ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ

Системы защиты предприятий настроены на обнаружение атак, сопровождающихся явными признаками. Данные этого года показывают, что злоумышленники добиваются успеха, действуя незаметно.

Согласно новому отчету Blue Report 2026 компании Picus Labs, в котором проанализировано более 338 миллионов реальных симуляций атак в производственных средах клиентов за первую половину 2026 года, этот год стал одним из самых успешных для систем защиты. Средняя эффективность предотвращения атак выросла с 62% до 69%, достигнув пикового значения 2024 года, а уровень регистрации атак достиг четырехлетнего максимума в 58%.

Хорошая новость: восстановление действительно имеет место. Плохая новость: оно происходит почти исключительно на периметре.

Более острый вывод отчета касается того, что происходит после преодоления этого периметра. Внутри картина меняется на противоположную: системы защиты, которые снаружи выглядят мощными, становятся уязвимыми и оказываются наиболее уязвимыми именно перед «тихими» действиями — разведкой и кражей учетных данных, которые предшествуют каждому серьезному нарушению безопасности.

Эта линия разлома проходит через весь отчет.

Уязвимое внутреннее пространство за восстанавливающимся периметром

Впервые Picus Labs измерила эффективность защиты после компрометации с помощью автономного тестирования на проникновение: какие средства контроля действительно прерывают цепочку атак, когда злоумышленник уже действует внутри сети в качестве авторизованного пользователя. Показатель эффективности защиты после компрометации составил всего 37%.

В настоящее время периметр блокирует примерно две атаки из трёх; внутри системы средства защиты останавливают едва ли одну из трёх.

Но за этим средним показателем скрывается более полезная закономерность. Внутренняя часть системы не дает сбоев равномерно. Сбои происходят по одной четкой линии. И здесь тоже: шумные действия перехватываются, а незаметные — нет.

Вредоносное поведение, связанное с запуском кода или перемещением между машинами, блокировалось в большинстве случаев: латеральное перемещение посредством выполнения сервисов с использованием таких техник, как Sharp-ServiceExec и SMBExec, останавливалось примерно в 90 % случаев, а повышение привилегий с обходом UAC было почти столь же успешным — около 85 %.

Это EDR выполняет свою работу, а многолетние инвестиции в подход «предполагай, что нарушение уже произошло» отражаются, как и ожидалось, в цифрах.

Между тем «тихая» работа проходит практически беспрепятственно.