Brava Security tar in 15 miljoner dollar för att testa vad AI-försvar mot cyberattacker faktiskt kan upptäcka

Brava Security har lämnat stealthfasen med 15 miljoner dollar i såddfinansiering för att åtgärda en grundläggande svaghet i AI-stödda cyberförsvar: en automatiserad analytiker kan inte utreda en attack om de underliggande säkerhetssystemen aldrig upptäcker den.

Finansieringsrundan leddes av F2 Venture Capital och Pitango, med affärsänglar bland chefer på Anthropic, Microsoft och Check Point. Brava planerar att använda kapitalet till produktutveckling och kommersiell expansion i Nordamerika, bland annat inom finansiella tjänster och offentlig sektor.

Företagets metod går ut på att generera den telemetri som en attack skulle ge upphov till i en viss miljö, utan att genomföra själva attacken. Därefter kontrollerar företaget om de befintliga försvaren känner igen dessa spår och hjälper till att åtgärda bristerna. Därmed står validering av upptäcktsförmågan i centrum för erbjudandet, snarare än enbart snabbare utredning av larm.

Testa spåren innan en incident inträffar

Säkerhetsoperationscenter förlitar sig på telemetri: aktivitetsloggar från slutpunkter, molnmiljöer, identiteter och applikationer. Ett system för säkerhetsinformation och händelsehantering, eller SIEM, samlar in och analyserar dessa loggar och använder detektionsregler för att identifiera misstänkt beteende.

Den processen är beroende av flera faktorer. Det relevanta systemet måste skapa en användbar loggpost, datakedjan måste leverera den och detektionen måste tolka fälten korrekt. Fler loggar innebär inte automatiskt bättre täckning om de spår som behövs för en viss attack saknas eller inte går att använda.

Brava uppger att företagets multiagentteknik modellerar angripares beteende och identifierar hur specifika tekniker bör avspeglas i kundernas loggkällor. Plattformen testar sedan om dessa spår skulle utlösa de avsedda försvaren, skriver om SIEM-detektioner som saknas och åtgärdar luckor i dataflödena.

”Man kan inte automatisera ett beslut utifrån bevis som ingen någonsin har verifierat”, säger Idan Basre, Bravas medgrundare och vd, som tidigare ledde produktledningen för Microsoft Defender.

Det är viktigt att skilja mellan att generera spår och att genomföra en attack. Brava testar detektionskedjan med syntetisk telemetri. Det kan hjälpa till att upptäcka en regel som inte utlöser något larm eller ett fält som saknas, men ett lyckat test bevisar inte att alla varianter av ett verkligt intrång kommer att upptäckas eller att en angripare inte skulle kunna ta sig in i systemet.

Slut enhetlig kedja mellan regel och larm

Bravas arbetsflöde för produkten omfattar fyra steg: modellera hotet, syntetisera dess telemetri, verifiera och åtgärda brister i detektionen samt spela upp spåren igen för att bekräfta att ett larm visas i SIEM-systemet. Företaget beskriver också hur testerna upprepas när miljöerna förändras.

Detta skiljer sig på ett viktigt sätt från att betrakta en installerad regel som bevis på täckning. Om ett fältnamn ändras, en parser uppdateras eller en källa kopplas bort kan en tidigare användbar detektion sluta känna igen den aktivitet den utformades för. Genom att upprepa testet efter en ändring går det att avgöra om detektionen fortfarande fungerar med de data den faktiskt tar emot.

Plattformen är utformad för att fungera med befintlig säkerhetsinfrastruktur. Brava listar Splunk, Google SecOps, CrowdStrike och fler än 70 källor och destinationer, vilket minskar behovet av att ersätta de verktyg som säkerhetsteamet redan använder.

För en detektionsingenjör är det praktiska värdet ett mer specifikt svar än en allmän täckningspoäng: vilka spår som bör finnas, vilken del av detektionskedjan som missade dem och om åtgärden ledde till ett larm. Dessa frågor kopplar en teknisk ändring till ett mätbart resultat.

Utredning och datapipelines bygger på samma grund

På företagets webbplats presenteras ytterligare två närliggande funktioner. Aquarium, företagets gränssnitt för utredningar, planerar sökningar i olika källor och kopplar resultaten till de underliggande händelserna. Verktygen för datapipelines tolkar och normaliserar loggposter, skickar relevanta händelser till SIEM-systemet och lagrar övriga data i sökbar lagring till lägre kostnad.

Funktionerna löser olika delar av samma operativa problem. En analytiker behöver spår för att återskapa vad som hänt, medan en detektionsregel behöver rätt fält för att utlösas. Det är bara meningsfullt att minska mängden inlästa data om informationen som krävs för detektion och utredning fortfarande finns tillgänglig.

Enligt Bravas lanseringsmeddelande levererar plattformen de första insikterna inom 10–15 minuter efter introduktionen. Det är en av företaget uppgiven tid till de första resultaten, inte en garanti för att en fullständig företagsimplementering eller alla åtgärder av detektionsbrister blir klara inom den tidsramen.

Företagskunder och ett team med fokus på AI och säkerhet

Brava uppger att företaget har kunder bland Fortune 100-bolagen inom detaljhandel, energi och hotell- och restaurangbranschen, samt Cushman & Wakefield och det kanadensiska vårdföretaget WELL Health. Cushman & Wakefields informationssäkerhetschef Erik Hart säger att plattformen utreder tillsammans med hans team och samlar bevis som underlag för beslut.

Företaget grundades av Basre och CTO:n Itay Gabbay. Basre tillbringade tio år vid Unit 8200 som forskare inom cyberhot innan han började på Microsoft. Gabbay ägnade sju år åt att bygga AI-system inom IDF, bland annat genom arbete med ett gemensamt DARPA-israeliskt forskningsprogram.

Brava har omkring 20 anställda, med forskning och utveckling i Israel och ett kommersiellt team som växer i USA. Finansieringen stöder en produkt som förenar AI-forskning med en krävande säkerhetsteknisk uppgift: att modellera hur attacker tar sig uttryck i de specifika system som ett företag använder.

Företagets grundantagande är att autonoma säkerhetsbeslut måste vila på validerade belägg. Det starkaste testet av det antagandet blir en varaktigt hög upptäcktsförmåga i takt med att kundernas miljöer förändras: färre tysta regler, färre signaler som saknas och åtgärder som säkerhetsteamen kan visa faktiskt fungerar.