Brava Security henter 15 millioner dollar for å teste hva KI-cyberforsvar faktisk kan oppdage

Brava Security har kommet ut av stealth-fasen med 15 millioner dollar i såkornfinansiering for å løse en grunnleggende svakhet ved KI-assistert cyberforsvar: En automatisert analytiker kan ikke undersøke et angrep hvis de underliggende sikkerhetssystemene aldri oppdager det.

Finansieringsrunden ble ledet av F2 Venture Capital og Pitango, med deltakelse fra engleinvestorer blant ledere i Anthropic, Microsoft og Check Point. Brava planlegger å bruke finansieringen på produktutvikling og kommersiell ekspansjon i Nord-Amerika, blant annet på muligheter innen finansielle tjenester og offentlig sektor.

Selskapets tilnærming går ut på å generere telemetrien et angrep ville ha produsert i et bestemt miljø, uten å gjennomføre selve angrepet. Deretter undersøker selskapet om eksisterende forsvarssystemer gjenkjenner disse sporene, og bidrar til å tette hullene. Dermed står validering av oppdagelse, snarere enn bare raskere undersøkelse av varsler, sentralt i selskapets tilbud.

Test sporene før en hendelse

Sikkerhetsoperasjonssentre er avhengige av telemetri: aktivitetslogger fra endepunkter, skymiljøer, identiteter og applikasjoner. Et system for sikkerhetsinformasjon og hendelseshåndtering, eller SIEM, samler inn og analyserer disse loggene og bruker deteksjonsregler til å identifisere mistenkelig atferd.

Denne prosessen er avhengig av flere faktorer. Det aktuelle systemet må produsere en nyttig logg, datapipelinen må levere den, og deteksjonen må tolke feltene riktig. Flere logger gir ikke automatisk bedre dekning hvis sporene som trengs for å oppdage et bestemt angrep, mangler eller ikke kan brukes.

Brava opplyser at teknologien med flere KI-agenter modellerer angriperatferd og identifiserer hvordan bestemte teknikker bør vises i loggkildene til en kunde. Plattformen tester deretter om disse sporene ville utløst de tiltenkte forsvarsmekanismene, skriver om manglende SIEM-deteksjoner og håndterer mangler i dataflyten.

«Du kan ikke automatisere en beslutning basert på spor som ingen noen gang har verifisert», sa Idan Basre, medgrunnlegger og administrerende direktør i Brava, som tidligere ledet produktstyringen for Microsoft Defender.

Det er viktig å skille mellom å generere spor og å gjennomføre et angrep. Brava tester deteksjonsløpet ved hjelp av syntetisk telemetri. Dette kan bidra til å avdekke en regel som ikke utløses, eller et manglende felt, men en vellykket test er ikke et bevis på at alle varianter av et reelt inntrengningsforsøk vil bli fanget opp, eller at en angriper ikke kan nå systemet.

Koble regelen til varselet

Produktarbeidsflyten til Brava beskriver fire trinn: modellere trusselen, syntetisere telemetrien, verifisere og utbedre mangler i deteksjonen og spille av sporene på nytt for å bekrefte at et varsel vises i SIEM-systemet. Den beskriver også ny testing etter hvert som miljøene endres.

Dette er et nyttig skille fra å betrakte en installert regel som verifisert dekning. Et endret feltnavn, en oppdatering av en parser eller en frakoblet datakilde kan føre til at en tidligere nyttig deteksjon ikke lenger gjenkjenner aktiviteten den ble laget for å oppdage. Gjentatt testing etter en endring bidrar til å fastslå om deteksjonen fortsatt fungerer med dataene den faktisk mottar.

Plattformen er utviklet for å fungere sammen med eksisterende sikkerhetsinfrastruktur. Brava oppgir at løsningen støtter Splunk, Google SecOps, CrowdStrike og over 70 andre kilder og mål, slik at sikkerhetsteamene i mindre grad trenger å bytte ut verktøyene de allerede bruker.

For en deteksjonsingeniør er den praktiske verdien at man får et mer konkret svar enn en generell dekningsgrad: Hvilke spor bør finnes, hvilken del av deteksjonsløpet overså dem, og førte utbedringen til et varsel? Disse spørsmålene knytter en teknisk endring til et observerbart resultat.

Undersøkelser og datapipelines bygger på det samme grunnlaget

Selskapets nettsted beskriver to tilknyttede funksjoner. Aquarium, grensesnittet for undersøkelser, planlegger søk på tvers av kilder og knytter funn til de underliggende hendelsene. Verktøyene for datapipelines tolker og standardiserer logger, sender relevante hendelser til SIEM-systemet og lagrer øvrige data i søkbar lagring med lavere kostnader.

Disse funksjonene løser ulike deler av det samme operative problemet. En analytiker trenger spor for å rekonstruere hva som skjedde, mens en deteksjonsregel trenger de riktige feltene for å utløses. Det er bare nyttig å redusere datamengden som samles inn, dersom informasjonen som trengs for deteksjon og undersøkelser, fortsatt er tilgjengelig.

I kunngjøringen opplyser Brava at plattformen gir de første innsiktene innen 10–15 minutter etter at løsningen er tatt i bruk. Dette er selskapets oppgitte tid til de første funnene, ikke en garanti for at en komplett utrulling i en stor virksomhet eller alle utbedringer av deteksjoner blir fullført innenfor dette tidsrommet.

Kunder blant store selskaper og et team med KI- og sikkerhetskompetanse

Brava oppgir å ha kunder blant Fortune 100-selskaper innen detaljhandel, energi og hotell- og restaurantbransjen, i tillegg til Cushman & Wakefield og det kanadiske helseselskapet WELL Health. CISO-en i Cushman & Wakefield, Erik Hart, sa at plattformen gjennomfører undersøkelser sammen med teamet hans og samler bevismateriale for å støtte beslutninger.

Selskapet ble grunnlagt av Basre og teknologidirektør Itay Gabbay. Før han begynte i Microsoft, tilbrakte Basre ti år i Unit 8200 som trusseletterforsker. Gabbay brukte sju år på å utvikle AI-systemer i IDF, blant annet som del av et felles DARPA-israelsk forskningsprogram.

Brava har rundt 20 ansatte, med forskning og utvikling i Israel og et kommersielt team som vokser i USA. Finansieringen støtter et produkt som kombinerer AI-forskning med en krevende oppgave innen sikkerhetsteknikk: å modellere hvordan angrep arter seg i de spesifikke systemene en virksomhet bruker.

Utgangspunktet for selskapet er at autonome sikkerhetsbeslutninger må bygge på validert dokumentasjon. Den grundigste testen av denne forutsetningen er om kvaliteten på trusseldeteksjonen holder seg over tid etter hvert som kundenes miljøer endrer seg: færre regler som ikke varsler, færre manglende signaler og utbedringer som sikkerhetsteamene kan dokumentere faktisk fungerer.