Brava Security ระดมทุนรอบ Seed ได้ 15 ล้านดอลลาร์ เพื่อทดสอบว่าระบบป้องกันภัยไซเบอร์ด้วย AI ตรวจจับอะไรได้จริง

Brava Security เปิดตัวหลังพัฒนาผลิตภัณฑ์แบบไม่เปิดเผยข้อมูล พร้อมเงินทุนรอบ Seed 15 ล้านดอลลาร์ เพื่อแก้จุดอ่อนพื้นฐานของการป้องกันภัยไซเบอร์ที่ใช้ AI ช่วย นั่นคือ นักวิเคราะห์อัตโนมัติไม่อาจตรวจสอบการโจมตีได้ หากระบบรักษาความปลอดภัยที่เกี่ยวข้องตรวจไม่พบการโจมตีนั้นตั้งแต่แรก

รอบการระดมทุนนี้นำโดย F2 Venture Capital และ Pitango โดยมีผู้บริหารจาก Anthropic, Microsoft และ Check Point ร่วมลงทุนในฐานะนักลงทุนอิสระ Brava วางแผนนำเงินทุนไปใช้พัฒนาผลิตภัณฑ์และขยายธุรกิจเชิงพาณิชย์ทั่วอเมริกาเหนือ รวมถึงเจาะโอกาสในภาคบริการทางการเงินและภาครัฐ

แนวทางของบริษัทคือสร้างข้อมูลเทเลเมทรีที่การโจมตีจะก่อให้เกิดขึ้นในสภาพแวดล้อมหนึ่ง ๆ โดยไม่ลงมือโจมตีจริง จากนั้นจึงตรวจสอบว่าระบบป้องกันที่มีอยู่ตรวจพบหลักฐานเหล่านั้นหรือไม่ และช่วยแก้ไขช่องโหว่ แนวทางนี้จึงมุ่งเน้นการตรวจสอบความพร้อมของระบบตรวจจับ มากกว่าการเร่งตรวจสอบการแจ้งเตือนเพียงอย่างเดียว

ทดสอบหลักฐานก่อนเกิดเหตุ

ศูนย์ปฏิบัติการด้านความปลอดภัยอาศัยข้อมูลเทเลเมทรี ซึ่งเป็นบันทึกกิจกรรมจากอุปกรณ์ปลายทาง สภาพแวดล้อมคลาวด์ ระบบระบุตัวตน และแอปพลิเคชัน ระบบจัดการข้อมูลความปลอดภัยและเหตุการณ์ หรือ SIEM จะรวบรวมและวิเคราะห์บันทึกเหล่านี้ โดยใช้กฎตรวจจับเพื่อระบุพฤติกรรมที่น่าสงสัย

กระบวนการนี้ต้องอาศัยปัจจัยหลายอย่าง ระบบที่เกี่ยวข้องต้องสร้างบันทึกที่มีประโยชน์ ระบบส่งต่อข้อมูลต้องนำบันทึกนั้นไปถึงปลายทาง และระบบตรวจจับต้องตีความฟิลด์ต่าง ๆ ได้อย่างถูกต้อง การมีบันทึกเพิ่มขึ้นไม่ได้หมายความว่าจะครอบคลุมภัยคุกคามได้ดีขึ้นโดยอัตโนมัติ หากหลักฐานที่จำเป็นต่อการตรวจจับการโจมตีบางประเภทไม่มีอยู่หรือใช้งานไม่ได้

Brava ระบุว่าเทคโนโลยีแบบหลายเอเจนต์ของบริษัทจำลองพฤติกรรมของผู้โจมตี และระบุว่าเทคนิคเฉพาะควรปรากฏในแหล่งบันทึกข้อมูลของลูกค้าอย่างไร จากนั้นแพลตฟอร์มจะทดสอบว่าร่องรอยเหล่านั้นกระตุ้นระบบป้องกันตามที่ตั้งใจไว้หรือไม่ เขียนกฎตรวจจับใน SIEM ที่ขาดหายขึ้นใหม่ และแก้ไขช่องว่างในการป้อนข้อมูล

