Brava Security haalt 15 miljoen dollar op om te testen wat AI-cyberverdediging daadwerkelijk kan detecteren

Brava Security komt uit stealthmodus met 15 miljoen dollar aan startkapitaal. Het bedrijf wil een fundamentele zwakte in AI-ondersteunde cyberverdediging aanpakken: een geautomatiseerde analist kan een aanval niet onderzoeken als de onderliggende beveiligingssystemen die niet detecteren.

De financieringsronde werd geleid door F2 Venture Capital en Pitango, met deelname van angel investors uit de directies van Anthropic, Microsoft en Check Point. Brava wil de financiering gebruiken voor productontwikkeling en commerciële uitbreiding in Noord-Amerika, met onder meer kansen in de financiële dienstverlening en bij overheidsinstanties.

Het bedrijf genereert telemetrie die een aanval in een bepaalde omgeving zou opleveren, zonder de aanval zelf uit te voeren. Vervolgens controleert het of bestaande verdedigingssystemen die aanwijzingen herkennen en helpt het de tekortkomingen te verhelpen. Daarmee staat het valideren van detecties centraal in de propositie, niet simpelweg het sneller onderzoeken van meldingen.

Bewijsmateriaal testen voordat zich een incident voordoet

Security Operations Centers vertrouwen op telemetrie: activiteitenlogboeken van endpoints, cloudomgevingen, identiteiten en applicaties. Een security information and event management-systeem, oftewel SIEM, verzamelt en analyseert die gegevens en gebruikt detectieregels om verdacht gedrag te herkennen.

Dit proces is van verschillende factoren afhankelijk. Het relevante systeem moet een bruikbaar logboek opleveren, de pijplijn moet dat aanleveren en de detectie moet de velden correct interpreteren. Meer logboeken betekenen niet automatisch een betere dekking als de informatie die voor een bepaalde aanval nodig is ontbreekt of onbruikbaar is.

Brava zegt dat zijn technologie met meerdere AI-agenten aanvallersgedrag modelleert en vaststelt hoe specifieke technieken zichtbaar zouden moeten zijn in de logbronnen van een klant. Het platform test vervolgens of die sporen de beoogde verdedigingsmaatregelen zouden activeren, herschrijft ontbrekende SIEM-detecties en verhelpt hiaten in gegevensfeeds.

‘Je kunt geen beslissing automatiseren op basis van bewijs dat nooit door iemand is gevalideerd’, zegt Idan Basre, medeoprichter en CEO van Brava, die eerder leiding gaf aan productmanagement voor Microsoft Defender.

Het onderscheid tussen het genereren van bewijsmateriaal en het uitvoeren van een aanval is belangrijk. Brava test het detectieproces met gesynthetiseerde telemetrie. Dat kan helpen een niet-actieve regel of een ontbrekend veld aan het licht te brengen, maar een geslaagde test bewijst niet dat elke variant van een echte inbraak wordt ontdekt of dat een aanvaller het systeem niet zou kunnen binnendringen.

De cirkel sluiten tussen een regel en een melding

Brava’s productworkflow bestaat volgens het bedrijf uit vier stappen: de dreiging modelleren, de bijbehorende telemetrie synthetiseren, detectiehiaten controleren en verhelpen, en het bewijsmateriaal opnieuw afspelen om te bevestigen dat er een melding in het SIEM verschijnt. Het bedrijf zegt ook dat tests opnieuw worden uitgevoerd wanneer omgevingen veranderen.

Dit onderscheid is nuttig: een geïnstalleerde regel betekent niet automatisch dat de dekking is geverifieerd. Een gewijzigde veldnaam, een update van de parser of een niet-verbonden gegevensbron kan ervoor zorgen dat een eerder bruikbare detectie de activiteit waarvoor die is gemaakt niet meer herkent. Een test herhalen nadat er iets is veranderd, helpt vaststellen of de detectie nog werkt met de gegevens die deze daadwerkelijk ontvangt.

Het platform is ontworpen om samen te werken met bestaande beveiligingsinfrastructuur. Brava noemt Splunk, Google SecOps, CrowdStrike en meer dan 70 bronnen en bestemmingen. Daardoor hoeven beveiligingsteams de tools die ze al gebruiken minder snel te vervangen.

Voor een detectie-engineer biedt dit praktisch gezien een concreter antwoord dan een algemene dekkingsscore: welk bewijsmateriaal aanwezig zou moeten zijn, welk onderdeel van het detectieproces dat heeft gemist en of de oplossing een melding heeft opgeleverd. Zo wordt een technische wijziging gekoppeld aan een waarneembaar resultaat.

Onderzoek en datapijplijnen hebben dezelfde basis

Op de website van het bedrijf worden twee verwante mogelijkheden genoemd. Aquarium, de onderzoeksinterface, kan zoekopdrachten uitvoeren in verschillende bronnen en bevindingen koppelen aan de onderliggende gebeurtenissen. De tools voor datapijplijnen ontleden en normaliseren logboeken, sturen relevante gebeurtenissen naar het SIEM en bewaren andere gegevens in doorzoekbare, goedkopere opslag.

Deze functies pakken verschillende onderdelen van hetzelfde operationele probleem aan. Een analist heeft bewijsmateriaal nodig om te reconstrueren wat er is gebeurd, terwijl een detectieregel de juiste velden nodig heeft om af te gaan. Het volume aan opgenomen gegevens verlagen is alleen nuttig als de informatie die nodig is voor detectie en onderzoek beschikbaar blijft.

Volgens de aankondiging van Brava levert het platform binnen 10–15 minuten na de onboarding de eerste inzichten op. Dit is de door het bedrijf genoemde tijd tot de eerste bevindingen, geen garantie dat een volledige implementatie bij een onderneming of elke reparatie van een detectie binnen die termijn is afgerond.

Ondernemingsklanten en een team dat draait om AI en beveiliging

Brava meldt klanten uit de Fortune 100 in de detailhandel, energiesector en horeca, naast Cushman & Wakefield en het Canadese zorgbedrijf WELL Health. Erik Hart, CISO van Cushman & Wakefield, zegt dat het platform samen met zijn team onderzoek doet en bewijsmateriaal bijeenbrengt ter ondersteuning van besluitvorming.

Het bedrijf is opgericht door Basre en CTO Itay Gabbay. Voordat hij bij Microsoft ging werken, werkte Basre tien jaar bij Unit 8200 als onderzoeker naar dreigingen. Gabbay bouwde zeven jaar lang AI-systemen bij de IDF, onder meer in het kader van een gezamenlijk onderzoeksprogramma van DARPA en Israël.

Brava heeft ongeveer 20 medewerkers. De onderzoeks- en ontwikkelingsafdeling is gevestigd in Israël en het commerciële team breidt uit in de Verenigde Staten. De financiering ondersteunt een product dat AI-onderzoek combineert met een veeleisende taak op het gebied van beveiligingsengineering: modelleren hoe aanvallen eruitzien in de specifieke systemen die een bedrijf gebruikt.

Het uitgangspunt van het bedrijf is dat autonome beveiligingsbeslissingen moeten steunen op onderbouwd, gevalideerd bewijs. De beste toets voor dat uitgangspunt is of de detectiekwaliteit op peil blijft wanneer klantomgevingen veranderen: minder regels die ongemerkt tekortschieten, minder ontbrekende signalen en oplossingen waarvan beveiligingsteams kunnen aantonen dat ze daadwerkelijk werken.