Brava Security pozyskuje 15 mln dolarów na sprawdzenie, co naprawdę potrafią wykryć systemy cyberobrony oparte na AI

Brava Security wyszła z ukrycia, pozyskując 15 mln dolarów finansowania zalążkowego. Środki mają pomóc rozwiązać podstawowy problem cyberobrony wspieranej przez AI: zautomatyzowany analityk nie może zbadać ataku, jeśli systemy bezpieczeństwa, na których polega, w ogóle go nie wykryją.

Rundzie przewodziły F2 Venture Capital i Pitango, a udział w niej wzięli także aniołowie biznesu — przedstawiciele kierownictwa Anthropic, Microsoft i Check Point. Brava planuje przeznaczyć pozyskane środki na rozwój produktu i ekspansję handlową w Ameryce Północnej, w tym na wykorzystanie możliwości w sektorze usług finansowych i administracji publicznej.

Firma generuje telemetrię, jaką w danym środowisku wytworzyłby atak, ale nie przeprowadza samego ataku. Następnie sprawdza, czy istniejące zabezpieczenia rozpoznają te ślady, i pomaga usunąć wykryte luki. W centrum jej oferty znajduje się więc weryfikacja skuteczności wykrywania, a nie samo przyspieszenie analizy alertów.

Weryfikacja śladów przed incydentem

Centra operacji bezpieczeństwa opierają się na telemetrii, czyli zapisach aktywności w punktach końcowych, środowiskach chmurowych, systemach zarządzania tożsamością i aplikacjach. System zarządzania informacjami i zdarzeniami bezpieczeństwa (SIEM) gromadzi i analizuje te zapisy, wykorzystując reguły wykrywania do identyfikowania podejrzanych działań.

Proces ten zależy od kilku czynników. Odpowiedni system musi wytworzyć użyteczny zapis, potok danych musi go dostarczyć, a mechanizm wykrywania musi prawidłowo zinterpretować zawarte w nim pola. Większa liczba dzienników nie oznacza automatycznie lepszego pokrycia, jeśli brakuje śladów potrzebnych do wykrycia konkretnego ataku albo nie da się ich wykorzystać.

Brava twierdzi, że jej technologia wieloagentowa modeluje zachowanie napastników i określa, jak konkretne techniki powinny być widoczne w dziennikach klienta. Następnie platforma sprawdza, czy te ślady uruchomiłyby odpowiednie zabezpieczenia, uzupełnia brakujące mechanizmy wykrywania w SIEM i usuwa luki w strumieniach danych.

„Nie da się zautomatyzować decyzji na podstawie dowodów, których nikt wcześniej nie zweryfikował” — powiedział Idan Basre, współzałożyciel i dyrektor generalny Brava, który wcześniej kierował zarządzaniem produktami Microsoft Defender.

Różnica między generowaniem śladów a przeprowadzaniem ataku ma znaczenie. Brava testuje ścieżkę wykrywania za pomocą syntetycznej telemetrii. Pozwala to ujawnić nieaktywną regułę lub brakujące pole, ale pomyślny wynik testu nie dowodzi, że zostanie wykryty każdy wariant rzeczywistego włamania ani że napastnik nie byłby w stanie dotrzeć do systemu.

Domknięcie cyklu między regułą a alertem

Przepływ pracy związany z produktem Brava obejmuje cztery etapy: modelowanie zagrożenia, syntezę jego telemetrii, weryfikację i usuwanie luk w wykrywaniu oraz ponowne odtworzenie śladów, aby potwierdzić, że w SIEM pojawia się alert. Firma opisuje także ponowne testowanie systemu w miarę zmian w środowisku.

To ważne rozróżnienie w porównaniu z uznawaniem zainstalowanej reguły za potwierdzenie skutecznego pokrycia. Zmiana nazwy pola, aktualizacja parsera lub odłączenie źródła danych mogą sprawić, że wcześniej użyteczny mechanizm wykrywania nie będzie już rozpoznawał aktywności, do której wykrywania został opracowany. Powtórzenie testu po wprowadzeniu zmiany pozwala ustalić, czy mechanizm nadal działa na podstawie danych, które rzeczywiście otrzymuje.