“คุณจะทำให้การตัดสินใจเป็นระบบอัตโนมัติไม่ได้ หากอาศัยหลักฐานที่ไม่เคยมีใครพิสูจน์” Idan Basre ผู้ร่วมก่อตั้งและซีอีโอของ Brava ซึ่งเคยเป็นผู้นำด้านการจัดการผลิตภัณฑ์ของ Microsoft Defender กล่าว

ความแตกต่างระหว่างการสร้างหลักฐานกับการลงมือโจมตีจริงเป็นเรื่องสำคัญ Brava ทดสอบเส้นทางการตรวจจับผ่านข้อมูลเทเลเมทรีสังเคราะห์ วิธีนี้ช่วยเปิดเผยกฎที่ไม่ทำงานหรือฟิลด์ที่ขาดหายได้ แต่การทดสอบที่ผ่านไม่ได้พิสูจน์ว่าจะตรวจจับการบุกรุกจริงได้ทุกรูปแบบ หรือผู้โจมตีจะไม่สามารถเข้าถึงระบบได้

เชื่อมโยงกฎตรวจจับกับการแจ้งเตือนให้ครบวงจร

ขั้นตอนการทำงานของผลิตภัณฑ์ Brava มี 4 ขั้น ได้แก่ จำลองภัยคุกคาม สร้างข้อมูลเทเลเมทรีสังเคราะห์ ตรวจสอบและแก้ไขช่องว่างในการตรวจจับ และเล่นหลักฐานซ้ำเพื่อยืนยันว่ามีการแจ้งเตือนใน SIEM นอกจากนี้ ยังระบุว่าจะทดสอบซ้ำเมื่อสภาพแวดล้อมเปลี่ยนแปลง

แนวทางนี้ช่วยแยกความแตกต่างจากการมองว่าการติดตั้งกฎตรวจจับเพียงอย่างเดียวเท่ากับมีความครอบคลุมที่ผ่านการตรวจสอบแล้ว การเปลี่ยนชื่อฟิลด์ การอัปเดตตัวแยกวิเคราะห์ หรือการตัดขาดจากแหล่งข้อมูล อาจทำให้ระบบตรวจจับที่เคยมีประโยชน์ไม่สามารถจับคู่กับกิจกรรมที่ออกแบบมาให้ตรวจจับได้ การทดสอบซ้ำหลังการเปลี่ยนแปลงช่วยให้ทราบว่าระบบตรวจจับยังทำงานได้กับข้อมูลที่ได้รับจริงหรือไม่

แพลตฟอร์มนี้ออกแบบมาให้ทำงานร่วมกับโครงสร้างพื้นฐานด้านความปลอดภัยที่มีอยู่ Brava ระบุว่ารองรับ Splunk, Google SecOps, CrowdStrike รวมถึงแหล่งข้อมูลและปลายทางมากกว่า 70 รายการ จึงช่วยลดความจำเป็นในการเปลี่ยนเครื่องมือที่ทีมรักษาความปลอดภัยใช้งานอยู่แล้ว

สำหรับวิศวกรระบบตรวจจับ คุณค่าที่ใช้งานได้จริงคือการได้คำตอบที่เฉพาะเจาะจงกว่าคะแนนความครอบคลุมแบบกว้าง ๆ ได้แก่ หลักฐานใดควรมีอยู่ ส่วนใดของเส้นทางการตรวจจับที่พลาดหลักฐานนั้น และการแก้ไขทำให้เกิดการแจ้งเตือนหรือไม่ คำถามเหล่านี้เชื่อมโยงการเปลี่ยนแปลงทางวิศวกรรมเข้ากับผลลัพธ์ที่สังเกตได้

การตรวจสอบเหตุการณ์และระบบส่งต่อข้อมูลมีพื้นฐานร่วมกัน

เว็บไซต์ของบริษัทระบุความสามารถที่เกี่ยวข้องกันเพิ่มเติมอีก 2 ด้าน Aquarium ซึ่งเป็นอินเทอร์เฟซสำหรับการตรวจสอบเหตุการณ์ ช่วยวางแผนการค้นหาข้ามแหล่งข้อมูลและเชื่อมโยงสิ่งที่ค้นพบกับเหตุการณ์ต้นทาง ส่วนเครื่องมือจัดการระบบส่งต่อข้อมูลจะแยกวิเคราะห์และปรับรูปแบบบันทึกให้เป็นมาตรฐาน ส่งต่อเหตุการณ์ที่เกี่ยวข้องไปยัง SIEM และเก็บข้อมูลอื่นไว้ในพื้นที่จัดเก็บต้นทุนต่ำกว่าที่ค้นหาได้

