AIサイバー防御が実際に何を検知できるかを検証するため、Brava Securityが1,500万ドルを調達

Brava Securityは、シード資金として1,500万ドルを調達し、ステルス状態を脱した。AIを活用したサイバー防御にある根本的な弱点への対応を目指す。つまり、基盤となるセキュリティシステムが攻撃を検知できなければ、自動化されたアナリストはその攻撃を調査できない。

今回の資金調達ラウンドはF2 Venture CapitalとPitangoが主導し、Anthropic、Microsoft、Check Pointの幹部らもエンジェル投資家として参加した。Bravaはこの資金を、金融サービスや政府機関向けの事業機会を含む北米での製品開発と事業拡大に充てる計画だ。

同社のアプローチは、攻撃そのものは実行せず、特定の環境で攻撃が発生した場合に生じるテレメトリーを生成するというものだ。次に、既存の防御システムがその証拠を認識できるかを確認し、不足部分の修正を支援する。つまり、同社が提案の中心に据えるのは、単にアラート調査を迅速化することではなく、検知機能を検証することだ。

インシデント発生前に証拠を検証する

セキュリティオペレーションセンターは、エンドポイント、クラウド環境、ID、アプリケーション全体の活動記録であるテレメトリーに依存している。セキュリティ情報イベント管理システム（SIEM）は、検知ルールを使ってこれらの記録を収集・分析し、不審な挙動を特定する。

このプロセスには、いくつかの要件がある。関連するシステムが有用な記録を生成し、データパイプラインがそれを届け、検知機能が各フィールドを正しく解釈しなければならない。特定の攻撃を示す証拠が欠けていたり、利用できなかったりする場合、ログを増やしても自動的にカバー範囲が広がるわけではない。

Bravaによると、同社のマルチエージェント技術は攻撃者の行動をモデル化し、特定の手法が顧客のログソースにどのように記録されるべきかを特定する。そのうえで、プラットフォームがその痕跡によって意図した防御が作動するかを検証し、不足しているSIEM検知ルールを書き直すとともに、データフィードの欠落にも対処する。

「誰も証明したことのない証拠に基づいて、意思決定を自動化することはできません」と、Bravaの共同創業者兼CEOで、以前はMicrosoft Defenderのプロダクトマネジメントを率いていたIdan Basre氏は語った。

証拠の生成と攻撃の実行を区別することは重要だ。Bravaは、合成したテレメトリーを使って検知の経路を検証している。これにより、反応しないルールや欠落したフィールドを見つけられる可能性がある。ただし、テストに成功しても、実際の侵入のあらゆる亜種を検知できる証明にはならず、攻撃者がシステムに侵入できないことを示すものでもない。

ルールからアラートまでの連携を確立する

Bravaの製品のワークフローは、脅威のモデル化、テレメトリーの合成、検知の不足部分の検証と修正、そしてSIEMにアラートが表示されることを確認するための証拠の再生、という4段階を示している。また、環境の変化に応じて再テストすることも説明している。

これは、ルールを導入しただけでカバー範囲が検証済みだとみなすこととは異なる。フィールド名の変更、パーサーの更新、データソースの切断によって、以前は有効だった検知機能が、想定していた活動に一致しなくなることがある。変更後にテストを繰り返せば、検知機能が実際に受け取るデータで引き続き機能するかを判断できる。

このプラットフォームは、既存のセキュリティインフラと連携するよう設計されている。Bravaは、Splunk、Google SecOps、CrowdStrikeに加え、70を超えるデータソースと送信先に対応するとしており、セキュリティチームがすでに運用しているツールを置き換える必要性を減らす。

検知エンジニアにとっての実用的な価値は、一般的なカバー率スコアよりも具体的な答えが得られることだ。どのような証拠が存在すべきか、検知の経路のどこで見落とされたのか、修正によってアラートが生成されたかを確認できる。こうした問いによって、エンジニアリング上の変更を観測可能な結果と結びつけられる。

調査とデータパイプラインを支える共通基盤

同社のウェブサイトでは、関連する2つの機能も紹介されている。調査インターフェースのAquariumは、複数のデータソースを横断して検索し、調査結果を基となるイベントに結びつける機能を計画している。同社のデータパイプラインツールは、記録を解析・正規化し、関連イベントをSIEMに転送する一方、その他のデータは検索可能な低コストのストレージに保存する。

これらの機能は、同じ運用上の課題の異なる側面に対応する。アナリストは何が起きたのかを再構成するための証拠を必要とし、検知ルールは作動するために適切なフィールドを必要とする。取り込みデータ量を減らすことが有益なのは、検知と調査に必要な情報を引き続き利用できる場合に限られる。

Bravaの発表によると、プラットフォームは導入後10～15分以内に初期の分析結果を提供する。これは、最初の結果が得られるまでの時間について同社が公表したものであり、エンタープライズ環境への導入が完了するまで、あるいはすべての検知機能の修正が完了するまでの時間を保証するものではない。

エンタープライズ顧客とAI・セキュリティを軸に構成されたチーム

Bravaによると、小売、エネルギー、ホスピタリティ分野のフォーチュン100企業に加え、Cushman & Wakefieldとカナダのヘルスケア企業WELL Healthが顧客となっている。Cushman & WakefieldのCISOであるErik Hart氏は、このプラットフォームは自社チームと連携して調査を行い、意思決定を支えるための証拠をまとめてくれると述べた。

同社はBasreと、最高技術責任者（CTO）のItay Gabbayによって創業された。BasreはMicrosoftでの勤務を始める前、Unit 8200で脅威研究者として10年間勤務した。Gabbayはイスラエル国防軍（IDF）で7年間にわたりAIシステムを開発し、DARPAとイスラエルの共同研究プログラムにも携わった。

Bravaの従業員は約20人で、イスラエルに研究開発拠点を置き、米国では営業チームを拡大している。今回の資金は、AI研究と、高度なセキュリティエンジニアリングの課題、すなわち企業が利用する個々のシステム上で攻撃がどのように現れるかをモデル化する製品を支える。

同社の基本的な考え方は、自律的なセキュリティ判断には、その根拠となる検証済みの証拠が必要だというものだ。この考え方を最も厳しく試すのは、顧客環境が変化する中でも検知品質を持続できるかどうかだ。具体的には、機能しないまま放置されたルールや欠落したシグナルを減らし、セキュリティチームが実際に有効だと実証できる修復を実現することだ。