Platformę zaprojektowano tak, by współpracowała z istniejącą infrastrukturą bezpieczeństwa. Brava wymienia Splunk, Google SecOps, CrowdStrike oraz ponad 70 źródeł i miejsc docelowych, dzięki czemu zespoły ds. bezpieczeństwa nie muszą zastępować już używanych narzędzi.

Dla inżyniera ds. wykrywania zagrożeń praktyczna wartość polega na uzyskaniu bardziej konkretnej odpowiedzi niż ogólny wskaźnik pokrycia: jakie ślady powinny być dostępne, który element ścieżki wykrywania ich nie wychwycił i czy naprawa doprowadziła do wygenerowania alertu. Odpowiedzi na te pytania łączą zmianę techniczną z możliwym do zaobserwowania wynikiem.

Badanie incydentów i potoki danych opierają się na tych samych podstawach

Na stronie internetowej firma przedstawia dwie powiązane funkcje. Aquarium, interfejs do badania incydentów, planuje wyszukiwanie w różnych źródłach i łączy ustalenia z odpowiadającymi im zdarzeniami źródłowymi. Narzędzia do obsługi potoków danych analizują i normalizują zapisy, kierują istotne zdarzenia do SIEM, a pozostałe dane przechowują w przeszukiwalnym, tańszym magazynie.

Funkcje te odpowiadają na różne aspekty tego samego problemu operacyjnego. Analityk potrzebuje śladów, by odtworzyć przebieg zdarzeń, a reguła wykrywania — odpowiednich pól, by zadziałać. Ograniczenie ilości wczytywanych danych jest przydatne tylko wtedy, gdy informacje niezbędne do wykrywania zagrożeń i badania incydentów pozostają dostępne.

W komunikacie Brava informuje, że platforma dostarcza pierwsze wnioski w ciągu 10–15 minut od wdrożenia. Jest to deklarowany przez firmę czas do uzyskania pierwszych ustaleń, a nie gwarancja, że pełne wdrożenie w przedsiębiorstwie lub naprawa każdego mechanizmu wykrywania zakończy się w tym przedziale czasowym.

Klienci korporacyjni i zespół łączący kompetencje w zakresie AI i bezpieczeństwa

Brava informuje, że jej klientami są firmy z listy Fortune 100 z sektorów handlu detalicznego, energetyki i hotelarstwa, a także Cushman & Wakefield oraz kanadyjska firma z branży ochrony zdrowia WELL Health. CISO Cushman & Wakefield, Erik Hart, powiedział, że platforma prowadzi analizy równolegle z jego zespołem i gromadzi dowody, by wspierać podejmowanie decyzji.

Firma została założona przez Basre i Itay Gabbay, dyrektora ds. technicznych. Przed podjęciem pracy w Microsoft Basre przez dziesięć lat pracował w jednostce 8200 jako badacz zagrożeń. Gabbay przez siedem lat tworzył systemy sztucznej inteligencji w Siłach Obronnych Izraela (IDF), między innymi w ramach wspólnego programu badawczego DARPA i Izraela.

Brava zatrudnia około 20 osób. Dział badań i rozwoju firmy działa w Izraelu, a zespół handlowy rozbudowuje swoją działalność w Stanach Zjednoczonych. Pozyskane finansowanie wesprze rozwój produktu łączącego badania nad sztuczną inteligencją z wymagającym zadaniem z zakresu inżynierii bezpieczeństwa: modelowaniem tego, jak ataki przejawiają się w konkretnych systemach używanych przez daną firmę.

Założeniem firmy jest to, że autonomiczne decyzje dotyczące bezpieczeństwa muszą opierać się na zweryfikowanych dowodach. Najlepszym sprawdzianem tego założenia będzie utrzymanie wysokiej jakości wykrywania w miarę zmian w środowiskach klientów: mniej milczących reguł, mniej brakujących sygnałów oraz napraw, których skuteczność zespoły ds. bezpieczeństwa mogą wykazać.