ความสามารถเหล่านี้ตอบโจทย์คนละส่วนของปัญหาการปฏิบัติงานเดียวกัน นักวิเคราะห์ต้องใช้หลักฐานเพื่อประกอบเหตุการณ์ที่เกิดขึ้นกลับคืนมา ขณะที่กฎตรวจจับต้องอาศัยฟิลด์ที่ถูกต้องเพื่อให้ทำงานได้ การลดปริมาณข้อมูลที่นำเข้าสู่ระบบจะเป็นประโยชน์ก็ต่อเมื่อยังคงมีข้อมูลที่จำเป็นต่อการตรวจจับและตรวจสอบเหตุการณ์

ข่าวประชาสัมพันธ์ของ Brava ระบุว่าแพลตฟอร์มแสดงข้อมูลเชิงลึกเบื้องต้นภายใน 10–15 นาทีหลังเริ่มใช้งาน นี่คือระยะเวลาจนพบข้อมูลเบื้องต้นตามที่บริษัทแจ้ง ไม่ใช่การรับประกันว่าการติดตั้งใช้งานทั่วทั้งองค์กรอย่างสมบูรณ์ หรือการแก้ไขระบบตรวจจับทุกจุดจะเสร็จภายในช่วงเวลาดังกล่าว

ลูกค้าองค์กรและทีมงานที่เชี่ยวชาญทั้ง AI และความปลอดภัย

Brava ระบุว่ามีลูกค้าจากกลุ่ม Fortune 100 ในธุรกิจค้าปลีก พลังงาน และการบริการ รวมถึง Cushman & Wakefield และ WELL Health บริษัทด้านสุขภาพของแคนาดา Erik Hart ประธานเจ้าหน้าที่ฝ่ายรักษาความปลอดภัยสารสนเทศของ Cushman & Wakefield กล่าวว่าแพลตฟอร์มทำงานตรวจสอบไปพร้อมกับทีมของเขา และรวบรวมหลักฐานมาไว้ด้วยกันเพื่อสนับสนุนการตัดสินใจ

บริษัทก่อตั้งโดย Basre และ Itay Gabbay ซึ่งดำรงตำแหน่งประธานเจ้าหน้าที่ฝ่ายเทคโนโลยี ก่อนเข้าทำงานที่ Microsoft Basre ใช้เวลาสิบปีใน Unit 8200 ในฐานะนักวิจัยภัยคุกคาม ส่วน Gabbay ใช้เวลาเจ็ดปีพัฒนาระบบ AI ในกองกำลังป้องกันอิสราเอล (IDF) รวมถึงทำงานในโครงการวิจัยร่วมระหว่าง DARPA กับอิสราเอล

Brava มีพนักงานประมาณ 20 คน โดยมีทีมวิจัยและพัฒนาอยู่ในอิสราเอล และทีมธุรกิจที่กำลังขยายตัวในสหรัฐฯ เงินทุนนี้จะสนับสนุนผลิตภัณฑ์ที่ผสานงานวิจัยด้าน AI เข้ากับภารกิจวิศวกรรมความปลอดภัยที่ท้าทาย นั่นคือการจำลองลักษณะการโจมตีในระบบเฉพาะที่องค์กรใช้งาน

หลักการตั้งต้นของบริษัทคือ การตัดสินใจด้านความปลอดภัยแบบอัตโนมัติต้องมีหลักฐานที่ผ่านการตรวจสอบยืนยันรองรับอยู่เบื้องหลัง บททดสอบที่เข้มข้นที่สุดของหลักการนี้คือการรักษาคุณภาพการตรวจจับให้สม่ำเสมอเมื่อสภาพแวดล้อมของลูกค้าเปลี่ยนแปลงไป โดยต้องมีกฎที่ไม่ส่งสัญญาณน้อยลง สัญญาณที่ขาดหายไปน้อยลง และการแก้ไขที่ทีมรักษาความปลอดภัยสามารถแสดงให้เห็นได้ว่าทำงานได้จริง