בכירים באנתרופיק ובמיקרוסופט משקיעים ב-Brava הישראלית, שבודקת אם מערכות האבטחה באמת מזהות תקיפות

הסטארטאפ הישראלי Brava נחשף היום (רביעי) ומודיע על גיוס סיד של 15 מיליון דולר. את הסבב הובילו קרנות ההון סיכון Pitango ו-F2, ולצדן השקיעו משקיעים פרטיים, ובהם בכירים במיקרוסופט, באנתרופיק ובצ'ק פוינט. שמותיהם לא צוינו בכתבה. החברה מפתחת פלטפורמה שבודקת שאלה פשוטה לכאורה: אם ארגון יותקף מחר, האם מערכות האבטחה שלו בכלל ישימו לב?

הבעיה: הכול ירוק בדשבורד

"היום כמעט אף ארגון לא יכול לענות בוודאות על השאלה הכי בסיסית באבטחת מידע: אם מישהו ינסה לתקוף אותנו מחר, האם נזהה את זה?", אמר עידן בצרי, מנכ"ל החברה, בשיחה עם גיקטיים.

ארגונים גדולים נשענים על מערכות SIEM, פלטפורמות שאוספות לוגים (רישומי פעילות) מכל רחבי הארגון ומפעילות עליהם אלפי "חוקי זיהוי", כללים שאמורים להקפיץ התראה כשמופיע דפוס חשוד. לפי הכתבה, מנהלי אבטחה מגלים לא פעם שחוקים נשברים בלי שאיש שם לב, שלוגים מפסיקים להגיע ושאזורי ענן שלמים נשארים בלי כיסוי, ובינתיים הדשבורד ממשיך להציג תמונה תקינה. מבדקי חדירה וסורקי חולשות, הכלים המקובלים היום, לרוב אינם בודקים ברציפות את כל שרשרת ההתראה בסביבת הייצור.

להתחיל מהתקיפה ולא מהלוגים

Brava הופכת את סדר הפעולות. במקום לחפש בלוגים סימנים לתקיפות מוכרות, המערכת מתחילה מהתקיפה עצמה. אייג'נטים (סוכני AI) שאומנו על מידע מתקיפות אמיתיות מייצרים את הטלמטריה, כלומר את הנתונים והאירועים, שתקיפה מסוימת הייתה משאירה בסביבה הספציפית של הלקוח. לדברי החברה, שום נוזקה לא מורצת בפועל.

"למשל, אם מתפרסמת טכניקה חדשה לגניבת הרשאות בענן, אנחנו יכולים לייצר את האירועים שהפעולות של התוקף היו משאירות במערכות, ולהעביר אותם דרך מערכות הזיהוי של הארגון. כך בודקים אם תתקבל התראה", הסביר בצרי.

כשמתגלה פער, המערכת מנסה לאתר את מקורו: האם חוק הזיהוי חסר, האם הוא קיים אבל לא עובד, או שהאירועים בכלל לא מגיעים ל-SIEM ושדות קריטיים נחתכים בדרך. לפי החברה, המערכת יכולה גם לכתוב חוקים חדשים בעצמה ולוודא שההתראה מגיעה לגורם הנכון. "כשיודעים מה לחפש בדאטה, כתיבת חוקי זיהוי היא החלק הקל. הקושי האמיתי הוא לדעת מראש איזו טלמטריה תייצר תקיפה בארגון מסוים", אמר בצרי.

הנתונים מגיעים מהחברה עצמה

כדי להמחיש את הבעיה, בצרי סיפר על ספקית בריאות גדולה בקנדה: "גילינו בתוך עשר דקות ש-44 אחוז מחוקי הזיהוי שלה היו שבורים ולא היו מסוגלים לייצר את ההתראות המצופות". אצל לקוח אחר, לדבריו, אחרי שנחשפו חולשות ב-PHP נבדקו מאות שרתים בפחות משעה, ונמצאו שרתים שבהם הזיהוי לא היה מופעל ואזור שלם שממנו הלוגים לא זרמו כלל.

חשוב לסייג: את הנתונים האלה מסרה החברה עצמה. הכתבה אינה כוללת אימות עצמאי שלהם, שמות לקוחות או נתונים חיצוניים על היקף התופעה בתעשייה.

בצרי גם הזהיר מהמהירות שבה ארגונים מאמצים AI: "ארגונים ממהרים לתת לבינה מלאכותית לנהל את מרכזי הסייבר שלהם, אבל בינה שפועלת על ראיות שלא נבדקו עלולה להגיע למסקנות שגויות, ולפעול לפיהן במהירות של מכונה".

את Brava הקימו בצרי ואיתי גבאי, ה-CTO, שניהם יוצאי יחידה 8200 ותוכנית תלפיות.

למה זה חשוב

ככל הנראה, הטיעון של Brava נוגע בנקודה רגישה בשוק: ארגונים משקיעים הרבה בכלי זיהוי, אבל מתקשים לבדוק שהם אכן עובדים. ההשקעה של בכירים מחברות AI וסייבר מרכזיות מעידה על עניין בגישה, אבל אינה מוכיחה את יעילותה. המבחן האמיתי יהיה נתונים שאפשר לבדוק באופן עצמאי, והשאלה אם הגישה מחזיקה מעמד בהיקף גדול.