Brava Security huy động 15 triệu USD để kiểm tra những gì hệ thống phòng thủ mạng bằng AI thực sự có thể phát hiện

Brava Security ra mắt sau thời gian hoạt động kín với 15 triệu USD vốn hạt giống nhằm khắc phục một điểm yếu căn bản trong phòng thủ mạng có AI hỗ trợ: một nhà phân tích tự động không thể điều tra cuộc tấn công nếu các hệ thống bảo mật nền tảng không phát hiện ra nó.

Vòng gọi vốn do F2 Venture Capital và Pitango dẫn dắt, với sự tham gia của các nhà đầu tư thiên thần là lãnh đạo tại Anthropic, Microsoft và Check Point. Brava dự định sử dụng khoản vốn này để phát triển sản phẩm và mở rộng hoạt động thương mại trên khắp Bắc Mỹ, trong đó có các cơ hội ở lĩnh vực dịch vụ tài chính và chính phủ.

Cách tiếp cận của công ty là tạo ra dữ liệu đo từ xa mà một cuộc tấn công sẽ tạo ra trong một môi trường cụ thể, nhưng không thực sự tiến hành cuộc tấn công đó. Sau đó, công ty kiểm tra xem các biện pháp phòng thủ hiện có có nhận diện được bằng chứng này hay không, đồng thời giúp khắc phục những lỗ hổng. Vì vậy, trọng tâm trong đề xuất của Brava là xác thực khả năng phát hiện, chứ không đơn thuần là điều tra cảnh báo nhanh hơn.

Kiểm tra bằng chứng trước khi sự cố xảy ra

Các trung tâm vận hành an ninh dựa vào dữ liệu đo từ xa: những bản ghi hoạt động trên các thiết bị đầu cuối, môi trường đám mây, danh tính và ứng dụng. Hệ thống quản lý thông tin và sự kiện bảo mật (SIEM) thu thập và phân tích các bản ghi này, sử dụng quy tắc phát hiện để nhận diện hành vi đáng ngờ.

Quy trình này phụ thuộc vào nhiều yếu tố. Hệ thống liên quan phải tạo ra bản ghi hữu ích, quy trình truyền dữ liệu phải chuyển được bản ghi đó đến nơi cần thiết, và cơ chế phát hiện phải diễn giải chính xác các trường dữ liệu. Có thêm nhiều nhật ký không đồng nghĩa với phạm vi bao quát tốt hơn nếu thiếu bằng chứng cần thiết để phát hiện một cuộc tấn công cụ thể hoặc nếu bằng chứng đó không thể sử dụng được.

Brava cho biết công nghệ đa tác nhân của công ty mô hình hóa hành vi của kẻ tấn công và xác định cách các kỹ thuật cụ thể sẽ xuất hiện trong những nguồn nhật ký của khách hàng. Sau đó, nền tảng kiểm tra xem các dấu vết đó có kích hoạt biện pháp phòng thủ dự kiến hay không, viết lại các cơ chế phát hiện còn thiếu trong SIEM và xử lý những lỗ hổng trong luồng dữ liệu.

“Bạn không thể tự động hóa một quyết định dựa trên những bằng chứng chưa từng được ai xác minh”, Idan Basre, đồng sáng lập kiêm CEO của Brava, cho biết. Trước đây, ông phụ trách quản lý sản phẩm cho Microsoft Defender.

Cần phân biệt giữa việc tạo ra bằng chứng và thực hiện một cuộc tấn công. Brava kiểm tra quy trình phát hiện thông qua dữ liệu đo từ xa được tổng hợp. Cách này có thể giúp phát hiện quy tắc không hoạt động hoặc trường dữ liệu bị thiếu, nhưng kết quả kiểm tra thành công không chứng minh rằng mọi biến thể của một vụ xâm nhập thực tế đều sẽ bị phát hiện, cũng không chứng minh rằng kẻ tấn công không thể truy cập hệ thống.

Khép kín quy trình từ quy tắc đến cảnh báo

Quy trình sản phẩm của Brava gồm bốn giai đoạn: mô hình hóa mối đe dọa, tổng hợp dữ liệu đo từ xa của mối đe dọa đó, xác minh và khắc phục các lỗ hổng trong khả năng phát hiện, rồi phát lại bằng chứng để xác nhận cảnh báo xuất hiện trong SIEM. Công ty cũng cho biết sẽ kiểm tra lại khi môi trường thay đổi.

