Корпоративните защити са настроени да улавят атаки, които вдигат шум. Данните от тази година обаче показват, че атакуващите печелят, като не вдигат никакъв.

Според новия доклад „Blue Report 2026“ на Picus Labs, който измерва над 338 милиона симулации на реални атаки в реални производствени среди на клиенти през първата половина на 2026 г., защитата отчита една от най-силните си години досега. Средната ефективност на предотвратяването е нараснала от 62% на 69%, съвпадайки с пика си от 2024 г., а регистрирането на събития (logging) е достигнало четиригодишен връх от 58%.

Добрата новина: възстановяването е реално. Лошата новина: то се случва почти изключително по периметъра.

По-категоричният извод от доклада е какво се случва, след като този периметър бъде преодолян. Отвътре картината се обръща: защитите, които изглеждат силни отвън, стават уязвими, като са най-слаби срещу тихите ходове – разузнаването и кражбата на идентификационни данни, които предхождат всеки сериозен пробив.

Това е разломна линия, която преминава през целия доклад.

Уязвима вътрешност зад възстановяващ се периметър

За първи път Picus Labs измерва предотвратяването на заплахи след компрометиране (post-compromise prevention) чрез автономно тестване за проникване: кои контроли всъщност прекъсват веригата на атаката, след като даден противник вече действа в мрежата като удостоверен потребител. Процентът на предотвратяване след компрометиране е едва 37%.

Сега периметърът блокира приблизително две от всеки три атаки; вътре защитата спира едва една от три.

Но тази средна стойност крие по-полезния модел. Вътрешността не се проваля равномерно. Провалът следва една ясна линия. Тук също шумните действия биват улавяни, докато тихите – не.

Злонамереното поведение, свързано с изпълнение на код или прескачане между машини, е блокирано през по-голямата част от времето: страничното движение (lateral movement) чрез изпълнение на услуги, използващо техники като Sharp-ServiceExec и SMBExec, е спирано в около 90% от случаите, а ескалацията на привилегии чрез заобикаляне на UAC е почти толкова успешна със своите около 85%.

Това показва, че EDR системите си вършат работата и годините на инвестиции в стратегията „приемане на пробив“ (assume-breach) се отразяват в цифрите, както се и очакваше.

В същото време тихата работа протича почти безпропятствено.

Разузнаването, картографирането на домейна и изброяването на споделени ресурси и сесии са най-слабо предотвратяваната категория, спирана в нищожните 10% от случаите. Защитата се справя малко по-добре при откриването на идентификационни данни, които тихо се четат от паметта – около 22%, а един вариант – извличане на тайни директно от системния регистър – е спиран в по-малко от 1% от опитите.

Атакуващият може да картографира средата, да събере сесии и да прочете идентификационни данни почти без никаква съпротива, подреждайки нещата в своя полза, преди да предприеме по-шумно действие, което би задействало някоя контрола за сигурност.

Сигнатурата улавя известната атака, а не поведението

Един резултат обяснява защо. Един и същ инструмент за кражба на идентификационни данни, Mimikatz, е стартиран за постигане на една и съща цел по три начина и резултатите от предотвратяването не биха могли да бъдат по-различни.

Извличането на идентификационни данни по класическия начин с тежки сигнатури директно от паметта на процеса LSASS е блокирано почти всеки път. Извличането им от други места в паметта или четенето им от системния регистър почти никога не е блокирано.

Същият инструмент, същата цел, същата среда.

Единствената променлива между тези три опита беше колко забележим е пътят. Пътят през LSASS е шумен по начин, по който инструментите могат да реагират: процес отваря дескриптор към lsass.exe и чете паметта му – събитие, за което доставчиците на решения за сигурност са разработили защити от години. Четенето на системния регистър никога не докосва lsass и изглежда като обикновена дейност с привилегирован достъп, така че контрола, създадена за първото събитие, няма защо да се задейства при второто.

Тревожно е, че тези 94% са дори по-слаби, отколкото звучат, тъй като са измерени спрямо една известна компилация на инструмент с отворен код, чиято разпознаваемост се крие в начина, по който е компилиран, а не в това, което прави.

  • Преименувайте низовете, по които работи дадена сигнатура, и хешът става нов.
  • Заредете го в паметта и нищо не попада на диска за сканиране.
  • Или прескочете Mimikatz изцяло и направете същото извличане с подписан от Microsoft инструмент, който вече е наличен в системата.

Всеки път завършва с придобити идентификационни данни; промени се само това, което сигнатурата следеше. Резултатът за предотвратяване, изграден върху сигнатури, ви казва колко добре улавяте това, което вече сте виждали, а не дали действително спирате поведението, което стои зад него.

Данните показват, че прикриването се отплаща на атакуващите

И тази пролука не се ограничава до един инструмент.

Докладът „Red Report 2026“ установи, че атакуващите съзнателно се насочват към прикриване (stealth), а „Blue Report“ показва, че това поведение работи за тях навсякъде. Единствената най-слабо предотвратявана техника в целия набор от данни е скриването на хронологията на командите, спирано само в 1% от случаите. Поведенията, които защитниците пропускат, са точно тези с нисък шум, на които разчитат днешните атакуващи, ориентирани към избягване на детекция.

Защитата срещу зловреден код се влошава по същата причина.

Процентът на предотвратяване на базата на индикатори за компрометиране (IOC), или колко често контролите за сигурност блокират известни злонамерени файлове, доставени като изтегляния, спадна до 50% тази година, от 60% миналата година и 71% през 2024 г.

Сигнатурите сами по себе си не могат да насмогнат: VirusTotal получава близо два милиона нови файла на ден, а преопаковането на злонамерен код прави индикатора остарял...