Brava Security capta US$ 15 milhões para testar o que as defesas cibernéticas com IA conseguem detectar de fato

Brava Security saiu do sigilo com US$ 15 milhões em financiamento-semente para enfrentar uma fragilidade básica da defesa cibernética assistida por IA: um analista automatizado não pode investigar um ataque se os sistemas de segurança subjacentes nunca o detectarem.

A rodada foi liderada por F2 Venture Capital e Pitango, com participação de investidores-anjo que são executivos da Anthropic, da Microsoft e da Check Point. A Brava planeja usar os recursos para desenvolver produtos e expandir sua atuação comercial na América do Norte, inclusive em oportunidades nos setores de serviços financeiros e governo.

A abordagem da empresa consiste em gerar a telemetria que um ataque produziria em determinado ambiente, sem executar o ataque em si. Em seguida, ela verifica se as defesas existentes reconhecem essas evidências e ajuda a corrigir as lacunas. Assim, o foco de sua proposta é validar a detecção, e não simplesmente agilizar a investigação de alertas.

Testar as evidências antes de um incidente

Os centros de operações de segurança dependem de telemetria: registros das atividades em endpoints, ambientes de nuvem, identidades e aplicativos. Um sistema de gerenciamento de informações e eventos de segurança, ou SIEM, coleta e analisa esses registros, usando regras de detecção para identificar comportamentos suspeitos.

Esse processo depende de vários fatores. O sistema pertinente precisa gerar um registro útil, o fluxo de dados precisa entregá-lo e a detecção precisa interpretar corretamente os campos. Um volume maior de registros não significa automaticamente uma cobertura melhor se as evidências necessárias para determinado ataque estiverem ausentes ou não puderem ser usadas.

A Brava afirma que sua tecnologia multiagente modela o comportamento de invasores e identifica como técnicas específicas devem aparecer nas fontes de registros de um cliente. Em seguida, sua plataforma testa se esses rastros acionariam as defesas previstas, reescreve detecções ausentes no SIEM e corrige lacunas nos fluxos de dados.

“Não é possível automatizar uma decisão com base em evidências que ninguém jamais comprovou”, afirmou Idan Basre, cofundador e CEO da Brava, que anteriormente liderou o gerenciamento de produtos do Microsoft Defender.

A distinção entre gerar evidências e executar um ataque é importante. A Brava testa o caminho de detecção por meio de telemetria sintetizada. Isso pode ajudar a revelar uma regra que não dispara ou um campo ausente, mas um teste bem-sucedido não prova que todas as variações de uma invasão real serão detectadas nem que um invasor não conseguiria chegar ao sistema.

Fechar o ciclo entre uma regra e um alerta

O fluxo de trabalho do produto da Brava descreve quatro etapas: modelar a ameaça, sintetizar sua telemetria, verificar e corrigir lacunas de detecção e reproduzir as evidências para confirmar que um alerta aparece no SIEM. A empresa também descreve a repetição dos testes à medida que os ambientes mudam.

Isso é uma distinção importante em relação a considerar uma regra instalada como cobertura comprovada. A renomeação de um campo, a atualização de um analisador ou a desconexão de uma fonte podem impedir que uma detecção antes útil corresponda à atividade para a qual foi criada. Repetir o teste após uma mudança ajuda a determinar se a detecção continua funcionando com os dados que realmente recebe.

A plataforma foi projetada para funcionar com a infraestrutura de segurança existente. A Brava lista Splunk, Google SecOps, CrowdStrike e mais de 70 fontes e destinos, reduzindo a necessidade de substituir as ferramentas que uma equipe de segurança já utiliza.

Para um engenheiro de detecção, o valor prático está em obter uma resposta mais específica do que uma pontuação genérica de cobertura: quais evidências deveriam existir, que parte do caminho de detecção não as identificou e se a correção gerou um alerta. Essas perguntas relacionam uma mudança de engenharia a um resultado observável.

Investigação e fluxos de dados têm a mesma base

O site da empresa apresenta dois recursos relacionados. O Aquarium, sua interface de investigação, planeja realizar buscas em várias fontes e vincular as descobertas aos eventos subjacentes. As ferramentas de fluxo de dados analisam e normalizam registros, encaminham eventos relevantes ao SIEM e mantêm os demais dados em um armazenamento pesquisável de menor custo.

Esses recursos atendem a diferentes aspectos do mesmo problema operacional. Um analista precisa de evidências para reconstruir o que aconteceu, enquanto uma regra de detecção precisa dos campos certos para ser acionada. Reduzir o volume de ingestão só é útil se as informações necessárias para a detecção e a investigação continuarem disponíveis.

Segundo o comunicado de lançamento da Brava, a plataforma fornece as primeiras análises em 10–15 minutos após a integração. Esse prazo, informado pela empresa, refere-se ao tempo até as primeiras descobertas; não é uma garantia de que uma implantação empresarial completa ou todos os reparos de detecção sejam concluídos nesse intervalo.

Clientes empresariais e uma equipe com experiência em IA e segurança

A Brava informa que tem clientes da Fortune 100 nos setores de varejo, energia e hotelaria, além da Cushman & Wakefield e da empresa canadense de saúde WELL Health. Erik Hart, CISO da Cushman & Wakefield, afirmou que a plataforma investiga em conjunto com sua equipe e reúne evidências para embasar decisões.

A empresa foi fundada por Basre e pelo diretor de tecnologia Itay Gabbay. Basre passou dez anos na Unidade 8200 como pesquisador de ameaças antes de trabalhar na Microsoft. Gabbay passou sete anos desenvolvendo sistemas de IA nas Forças de Defesa de Israel (FDI), incluindo sua participação em um programa conjunto de pesquisa da DARPA e de Israel.

A Brava tem aproximadamente 20 funcionários, com pesquisa e desenvolvimento em Israel e uma equipe comercial em expansão nos Estados Unidos. O financiamento apoia um produto que combina pesquisa em IA com uma tarefa exigente de engenharia de segurança: modelar como os ataques se manifestam nos sistemas específicos usados por uma empresa.

A premissa da empresa é que decisões autônomas de segurança precisam se apoiar em evidências validadas. O teste mais rigoroso dessa premissa será manter a qualidade da detecção ao longo do tempo, à medida que os ambientes dos clientes mudam: menos regras silenciosas, menos sinais ausentes e reparos que as equipes de segurança possam demonstrar que realmente funcionam.