Brava Security, AI 사이버 방어가 실제로 탐지할 수 있는 것을 시험하기 위해 1,500만 달러 유치

Brava Security가 시드 투자금 1,500만 달러를 유치하며 비공개 개발 단계에서 나왔다. AI를 활용한 사이버 방어의 근본적인 약점을 해결하기 위해서다. 기반이 되는 보안 시스템이 공격을 전혀 탐지하지 못한다면 자동화된 분석가도 공격을 조사할 수 없다.

이번 투자 라운드는 F2 Venture Capital과 Pitango가 주도했으며, Anthropic, Microsoft, Check Point의 임원들도 엔젤 투자자로 참여했다. Brava는 투자금을 제품 개발과 북미 지역 사업 확장에 사용할 계획이며, 금융 서비스와 정부 부문에서의 사업 기회도 모색할 예정이다.

이 회사는 실제 공격을 수행하지 않고도 특정 환경에서 공격이 일어났다면 생성됐을 텔레메트리를 만들어 내는 방식을 택한다. 그런 다음 기존 방어 체계가 해당 증거를 인식하는지 확인하고, 부족한 부분을 보완하도록 지원한다. 따라서 Brava의 핵심 가치는 단순히 경보 조사를 더 빠르게 하는 것이 아니라 탐지 기능을 검증하는 데 있다.

사고가 발생하기 전에 증거를 검증하다

보안 운영 센터는 엔드포인트, 클라우드 환경, 계정 및 애플리케이션 전반의 활동 기록인 텔레메트리에 의존한다. 보안 정보 및 이벤트 관리 시스템(SIEM)은 이러한 기록을 수집하고 분석하며, 탐지 규칙을 사용해 의심스러운 행동을 식별한다.

이 과정은 여러 요소에 의존한다. 관련 시스템이 유용한 기록을 생성해야 하고, 데이터 파이프라인이 그 기록을 전달해야 하며, 탐지 기능이 필드를 정확히 해석해야 한다. 특정 공격을 식별하는 데 필요한 증거가 없거나 활용할 수 없다면 로그가 늘어난다고 해서 자동으로 탐지 범위가 넓어지는 것은 아니다.

Brava는 자사의 다중 에이전트 기술이 공격자의 행동을 모델링하고, 특정 기법이 고객의 로그 소스 전반에 어떻게 나타나야 하는지 파악한다고 설명한다. 그런 다음 플랫폼은 해당 흔적이 의도한 방어 기능을 작동시키는지 시험하고, 누락된 SIEM 탐지 규칙을 다시 작성하며, 데이터 피드의 공백을 보완한다.

Brava의 공동 창업자 겸 CEO인 Idan Basre는 “아무도 입증하지 않은 증거를 바탕으로 의사결정을 자동화할 수는 없습니다”라고 말했다. Basre는 이전에 Microsoft Defender의 제품 관리를 이끌었다.

증거를 생성하는 것과 공격을 실행하는 것의 차이는 중요하다. Brava는 합성 텔레메트리를 통해 탐지 경로를 시험한다. 이를 통해 작동하지 않는 규칙이나 누락된 필드를 찾아낼 수 있지만, 시험에 성공했다고 해서 실제 침입의 모든 변형을 탐지할 수 있다거나 공격자가 시스템에 접근하지 못한다는 뜻은 아니다.

탐지 규칙과 경보를 연결하는 과정

Brava의 제품 워크플로는 네 단계로 구성된다. 위협을 모델링하고, 위협의 텔레메트리를 합성하며, 탐지 공백을 확인하고 보완한 뒤, SIEM에 경보가 나타나는지 확인하기 위해 증거를 다시 재생한다. 환경이 바뀔 때마다 다시 시험하는 과정도 소개한다.

이 방식은 탐지 규칙이 설치돼 있다는 사실만으로 탐지 범위가 검증됐다고 간주하는 것과는 다르다는 점에서 유용하다. 필드 이름이 바뀌거나 파서가 업데이트되거나 데이터 소스 연결이 끊기면, 이전에는 유용했던 탐지 기능도 원래 식별하도록 설계된 활동을 더는 찾아내지 못할 수 있다. 변경 후 시험을 반복하면 탐지 기능이 실제로 전달받는 데이터를 바탕으로 여전히 작동하는지 확인할 수 있다.

