Brava Security привлекает $15 млн, чтобы проверить, что именно способны обнаружить системы киберзащиты на базе ИИ

Brava Security вышла из режима скрытой разработки, привлекая $15 млн посевного финансирования для решения фундаментальной проблемы киберзащиты с использованием ИИ: автоматизированный аналитик не может расследовать атаку, если базовые системы безопасности её не обнаружили.

Раунд возглавили F2 Venture Capital и Pitango; в нём также приняли участие в качестве бизнес-ангелов руководители Anthropic, Microsoft и Check Point. Brava планирует направить средства на разработку продукта и расширение коммерческой деятельности в Северной Америке, в том числе на освоение возможностей в сфере финансовых услуг и государственного сектора.

Компания генерирует телеметрию, которая появилась бы в конкретной среде в случае атаки, не проводя саму атаку. Затем она проверяет, распознают ли эти данные существующие средства защиты, и помогает устранить обнаруженные пробелы. Поэтому в основе предложения компании лежит проверка эффективности обнаружения, а не просто ускорение расследования оповещений.

Проверка данных до инцидента

Центры мониторинга безопасности опираются на телеметрию — записи об активности на конечных устройствах, в облачных средах, системах управления идентификацией и приложениях. Система управления информацией и событиями безопасности, или SIEM, собирает и анализирует эти записи, используя правила обнаружения для выявления подозрительной активности.

Этот процесс зависит от нескольких факторов. Соответствующая система должна сформировать полезную запись, конвейер данных — доставить её, а механизм обнаружения — правильно интерпретировать содержащиеся в ней поля. Больший объём журналов не означает автоматически более широкий охват, если данные, необходимые для выявления конкретной атаки, отсутствуют или непригодны для использования.

По словам Brava, её мультиагентная технология моделирует поведение злоумышленников и определяет, как конкретные методы атаки должны отражаться в источниках журналов клиента. Затем платформа проверяет, вызовут ли эти следы срабатывание предусмотренных средств защиты, переписывает отсутствующие правила обнаружения SIEM и устраняет пробелы в потоках данных.

«Нельзя автоматизировать принятие решений на основе данных, достоверность которых никто никогда не проверял», — сказал Идан Басре, сооснователь и генеральный директор Brava, ранее руководивший управлением продуктами Microsoft Defender.

Важно различать генерацию данных и проведение атаки. Brava проверяет путь обнаружения с помощью синтезированной телеметрии. Это может помочь выявить не срабатывающее правило или отсутствующее поле, однако успешная проверка не доказывает, что будут обнаружены все варианты реального вторжения или что злоумышленник не сможет проникнуть в систему.

От правила до оповещения — полный цикл

Рабочий процесс продукта Brava включает четыре этапа: моделирование угрозы, синтез её телеметрии, проверку и устранение пробелов в обнаружении, а также повторное воспроизведение данных, чтобы подтвердить появление оповещения в SIEM. Компания также описывает повторное тестирование по мере изменения сред.

Это важно отличать от ситуации, когда наличие установленного правила считают подтверждением достаточного охвата. Переименование поля, обновление парсера или отключение источника данных могут привести к тому, что ранее полезное правило обнаружения перестанет распознавать активность, для которой оно было создано. Повторная проверка после изменений помогает выяснить, продолжает ли правило работать с данными, которые оно фактически получает.

Платформа рассчитана на работу с существующей инфраструктурой безопасности. Среди интеграций Brava называет Splunk, Google SecOps, CrowdStrike, а также более 70 источников и целевых систем, что позволяет не заменять инструменты, которыми уже пользуется команда безопасности.

Для инженера по обнаружению угроз практическая ценность заключается в том, что платформа даёт более конкретный ответ, чем общая оценка охвата: какие данные должны присутствовать, на каком этапе обнаружения они были упущены и привели ли исправления к появлению оповещения. Эти вопросы связывают инженерные изменения с наблюдаемым результатом.

Расследование инцидентов и конвейеры данных опираются на одну основу

На сайте компании описаны ещё две связанные возможности. Aquarium, интерфейс для расследований, позволяет выполнять поиск по разным источникам и связывает найденные сведения с исходными событиями. Инструменты для конвейеров данных разбирают и нормализуют записи, направляют важные события в SIEM, а остальные данные сохраняют в доступном для поиска хранилище с более низкой стоимостью.

Эти функции решают разные задачи одной и той же операционной проблемы. Аналитику нужны данные, чтобы восстановить ход событий, а правилу обнаружения — необходимые поля для срабатывания. Сокращать объём загружаемых данных имеет смысл, только если информация, необходимая для обнаружения и расследования, остаётся доступной.

В сообщении Brava говорится, что первые выводы появляются в течение 10–15 минут после начала работы с платформой. Это указанный компанией срок до получения первых результатов, а не гарантия того, что полное развёртывание в организации или исправление каждого правила обнаружения завершится за это время.

Клиенты из списка Fortune 100 и команда, объединяющая экспертизу в области ИИ и безопасности

Brava сообщает о клиентах из списка Fortune 100 в розничной торговле, энергетике и гостиничном бизнесе, а также о Cushman & Wakefield и канадской компании в сфере здравоохранения WELL Health. Директор по информационной безопасности Cushman & Wakefield Эрик Харт отметил, что платформа проводит расследования вместе с его командой и объединяет данные, помогающие принимать решения.

Компанию основали Басре и технический директор Итай Габбай. До прихода в Microsoft Басре десять лет служил в подразделении 8200, где занимался исследованием угроз. Габбай семь лет разрабатывал системы ИИ в Армии обороны Израиля, в том числе участвовал в совместной исследовательской программе DARPA и Израиля.

В Brava работает около 20 человек; исследования и разработки ведутся в Израиле, а коммерческая команда расширяется в США. Финансирование поможет развивать продукт, объединяющий исследования в области ИИ со сложной задачей разработки систем безопасности: моделированием того, как выглядят атаки в конкретных системах, которыми пользуется предприятие.

Компания исходит из того, что для автономных решений в сфере безопасности необходимы подтверждённые доказательства. Главным испытанием этой идеи станет стабильное качество обнаружения по мере изменения клиентских сред: меньше незаметных правил, меньше пропущенных сигналов и исправления, эффективность которых команды безопасности могут наглядно подтвердить.