, o SIEM, raccoglie e analizza queste registrazioni e utilizza regole di rilevamento per identificare comportamenti sospetti.

Questo processo dipende da diversi fattori. Il sistema interessato deve produrre registrazioni utili, la pipeline deve trasmetterle e il sistema di rilevamento deve interpretarne correttamente i campi. Un numero maggiore di log non garantisce automaticamente una copertura migliore se le evidenze necessarie per un determinato attacco mancano o non sono utilizzabili.

Brava afferma che la sua tecnologia multi-agente modella il comportamento degli attaccanti e individua come dovrebbero apparire specifiche tecniche nelle fonti di log di un cliente. La piattaforma verifica poi se queste tracce attiverebbero le difese previste, riscrive le regole di rilevamento SIEM mancanti e affronta le lacune nei flussi di dati.

«Non si può automatizzare una decisione basandosi su evidenze che nessuno ha mai verificato», ha dichiarato Idan Basre, cofondatore e CEO di Brava, che in precedenza ha guidato la gestione dei prodotti per Microsoft Defender.

La distinzione tra generare evidenze ed eseguire un attacco è importante. Brava verifica il percorso di rilevamento tramite telemetria sintetizzata. Questo può aiutare a individuare una regola che non genera avvisi o un campo mancante, ma il buon esito di un test non dimostra che verranno rilevate tutte le varianti di un’intrusione reale né che un attaccante non potrebbe raggiungere il sistema.

Colmare il divario tra una regola e un avviso

Il flusso di lavoro del prodotto di Brava prevede quattro fasi: modellare la minaccia, sintetizzarne la telemetria, verificare e correggere le lacune nel rilevamento e riprodurre le evidenze per confermare che nel SIEM compaia un avviso. L’azienda descrive anche la ripetizione dei test al variare degli ambienti.

Questo approccio si distingue utilmente dal considerare una regola installata come prova di una copertura verificata. La modifica del nome di un campo, l’aggiornamento di un parser o la disconnessione di una fonte possono impedire a un sistema di rilevamento, prima utile, di riconoscere l’attività per cui era stato progettato. Ripetere un test dopo una modifica aiuta a determinare se il sistema di rilevamento funziona ancora con i dati che riceve effettivamente.

La piattaforma è progettata per integrarsi con l’infrastruttura di sicurezza esistente. Brava elenca Splunk, Google SecOps, CrowdStrike e oltre 70 fonti e destinazioni, riducendo la necessità di sostituire gli strumenti già utilizzati da un team di sicurezza.

Per un ingegnere dei sistemi di rilevamento, il valore pratico consiste nel fornire una risposta più specifica rispetto a un generico punteggio di copertura: quali evidenze dovrebbero essere presenti, quale parte del percorso di rilevamento non le ha intercettate e se la correzione ha generato un avviso. Queste domande collegano una modifica tecnica a un risultato osservabile.

Indagini e pipeline di dati condividono le stesse basi

Il sito web dell’azienda presenta due funzionalità correlate. Aquarium, la sua interfaccia per le indagini, consente di pianificare ricerche tra diverse fonti e collega i risultati agli eventi sottostanti. I suoi strumenti per le pipeline di dati analizzano e normalizzano le registrazioni, instradano gli eventi pertinenti al SIEM e conservano gli altri dati in uno spazio di archiviazione ricercabile e meno costoso.

Queste funzionalità affrontano aspetti diversi dello stesso problema operativo. A un analista servono evidenze per ricostruire quanto accaduto, mentre una regola di rilevamento ha bisogno dei campi giusti per attivarsi. Ridurre il volume dei dati acquisiti è utile solo se le informazioni necessarie per il rilevamento e le indagini restano disponibili.

Nel comunicato di Brava si afferma che la piattaforma fornisce i primi risultati entro 10–15 minuti dall’onboarding. Si tratta del tempo dichiarato dall’azienda per ottenere i primi risultati, non di una garanzia che un’implementazione aziendale completa o ogni intervento correttivo sui sistemi di rilevamento si concludano entro tale intervallo.

Clienti aziendali e un team incentrato su IA e sicurezza

Brava dichiara di avere clienti della lista Fortune 100 nei settori della vendita al dettaglio, dell’energia e dell’ospitalità, oltre a Cushman & Wakefield e alla società sanitaria canadese WELL Health. Erik Hart, CISO di Cushman & Wakefield, ha affermato che la piattaforma svolge indagini insieme al suo team e riunisce le evidenze a supporto delle decisioni.

L’azienda è stata fondata da Basre e da Itay Gabbay, direttore tecnico. Prima di entrare in Microsoft, Basre ha trascorso dieci anni nell’Unità 8200 come ricercatore di minacce. Gabbay ha passato sette anni a sviluppare sistemi di IA nell’IDF, lavorando anche a un programma di ricerca congiunto DARPA-israeliano.

Brava ha circa 20 dipendenti, con le attività di ricerca e sviluppo in Israele e un team commerciale in espansione negli Stati Uniti. Il finanziamento sostiene un prodotto che unisce la ricerca sull’IA a una complessa sfida di ingegneria della sicurezza: modellare il modo in cui gli attacchi si manifestano nei sistemi specifici utilizzati da un’azienda.

La premessa dell’azienda è che le decisioni autonome in materia di sicurezza debbano poggiare su prove convalidate. La prova più solida di questa premessa sarà la capacità di rilevamento mantenuta nel tempo al variare degli ambienti dei clienti: meno regole che non generano avvisi, meno segnali mancanti e riparazioni di cui i team di sicurezza possano dimostrare l’effettiva efficacia.