Brava Security 融资 1500 万美元，测试 AI 网络防御究竟能检测到什么

Brava Security结束隐身模式，宣布获得 1500 万美元种子轮融资，旨在解决 AI 辅助网络防御中的一个根本弱点：如果底层安全系统始终无法检测到攻击，自动化分析员就无从调查。

本轮融资由 F2 Venture Capital 和 Pitango 领投，Anthropic、Microsoft 和 Check Point 的高管也以天使投资人身份参与。Brava 计划将这笔资金用于产品开发，并拓展北美商业业务，包括金融服务和政府领域的机会。

该公司的做法是在不实际发动攻击的情况下，生成攻击在特定环境中会产生的遥测数据。随后，它会检查现有防御措施能否识别这些证据，并协助弥补漏洞。因此，该公司的核心主张是验证检测能力，而不只是加快告警调查。

在事件发生前验证证据

安全运营中心依赖遥测数据，即记录终端、云环境、身份和应用活动的信息。安全信息与事件管理系统（SIEM）会收集并分析这些记录，利用检测规则识别可疑行为。

这一流程依赖多个环节。相关系统必须生成有用的记录，数据管道必须将其传送到位，检测机制也必须正确解析其中的字段。如果缺少特定攻击所需的证据，或这些证据无法使用，日志再多也不代表覆盖能力就更强。

Brava 表示，其多智能体技术会模拟攻击者行为，并识别特定技术在客户各类日志源中应呈现的形式。随后，平台会测试这些痕迹能否触发预期的防御措施，补写缺失的 SIEM 检测规则，并解决数据源馈送方面的缺口。

“如果没有人验证过某项证据，就无法基于它自动作出决策，”Brava 联合创始人兼首席执行官 Idan Basre 表示。他此前曾负责 Microsoft Defender 的产品管理。

生成证据与实际执行攻击之间的区别至关重要。Brava 通过合成遥测数据来测试检测路径。这有助于发现未触发的规则或缺失字段，但测试成功并不能证明真实入侵的所有变体都会被捕获，也不能证明攻击者无法进入系统。

打通检测规则与告警之间的闭环

Brava 的产品工作流程分为四个阶段：对威胁建模、合成其遥测数据、验证并修复检测缺口，以及回放证据以确认 SIEM 中出现告警。该流程还包括在环境发生变化时重新测试。

这与把已安装的规则视为已验证的覆盖能力有所不同，后者容易忽略实际效果。字段重命名、解析器更新或数据源断开，都可能导致原本有效的检测规则无法再匹配其设计用于识别的活动。环境变更后重新测试，有助于确认检测机制是否仍能根据实际收到的数据正常工作。

该平台旨在与现有安全基础设施协同工作。Brava 列出了 Splunk、Google SecOps、CrowdStrike，以及 70 多种数据源和目标，从而减少安全团队更换现有工具的必要。

对检测工程师而言，其实际价值在于提供比笼统的覆盖率评分更具体的答案：哪些证据理应存在、检测链路的哪个环节漏掉了这些证据，以及修复后是否产生了告警。这些问题将工程变更与可观察的结果联系起来。

调查与数据管道有着共同的基础

该公司的网站还介绍了两项相关能力。Aquarium 是其调查界面，计划支持跨数据源搜索，并将调查发现关联到其底层事件。其数据管道工具可以解析并规范化记录，将相关事件路由至 SIEM，并把其他数据保存在可搜索、成本更低的存储中。

这些功能分别解决同一运营问题的不同方面。分析员需要证据来还原事件经过，而检测规则则需要正确的字段才能触发。只有在检测和调查所需的信息仍可用的前提下，减少摄取数据量才有意义。

Brava 在公告中表示，平台可在客户完成接入后的 10–15 分钟内提供初步洞察。这是公司报告的首次发现所需时间，并不意味着完整的企业级部署或每项检测修复都能在这一时间范围内完成。

企业客户与兼具 AI 和安全经验的团队

Brava 表示，其客户包括零售、能源和酒店业的《财富》100 强企业，以及 Cushman & Wakefield 和加拿大医疗保健公司 WELL Health。Cushman & Wakefield 首席信息安全官 Erik Hart 表示，该平台会与他的团队协同开展调查，并汇集证据以支持决策。

公司由 Basre 和首席技术官 Itay Gabbay 创立。Basre 曾在以色列国防军情报部队 8200 部队担任威胁研究员十年，之后加入 Microsoft。Gabbay 曾在以色列国防军服役期间花七年构建人工智能系统，其中包括参与一项 DARPA 与以色列联合研究计划。

Brava 约有 20 名员工，研发团队位于以色列，商务团队则正在美国扩大规模。这笔融资将用于支持一款产品的开发，该产品将人工智能研究与一项要求严苛的安全工程任务结合起来：模拟攻击在企业所使用的特定系统中呈现的方式。

公司的基本理念是，自主安全决策需要以经过验证的证据为基础。检验这一理念的最佳方式，是在客户环境不断变化时持续保持高质量的检测：减少静默规则，减少信号缺失，并修复能够由安全团队证明确实行之有效的问题。