Цього року виповнюється чотири роки з моменту випуску “Blue Report” від Picus Labs, який вимірює ефективність захисту та виявлення загроз на реальних системах. Дослідження базується на понад 338 мільйонах симуляцій атак, проведених у реальних середовищах клієнтів з січня по червень 2026 року.
Загальний показник ефективності захисту зріс з 62% до 69%, повернувшись до рівня 2024 року. Однак, ця цифра є усередненою і приховує значні вразливості.
Ті самі засоби контролю, що блокують відомі інструменти зловмисників, можуть пропускати тихіші версії тих самих методів. Результат залежить не стільки від наявності певного продукту, скільки від того, наскільки впізнаваним є метод атаки та чи проводилося тестування на приховані варіанти.
Тестування на основі IOC та TTP вимірює різні аспекти
Ефективність захисту залежить від відповіді на одне з двох питань.
Тестування на основі IOC (Indicators of Compromise) перевіряє, чи розпізнає система вже відомі шкідливі об’єкти. Зразки шкідливого програмного забезпечення, що циркулюють у мережі, доставляються як спроби завантаження, і прикордонні засоби контролю, такі як міжмережеві екрани, веб-проксі та захищені шлюзи електронної пошти, або блокують їх, або ні.
Для цього рівня це правильний інструмент: блокування відомого шкідливого вмісту на межі мережі — це саме те, для чого призначені ці засоби контролю.
Поведінкове тестування на основі TTP (Tactics, Techniques, and Procedures) перевіряє, чи блокує система саму дію, незалежно від шляху її виконання. Замість запитання “Чи виявлено Mimikatz?”, ставиться питання: “Чи може процес на цьому хості отримати облікові дані взагалі?”.
Саме на це питання мають відповідати засоби контролю кінцевих точок та виявлення вторгнень, оскільки до моменту їх залучення зловмисник майже завжди вже виконує свої дії.
Артефакти легко змінюються; поведінка — ні.
Так, обидва види тестування є необхідними. І так, варто наполягати на цьому перед фінансовим відділом, якщо вони вважатимуть це зайвим.
Асиметрія є структурною та навмисною.
На жаль, навіть прикордонний захист стає менш ефективним.
Згідно з даними цього року, показник запобігання завантаженню шкідливого програмного забезпечення на основі IOC знизився до 50% у середовищах клієнтів порівняно з 60% минулого року та 71% у 2024 році.
Навіть шар, який найкраще покривається сигнатурами, дає збій. І успішний результат тут нічого не говорить про базову поведінку, де криється проблема з Mimikatz. Ось попередній висновок: він не надто оптимістичний.
Сигнатурний захист втратив 21 пункт за два роки
Ваші засоби контролю зупиняють ту версію атаки, яку вони розпізнають. Однак, якщо використати ту саму поведінку, але через тихіший канал, вона пройде непомітно, хоча попередній тест і показував, що ви захищені.
Дізнайтеся, що саме зупиняє ваша система, з “Blue Report 2026”, і тестуйте поведінку, а не саму процедуру.
Механізми пояснюють цей розрив.
Шлях до LSASS є очевидним і легко виявляється: процес відкриває дескриптор до lsass.exe та читає його пам’ять. Інші постачальники вже давно інструментували цей процес. Читання LSA Secrets ніколи не торкається lsass; воно виконується як SYSTEM і читає реєстровий розділ, що не відрізняється від звичайної привілейованої активності. Засіб контролю, побудований навколо першої події, не матиме реакції на другу.
І навіть ці 94% є менш надійними, ніж здаються. Вони були виміряні проти однієї відомої збірки інструменту з відкритим вихідним кодом, впізнаваність якого залежить від способу компіляції, а не від його функціональності.
-
Змініть рядки, на які спирається сигнатура, або перекомпілюйте інструмент, і хеш та показові маркери стануть новими.
-
Завантажте його рефлективно, і код ніколи не потрапить на диск, щоб його можна було виявити.
-
Або пропустіть цю збірку і отримайте ті самі дані за допомогою підписаної Microsoft утиліти, як-от ProcDump або comsvcs.dll, а потім розпарсіть їх офлайн.
