Picus: perimetar jača, ali unutrašnja mreža ostaje izložena
Picus Labs je u izveštaju Blue Report 2026 obuhvatio više od 338 miliona simulacija napada u produkcionim okruženjima klijenata tokom prve polovine 2026. Prosečna efikasnost sprečavanja napada porasla je sa 62% na 69%, dok je beleženje događaja dostiglo četvorogodišnji maksimum od 58%. Međutim, stopa sprečavanja napada nakon kompromitovanja, kada napadač već deluje kao prijavljeni korisnik u mreži, iznosila je samo 37%.
Brojevi ukazuju na izrazitu razliku između zaštite na obodu i zaštite unutar organizacije. Kontrole na perimetru blokiraju približno dva od tri napada, ali unutrašnje kontrole zaustavljaju tek približno jedan od tri. Problem nije ravnomerno raspoređen: glasnije aktivnosti češće bivaju zaustavljene, dok tiše pripremne radnje prolaze uz znatno manji otpor.
Tihe tehnike ostaju najslabija tačka
Bočno kretanje kroz izvršavanje servisa, tehnikama kao što su Sharp-ServiceExec i SMBExec, blokirano je oko 90% vremena. Zaobilaženje UAC-a radi podizanja privilegija zaustavljano je približno u 85% slučajeva. Takvi rezultati pokazuju da endpoint kontrole uspešno reaguju na ponašanja koja ostavljaju vidljiviji trag.
Nasuprot tome, izviđanje okruženja, uključujući mapiranje domena i nabrajanje deljenja i sesija, sprečeno je u svega 10% pokušaja. Čitanje akreditiva iz memorije detektovano je u približno 22% slučajeva, dok je izvlačenje tajni iz registra zaustavljeno u manje od 1% pokušaja. Skriveno brisanje ili prikrivanje istorije komandi bilo je najmanje sprečavana tehnika u skupu podataka, sa stopom od samo 1%.
Zašto potpisi nisu dovoljni
Picus je isti cilj krađe akreditiva alatom Mimikatz testirao kroz tri pristupa. Klasično izvlačenje podataka iz memorije procesa LSASS gotovo uvek je blokirano, dok čitanje drugih memorijskih lokacija ili registra gotovo nikada nije zaustavljeno. Razlika nije bila u cilju napada, već u uočljivosti puta kojim je on izveden.
Pristup procesu lsass.exe dugo je predmet pravila i instrumenata za detekciju, dok čitanje registra može izgledati kao uobičajena privilegovana aktivnost. Izveštaj zato razlikuje prepoznavanje poznatog artefakta od zaustavljanja samog ponašanja. Prepakovanje malvera, promena stringova ili korišćenje već prisutnog potpisanog alata mogu promeniti indikator, ali ne i krajnji ishod za napadača.
Telemetrija mora da postane operativna reakcija
Iako je stopa logovanja porasla na 58%, stopa upozorenja ostala je na 14%. To znači da je manje od jedne od sedam simulacija proizvelo alarm. U ovakvom odnosu problem više nije samo prikupljanje telemetrije, već inženjering pravila detekcije koja podatke pretvaraju u proverljivu i pravovremenu reakciju.
Ukupni proseci takođe mogu prikriti specifične slabosti. Prevencija je pala protiv devet od deset najtežih grupa za zaustavljanje, a sve vodeće porodice ransomvera blokirane su u manje od 38% slučajeva. Kod grupe Play stopa je pala sa 50% na 13%, uprkos rastu opšte prosečne prevencije.
Za bezbednosne timove praktičan zaključak je da validaciju ne treba svesti na godišnju proveru inventara ili poznatih indikatora. Potrebno je testirati stvarnu iskoristivost izloženosti, otkrivanje mreže, nabrajanje deljenja i sesija, tihi pristup akreditivima i pravila koja proizvode upozorenja. U širem kontekstu aktuelnih incidenata, aktuelni incidenti i promenljive napadačke tehnike pokazuje kako se napadačke tehnike i početne tačke kompromitovanja neprestano menjaju, pa kontrole treba redovno proveravati prema ponašanjima koja zaista mogu proći kroz okruženje.