Brava Security obține 15 milioane de dolari pentru a testa ce pot detecta cu adevărat apărările cibernetice bazate pe IA

Brava Security a ieșit din modul stealth cu o finanțare inițială de 15 milioane de dolari, pentru a aborda o vulnerabilitate fundamentală a apărării cibernetice asistate de IA: un analist automatizat nu poate investiga un atac dacă sistemele de securitate de bază nu îl detectează niciodată.

Runda a fost condusă de F2 Venture Capital și Pitango, cu participarea unor investitori providențiali din rândul directorilor de la Anthropic, Microsoft și Check Point. Brava intenționează să folosească finanțarea pentru dezvoltarea produsului și extinderea comercială în America de Nord, inclusiv în domeniul serviciilor financiare și al administrației publice.

Abordarea companiei constă în generarea telemetriei pe care ar produce-o un atac într-un anumit mediu, fără a desfășura atacul propriu-zis. Apoi verifică dacă apărările existente recunosc aceste dovezi și contribuie la remedierea lacunelor. Astfel, validarea detecției — și nu doar investigarea mai rapidă a alertelor — devine elementul central al ofertei sale.

Testarea dovezilor înainte de un incident

Centrele de operațiuni de securitate se bazează pe telemetrie: înregistrări ale activității de pe punctele terminale, din mediile cloud și din sistemele de identitate și aplicații. Un sistem de management al informațiilor și evenimentelor de securitate, sau SIEM, colectează și analizează aceste înregistrări și folosește reguli de detecție pentru a identifica comportamente suspecte.

Acest proces depinde de mai mulți factori. Sistemul relevant trebuie să genereze o înregistrare utilă, fluxul de date trebuie să o transmită, iar mecanismul de detecție trebuie să interpreteze corect câmpurile. Un volum mai mare de jurnale nu înseamnă automat o acoperire mai bună dacă dovezile necesare pentru un anumit atac lipsesc sau nu pot fi folosite.

Brava spune că tehnologia sa multi-agent modelează comportamentul atacatorilor și identifică modul în care anumite tehnici ar trebui să se reflecte în sursele de jurnale ale unui client. Apoi, platforma testează dacă aceste urme ar declanșa apărările vizate, rescrie detecțiile SIEM care lipsesc și remediază lacunele din fluxurile de date.

„Nu poți automatiza o decizie bazată pe dovezi pe care nimeni nu le-a verificat vreodată”, a declarat Idan Basre, cofondatorul și directorul general al Brava, care a condus anterior managementul de produs pentru Microsoft Defender.

Distincția dintre generarea de dovezi și executarea unui atac este importantă. Brava testează traseul de detecție cu ajutorul telemetriei sintetizate. Acest lucru poate scoate la iveală o regulă care nu declanșează nicio alertă sau un câmp lipsă, însă un test reușit nu dovedește că va fi detectată orice variantă a unei intruziuni reale sau că un atacator nu ar putea ajunge la sistem.

Închiderea buclei dintre o regulă și o alertă

Fluxul de lucru al produsului Brava cuprinde patru etape: modelarea amenințării, sintetizarea telemetriei acesteia, verificarea și remedierea lacunelor de detecție, apoi redarea dovezilor pentru a confirma că apare o alertă în SIEM. Compania menționează și retestarea pe măsură ce mediile se schimbă.

Această abordare se deosebește în mod util de considerarea unei reguli instalate drept dovadă a unei acoperiri verificate. Redenumirea unui câmp, actualizarea unui analizor sau deconectarea unei surse pot face ca o detecție anterior utilă să nu mai poată identifica activitatea pentru care a fost creată. Repetarea testului după o modificare ajută la stabilirea faptului dacă detecția funcționează în continuare cu datele pe care le primește efectiv.

Platforma este concepută să funcționeze cu infrastructura de securitate existentă. Brava menționează Splunk, Google SecOps, CrowdStrike și peste 70 de surse și destinații, reducând nevoia de a înlocui instrumentele pe care echipa de securitate le folosește deja.

Pentru un inginer specializat în detecție, valoarea practică constă într-un răspuns mai precis decât un scor generic de acoperire: ce dovezi ar trebui să existe, ce componentă a traseului de detecție nu le-a identificat și dacă remedierea a generat o alertă. Aceste întrebări leagă o modificare inginerească de un rezultat observabil.

Investigațiile și fluxurile de date au aceeași bază

Site-ul companiei prezintă încă două capabilități conexe. Aquarium, interfața sa de investigare, planifică căutări în mai multe surse și leagă constatările de evenimentele de bază. Instrumentele sale pentru fluxurile de date analizează și normalizează înregistrările, direcționează evenimentele relevante către SIEM și păstrează celelalte date într-un spațiu de stocare cu costuri mai mici, în care se pot efectua căutări.

Aceste funcții abordează aspecte diferite ale aceleiași probleme operaționale. Un analist are nevoie de dovezi pentru a reconstitui ce s-a întâmplat, în timp ce o regulă de detecție are nevoie de câmpurile potrivite pentru a se declanșa. Reducerea volumului de date ingerate este utilă numai dacă informațiile necesare pentru detecție și investigare rămân disponibile.

Comunicatul Brava afirmă că platforma furnizează primele informații în decurs de 10–15 minute de la integrare. Acesta este timpul raportat de companie până la primele constatări, nu o garanție că o implementare completă la nivel de întreprindere sau fiecare remediere a unei detecții se încheie în acel interval.

Clienți din segmentul enterprise și o echipă axată pe IA și securitate

Brava raportează că are clienți din topul Fortune 100 din sectoarele comerțului cu amănuntul, energiei și ospitalității, precum și Cushman & Wakefield și compania canadiană de servicii medicale WELL Health. Erik Hart, directorul pentru securitatea informațiilor (CISO) al Cushman & Wakefield, a declarat că platforma investighează alături de echipa sa și reunește dovezile pentru a sprijini luarea deciziilor.

Compania a fost fondată de Basre și de directorul tehnic Itay Gabbay. Basre a petrecut zece ani în Unit 8200, unde a fost cercetător în domeniul amenințărilor, înainte de a ocupa un post la Microsoft. Gabbay a petrecut șapte ani dezvoltând sisteme de inteligență artificială în IDF, inclusiv lucrând la un program comun de cercetare DARPA-Israeli.

Brava are aproximativ 20 de angajați, cu activități de cercetare și dezvoltare în Israel și o echipă comercială în extindere în Statele Unite. Finanțarea susține un produs care combină cercetarea în domeniul inteligenței artificiale cu o sarcină exigentă de inginerie a securității: modelarea modului în care atacurile se manifestă în sistemele specifice folosite de o întreprindere.

Premisa companiei este că deciziile autonome de securitate trebuie să se bazeze pe dovezi validate. Cea mai puternică probă a acestei premise va fi menținerea calității detectării pe măsură ce se schimbă mediile clienților: mai puține reguli care nu generează alerte, mai puține semnale absente și remedieri despre care echipele de securitate pot demonstra că funcționează cu adevărat.