Кожен із цих методів призводить до однакового результату: зловмисник отримує ваші облікові дані. Поведінка ніколи не змінюється. Змінюється лише те, що шукала сигнатура.
Усередині середовища захист знижується до 37%
Mimikatz — це одна з поведінок; така ж розбіжність спостерігається по всьому внутрішньому середовищу. Загальний показник ефективності захисту (69%) вимірює, наскільки добре засоби контролю зупиняють атаки на межі мережі. Автономне тестування на проникнення вимірює складніший аспект: що зловмисник може фактично досягти, опинившись всередині як “автентифікований користувач”. У цій категорії дії після компромета, лише 37% були заблоковані.
Периметр зупиняє дві з трьох атак; опинившись всередині, цей показник падає до менш ніж одного з трьох.
Гучні дії були виявлені: горизонтальне переміщення виявлялося приблизно в 90% випадків, обхід UAC — близько 85%, повторне використання облікових даних та зловживання Active Directory — близько 63%.
Потім, на жаль, ситуація різко погіршується.
Пасивне зчитування облікових даних з пам’яті та реєстру: 22%, а вилучення секретів з локального реєстру заблоковано? Менше 1%. Розвідка та збір даних: 10%, перелік доменів SharpHound та збір локальних файлів відбуваються майже безперешкодно.
Ці 22% — це варіація реєстру в масштабі, а 10% — це той самий профіль: за відсутності індикаторів для прив’язки, відбувається повний, безперешкодний прогрес до мети зловмисника.
Закриття розриву
Використовуйте обидва типи тестування та аналізуйте, що саме вимірює кожен з них.
Тестування на виявлення відомих загроз — це базовий рівень для прикордонних засобів контролю: міжмережеві екрани, веб-проксі, WAF, захищені шлюзи електронної пошти. Вони доставляють відомі шкідливі зразки як спроби завантаження та перевіряють, чи блокує їх периметр. Це показує, що периметр тримається, але нічого не говорить про базову поведінку та те, що відбувається всередині.
Поведінкова валідація — це інша половина, і вона належить до рівня кінцевих точок та виявлення: EDR, IDS, SIEM-контент. Доведення того, що доступ до облікових даних захищено, означає тестування всіх шляхів до нього: пам’ять LSASS, реєстр, альтернативні місця пам’яті, нативні інструменти, перекомпільовані збірки.
Валідація лише відомої процедури призводить до закриття пункту, який насправді залишається відкритим, — це найнебезпечніша помилка, яку може зробити програма валідації.
Виконання цього вручну не масштабується, і тут на допомогу приходить Picus Swarm: рівень оркестрації, який запускає численні поведінкові варіації атак у вашому середовищі та валідує кожну з них проти розгорнутих вами засобів контролю, щоб покриття підтверджувалося поведінкою, а не одним лише методом, який вже розпізнається сигнатурою.
Готові до хорошої новини? Все це не вимагає нової інфраструктури. Це вимагає розуміння того, які з наявних у вас засобів контролю можуть розірвати ланцюг, щоб кожна загроза стала рішенням, яке ви можете захистити: Патч, Пом’якшення, Моніторинг або Прийняття з доказом.
Прочитайте повний звіт
Вищезазначені висновки — це лише одна з тем “Blue Report 2026”, четвертого щорічного дослідження Picus Labs щодо ефективності захисту та виявлення загроз у реальних умовах, а не в лабораторії.
У звіті багато іншого:
-
Як ваша галузь та регіон оцінювалися цього року.
-
Найбільш експлуатовані вразливості року, які блокуються менш ніж у 25% спроб.
-
Групи загроз і програми-вимагачі, проти яких захист втратив найбільше позицій.
-
Збої у виявленні, що призвели до 58% показника логування та 14% показника сповіщень.
Завантажте “Blue Report 2026”, щоб дізнатися, як оцінюється ваша галузь, та куди слід зосередити зусилля в першу чергу.
Джерело новини: www.bleepingcomputer.com