Brava Security залучила 15 мільйонів доларів, щоб перевірити, що насправді здатні виявити засоби кіберзахисту на основі ШІ

Brava Security вийшла з режиму секретності, залучивши 15 мільйонів доларів початкового фінансування для розв’язання базової проблеми кіберзахисту за допомогою ШІ: автоматизований аналітик не може розслідувати атаку, якщо базові системи безпеки її не виявляють.

Інвестиційний раунд очолили F2 Venture Capital і Pitango, а серед бізнес-ангелів були керівники Anthropic, Microsoft і Check Point. Brava планує використати фінансування для розробки продукту та комерційного розширення в Північній Америці, зокрема для виходу на ринки фінансових послуг і державного сектору.

Компанія генерує телеметричні дані, які створила б атака в конкретному середовищі, але не здійснює саму атаку. Потім вона перевіряє, чи розпізнають наявні засоби захисту ці дані, і допомагає усунути прогалини. Тож у центрі її пропозиції — перевірка ефективності виявлення, а не просто пришвидшення розслідування сповіщень.

Перевірка даних до інциденту

Центри моніторингу безпеки спираються на телеметричні дані — записи про активність на кінцевих пристроях, у хмарних середовищах, системах ідентифікації та застосунках. Система управління інформацією та подіями безпеки, або SIEM, збирає й аналізує ці записи та за допомогою правил виявлення визначає підозрілу поведінку.

Цей процес залежить від кількох чинників. Відповідна система має створити корисний запис, конвеєр даних — доставити його, а механізм виявлення — правильно інтерпретувати поля. Більша кількість журналів не означає автоматично ширшого охоплення, якщо дані, потрібні для виявлення конкретної атаки, відсутні або непридатні для використання.

За словами Brava, її багатоагентна технологія моделює поведінку зловмисників і визначає, як конкретні методи мають відображатися в джерелах журналів клієнта. Потім платформа перевіряє, чи активували б ці сліди передбачені засоби захисту, переписує відсутні правила виявлення SIEM і усуває проблеми з потоками даних.

«Не можна автоматизувати ухвалення рішень на основі даних, які ніхто й ніколи не перевіряв», — сказав співзасновник і генеральний директор Brava Ідан Басре, який раніше очолював напрям управління продуктами Microsoft Defender.

Різниця між генеруванням даних і здійсненням атаки має значення. Brava перевіряє процес виявлення за допомогою синтезованої телеметрії. Це може допомогти виявити неактивне правило або відсутнє поле, але успішна перевірка не доводить, що буде виявлено всі варіанти реального вторгнення або що зловмисник не зможе проникнути в систему.

Як забезпечити зв’язок між правилом і сповіщенням

Робочий процес продукту Brava охоплює чотири етапи: змоделювати загрозу, синтезувати її телеметричні дані, перевірити й усунути прогалини у виявленні, а потім повторно відтворити дані, щоб підтвердити появу сповіщення в SIEM. Компанія також зазначає, що перевірки можна повторювати в міру зміни середовищ.

Це дає змогу не плутати встановлене правило з перевіреним охопленням. Через перейменування поля, оновлення парсера або від’єднання джерела раніше корисне правило виявлення може перестати знаходити активність, для якої його створили. Повторна перевірка після змін допомагає з’ясувати, чи працює правило з даними, які воно фактично отримує.

Платформу розроблено для роботи з наявною інфраструктурою безпеки. Серед інтеграцій Brava називає Splunk, Google SecOps, CrowdStrike, а також понад 70 джерел і кінцевих систем. Завдяки цьому команді безпеки не потрібно замінювати інструменти, якими вона вже користується.

Для інженера з виявлення загроз практична цінність полягає в тому, що платформа дає конкретнішу відповідь, ніж узагальнена оцінка охоплення: які дані мають бути наявні, на якому етапі їх не було виявлено та чи спричинило виправлення появу сповіщення. Ці запитання пов’язують інженерну зміну з результатом, який можна спостерігати.

Розслідування та конвеєри даних мають спільну основу

На сайті компанії описано ще дві пов’язані можливості. Aquarium, інтерфейс для розслідувань, планує виконувати пошук у різних джерелах і пов’язувати результати з першоджерелами подій. Інструменти для конвеєрів даних розбирають і нормалізують записи, спрямовують відповідні події до SIEM, а решту даних зберігають у сховищі з нижчою вартістю, де їх можна шукати.

Ці функції розв’язують різні складові однієї операційної проблеми. Аналітику потрібні дані, щоб відтворити перебіг подій, а правилу виявлення — правильні поля, щоб спрацювати. Зменшення обсягу даних, що надходять до системи, корисне лише тоді, коли інформація, необхідна для виявлення загроз і розслідувань, залишається доступною.

У повідомленні Brava зазначено, що платформа надає перші результати протягом 10–15 хвилин після початку роботи. Це час до появи перших результатів, про який повідомляє компанія, а не гарантія того, що повне розгортання на рівні підприємства або виправлення кожного правила виявлення буде завершено в цей проміжок.

Клієнти з числа великих підприємств і команда, що поєднує досвід у сфері ШІ та безпеки

Серед клієнтів Brava — компанії зі списку Fortune 100 у сферах роздрібної торгівлі, енергетики та готельного бізнесу, а також Cushman & Wakefield і канадська компанія у сфері охорони здоров’я WELL Health. Директор з інформаційної безпеки Cushman & Wakefield Ерік Гарт сказав, що платформа допомагає його команді проводити розслідування та об’єднує дані, необхідні для ухвалення рішень.

Компанію заснували Basre та технічний директор Itay Gabbay. До роботи в Microsoft Basre десять років працював дослідником загроз у підрозділі 8200. Gabbay сім років створював системи штучного інтелекту в Армії оборони Ізраїлю (IDF), зокрема брав участь у спільній дослідницькій програмі DARPA та Ізраїлю.

У Brava приблизно 20 працівників: дослідження та розробки ведуться в Ізраїлі, а комерційна команда розширюється у США. Фінансування спрямоване на створення продукту, що поєднує дослідження у сфері штучного інтелекту зі складним завданням інженерії безпеки: моделюванням того, як атаки проявляються в конкретних системах, якими користується підприємство.

Засада компанії полягає в тому, що автономні рішення з безпеки мають спиратися на перевірені докази. Найпереконливішою перевіркою цієї засади буде стабільна якість виявлення загроз у міру зміни середовищ клієнтів: менше правил, що не подають сигналу, менше пропущених сигналів і виправлення, ефективність яких команди безпеки можуть продемонструвати.