이 플랫폼은 기존 보안 인프라에서 작동하도록 설계됐다. Brava는 Splunk, Google SecOps, CrowdStrike를 비롯해 70개가 넘는 데이터 소스와 목적지를 지원한다고 밝히며, 이를 통해 보안팀이 이미 운영 중인 도구를 교체할 필요를 줄인다.

탐지 엔지니어가 얻는 실질적인 가치는 일반적인 탐지 범위 점수보다 구체적인 답변이다. 어떤 증거가 있어야 하는지, 탐지 경로의 어느 부분에서 그 증거를 놓쳤는지, 수정 후 경보가 발생했는지를 확인할 수 있다. 이러한 질문을 통해 엔지니어링 변경 사항을 관찰 가능한 결과와 연결할 수 있다.

조사와 데이터 파이프라인의 공통 기반

회사는 웹사이트에서 이와 연관된 기능 두 가지도 소개한다. 조사 인터페이스인 Aquarium은 여러 데이터 소스를 대상으로 검색을 계획하고 조사 결과를 그 근거가 되는 이벤트와 연결한다. 데이터 파이프라인 도구는 기록을 파싱하고 정규화하며, 관련 이벤트를 SIEM으로 전달하고, 그 밖의 데이터는 검색 가능한 저비용 스토리지에 보관한다.

이 기능들은 하나의 운영상 문제에서 서로 다른 부분을 해결한다. 분석가는 무슨 일이 있었는지 재구성할 증거가 필요하고, 탐지 규칙이 작동하려면 적절한 필드가 필요하다. 수집량을 줄이는 것은 탐지와 조사에 필요한 정보를 계속 이용할 수 있을 때에만 유용하다.

Brava의 발표에 따르면 플랫폼은 도입 후 10~15분 안에 초기 분석 결과를 제공한다. 이는 첫 결과를 얻기까지 걸리는 시간에 대한 회사 측 설명이지, 완전한 엔터프라이즈 구축이나 모든 탐지 기능의 보완이 그 시간 안에 완료된다는 보장은 아니다.

AI와 보안을 중심으로 구성된 팀, 엔터프라이즈 고객

Brava는 소매, 에너지, 접객업 분야에서 Fortune 100 기업을 고객으로 두고 있으며, Cushman & Wakefield와 캐나다 헬스케어 기업 WELL Health도 고객사라고 밝혔다. Cushman & Wakefield의 CISO인 Erik Hart는 이 플랫폼이 자신의 팀과 함께 조사하고 증거를 한데 모아 의사결정을 뒷받침한다고 말했다.

이 회사는 Basre와 최고기술책임자(CTO) Itay Gabbay가 설립했다. Basre는 Microsoft에 합류하기 전 Unit 8200에서 위협 연구원으로 10년간 근무했다. Gabbay는 이스라엘 방위군(IDF)에서 7년간 AI 시스템을 개발했으며, 여기에는 DARPA와 이스라엘의 공동 연구 프로그램에 참여한 경력도 포함된다.

Brava의 직원은 약 20명이며, 이스라엘에 연구개발팀을 두고 미국에서는 영업팀을 확장하고 있다. 이번 투자금은 AI 연구와 까다로운 보안 엔지니어링 과제를 결합한 제품 개발을 뒷받침한다. 이 과제는 기업이 사용하는 특정 시스템에서 공격이 어떤 형태로 나타나는지 모델링하는 것이다.

회사가 세운 전제는 자율적인 보안 의사결정에는 검증된 근거가 뒷받침되어야 한다는 것이다. 이 전제를 가장 확실하게 입증하는 방법은 고객 환경이 바뀌어도 탐지 품질을 꾸준히 유지하는 것이다. 아무런 경고도 내지 않는 규칙을 줄이고, 누락되는 신호를 줄이며, 보안팀이 실제로 효과가 있음을 입증할 수 있는 복구 조치를 마련해야 한다.