Điều này khác với việc xem một quy tắc đã cài đặt là phạm vi bao quát đã được xác minh. Việc đổi tên trường dữ liệu, cập nhật bộ phân tích cú pháp hoặc ngắt kết nối một nguồn dữ liệu có thể khiến cơ chế phát hiện từng hữu ích không còn đối chiếu được hoạt động mà nó được thiết kế để phát hiện. Kiểm tra lại sau khi có thay đổi giúp xác định liệu cơ chế phát hiện còn hoạt động với dữ liệu thực tế mà nó nhận được hay không.

Nền tảng được thiết kế để hoạt động với cơ sở hạ tầng bảo mật hiện có. Brava liệt kê Splunk, Google SecOps, CrowdStrike cùng hơn 70 nguồn và đích đến, nhờ đó giảm nhu cầu thay thế các công cụ mà đội ngũ bảo mật đang sử dụng.

Đối với một kỹ sư phát hiện, giá trị thực tiễn là có được câu trả lời cụ thể hơn điểm số bao quát chung chung: bằng chứng nào cần có, phần nào trong quy trình phát hiện đã bỏ sót bằng chứng đó, và liệu việc khắc phục có tạo ra cảnh báo hay không. Những câu hỏi này kết nối thay đổi về kỹ thuật với một kết quả có thể quan sát được.

Điều tra và quy trình dữ liệu có chung nền tảng

Trang web của công ty giới thiệu thêm hai khả năng liên quan. Aquarium, giao diện điều tra của công ty, lập kế hoạch tìm kiếm trên nhiều nguồn và liên kết các phát hiện với sự kiện nền tảng. Công cụ quy trình dữ liệu phân tích cú pháp và chuẩn hóa bản ghi, chuyển các sự kiện liên quan đến SIEM, đồng thời lưu trữ dữ liệu khác trong kho lưu trữ có chi phí thấp hơn và cho phép tìm kiếm.

Các chức năng này giải quyết những phần khác nhau của cùng một vấn đề vận hành. Nhà phân tích cần bằng chứng để dựng lại những gì đã xảy ra, còn quy tắc phát hiện cần đúng các trường dữ liệu để kích hoạt. Chỉ giảm khối lượng dữ liệu nhập vào mới có ích nếu thông tin cần thiết cho việc phát hiện và điều tra vẫn được lưu lại và có thể truy cập.

Thông cáo của Brava cho biết nền tảng cung cấp những thông tin chuyên sâu ban đầu trong vòng 10–15 phút kể từ khi bắt đầu triển khai. Đây là thời gian có được những phát hiện đầu tiên do công ty công bố, chứ không phải cam kết rằng toàn bộ quá trình triển khai cho doanh nghiệp hoặc mọi hoạt động khắc phục cơ chế phát hiện đều hoàn tất trong khoảng thời gian đó.

Khách hàng doanh nghiệp và đội ngũ kết hợp chuyên môn về AI lẫn bảo mật

Brava cho biết có khách hàng thuộc danh sách Fortune 100 trong các lĩnh vực bán lẻ, năng lượng và dịch vụ lưu trú, cùng với Cushman & Wakefield và WELL Health, công ty chăm sóc sức khỏe của Canada. Erik Hart, Giám đốc an ninh thông tin (CISO) của Cushman & Wakefield, cho biết nền tảng hỗ trợ điều tra cùng đội ngũ của ông và tập hợp bằng chứng để hỗ trợ việc ra quyết định.

Công ty được thành lập bởi Basre và Giám đốc công nghệ Itay Gabbay. Trước khi làm việc tại Microsoft, Basre đã dành mười năm làm nhà nghiên cứu mối đe dọa tại Unit 8200. Gabbay đã dành bảy năm xây dựng các hệ thống AI trong IDF, trong đó có công việc thuộc một chương trình nghiên cứu chung giữa DARPA và Israel.

Brava có khoảng 20 nhân viên, với bộ phận nghiên cứu và phát triển đặt tại Israel và đội ngũ kinh doanh đang mở rộng tại Hoa Kỳ. Khoản vốn đầu tư hỗ trợ phát triển một sản phẩm kết hợp nghiên cứu AI với một nhiệm vụ kỹ thuật bảo mật đòi hỏi cao: mô hình hóa cách các cuộc tấn công xuất hiện trong những hệ thống cụ thể mà doanh nghiệp sử dụng.

Tiền đề của công ty là các quyết định bảo mật tự động cần có bằng chứng được xác thực làm cơ sở. Phép thử khắt khe nhất đối với tiền đề này sẽ là duy trì chất lượng phát hiện khi môi trường của khách hàng thay đổi: ít quy tắc âm thầm hơn, ít tín hiệu bị bỏ sót hơn và các biện pháp khắc phục mà đội ngũ bảo mật có thể chứng minh là thực sự hiệu quả.