Първо, малко добри новини: корпоративните защити се възстановяват. Това обаче е крехко възстановяване с обрат. Днес организациите се справят по-добре със спирането на шумни атаки, но почти не са отбелязали напредък срещу тихите.

Тези данни, както и много други, идват директно от новопубликувания „Blue Report 2026“ – четвъртото годишно изчерпателно проучване на Picus Labs. Базиран на повече от 338 милиона симулации на атаки, проведени в реални производствени среди през първата половина на 2026 г., докладът измерва как всъщност са се представили корпоративното предотвратяване и откриване срещу реални атаки – от това кои контроли са спрели заплахите по периметъка до това какво могат да постигнат атакуващите, след като вече са вътре.

Отново, възстановяването е реално, но не бързайте да празнувате, тъй като констатациите под повърхността показват колко неравномерно е то. Ето тези, които имат най-голямо значение.

Предотвратяването е силно на периметъка и слабо вътре в него

Общите показатели изглеждат добре. Средната ефективност на предотвратяването се е повишила от 62% на 69%, връщайки се към пика си от 2024 г.

Но си струва да уточним какво точно представляват тези 69%. Това е честотата, с която вашите контроли за сигурност – от защитата на периметъка до инструментите за защита на крайни устройства – действително са блокирали тестваните срещу тях действия на атакуващите. Силна средна стойност за целия набор от защити.

По-разкриващият въпрос е какво се случва, след като атакуващият вече е вътре.

За първи път Picus Labs измери също така какво се случва след преминаването на тази граница, използвайки автономно тестване за проникване (penetration testing), за да влезе в ролята на злонамерен субект, който вече е в мрежата.

Тук нещата започват да стават наистина интересни. След компрометирането са блокирани само 37% извън действията на атакуващите.

В рамките на домейна защитите спират приблизително едно на всеки три действия и позволяват на останалите две да продължат. Разликата между тези 37% и 69-те процента на границата е ключовото разкритие: контролите на периметъка и на крайните точки са подобрени, но предположението, че атакуващ, който ги премине, остава изолиран, за съжаление не издържа в реални условия.

Отвътре защитите улавят шумните и пропускат тихите

Страничното движение (lateral movement) и ескалацията на привилегии – действията, които изпълняват код или прескачат между машини – са били блокирани в 85-90% от случаите. Но разузнаването, картографирането на домейна и изброяването на споделени ресурси и сесии са спрени само в около 10% от случаите, а четенето на идентификационни данни от паметта е засечено само в около 22% от случаите.

Атакуващият може да картографира средата и да събере идентификационни данни почти без съпротива, преди да предприеме шумната стъпка, която би задействала аларма.

Picus Blue Report 2026, Автономни действия за тестване на проникване

Средният резултат за предотвратяване не показва нищо от това, защото той измерва различните етапи на атаката. Виждането му изисква изпълнение на атаката, което е точно това, което прави автономното тестване за проникване: то изпълнява реални пътища за атака в мрежата и разкрива какво всъщност би могъл да постигне натрапникът, след като е вътре.

Един и същ инструмент е блокиран на 94% по един начин и на 3% по друг

В рамките на симулациите един инструмент за кражба на идентификационни данни, Mimikatz, е дал коренно различни резултати в зависимост от това как е бил използван.

Извличането на идентификационни данни от паметта на процеса LSASS, класическият път с известна сигнатура, е блокиран в 94% от случаите.

Извличането им от други места в паметта: само 17%.

Четенето им от локалния регистър: нищожните 3%.

Същият инструмент, същата цел, същите среди. Единствената променлива? Колко разпознаваем е бил методът.

Причината е, че сигнатурата съвпада с известната версия на този тип атака, а не с поведението, което стои в основата ѝ. Пътят през LSASS е шумен и добре наблюдаван, докато четенето на регистъра изглежда като обикновена дейност с привилегирован достъп.

И дори тези 94% са измерени спрямо една известна компилация на Mimikatz, така че прекомпилиране, зареждане директно в паметта или използване на легитимен системен инструмент на Windows променя цифровия отпечатък, докато поведението остава абсолютно същото. Това е основното ограничение на всяка оценка за предотвратяване, изградена върху сигнатури: тя ви казва колко добре улавяте това, което вече сте виждали, а не дали самото поведение бива спирано.

Данните за Mimikatz идват от същото автономно тестване и това е отчасти целта: само изпробването на пълния набор от методи на атакуващия, а не само на добре известните, ще ви покаже къде вашите контроли тихо се провалят.

Предотвратяването на зловреден код намалява дори на границата

Процентът на предотвратяване на изтегляния на зловреден код въз основа на индикатори за компрометиране (IOC) спадна до 50% тази година, в сравнение с 60% през 2025 г. и 71% през 2024 г. Това е спад от 21 пункта за две години срещу един от най-добре проучените вектори на атака в сигурността. Това не е никак добре.

Причината е по-скоро структурна, отколкото пропускане на конкретен продукт.

Само VirusTotal получава близо два милиона нови файла на ден, а индикаторите се мащабират паралелно с процеса на създаване на код от страна на противника: един злонамерен код може да бъде пакетиран по безброй начини и сигнатурата трябва да отчита всеки един от тях. Поведенията, от друга страна, се мащабират спрямо целта и има ограничен брой начини за реално открадване на идентификационни данни.

Ето защо тестването, базирано на индикатори, и поведенческото тестване отговарят на фундаментално различни въпроси.

Тестването, базирано на IOC, пита дали дадена контрола разпознава известно съдържание със зловреден характер, което е...