보안 도구는 공격의 알려진 버전을 차단하는 데 성공할 수 있지만, 같은 행동이 덜 명확한 방식으로 실행되면 이를 통과시킬 수 있다. 이는 Picus Labs가 발표한 Blue Report 2026에 기반한 분석의 핵심 결론이다. 이 보고서는 2026년 1월부터 6월 사이에 실행된 3억 3,800만 건 이상의 공격 시뮬레이션을 통해 실제 고객 환경에서 차단 및 탐지 수단의 성능을 측정했다.
전체 차단 효과는 전년도의 62%에서 69%로 상승해 2024년 수준으로 돌아왔다. 그러나 이 수치는 보호 체계 전체의 평균을 나타낼 뿐이며, 공격자가 환경에 진입한 뒤 무엇을 할 수 있는지 또는 동일한 목표를 달성하기 위해 사용되는 도구와 방식을 바꿀 때 어떤 일이 일어나는지는 반드시 보여주지 않는다.
알려진 지표가 행동에 대한 보호를 의미하지는 않는다
분석은 두 가지 유형의 테스트를 구분한다. 알려진 지표 테스트, 즉 IOC 기반 테스트는 방화벽, 웹 에이전트 및 보안 이메일 게이트웨이가 알려진 악성 샘플을 식별하고 다운로드 시도를 차단할 수 있는지 확인한다. 이 측정은 경계 보호 계층에 적합하지만, 다른 질문에는 답하지 못한다. 도구나 경로와 관계없이 시스템이 공격자가 실행하는 행위를 차단할 수 있는가?
여기서 전술·기술·절차(TTP)에 기반한 행동 테스트가 등장한다. 이 접근법은 Mimikatz라는 도구가 시스템에 알려져 있는지를 묻는 대신, 장치의 어떤 프로그램이든 사용자의 인증 자료를 획득할 수 있는지를 테스트한다. 이 질문은 엔드포인트 보호 도구와 침입 탐지 시스템에 중요하다. 이러한 통제가 개입 단계에 도달할 때 공격자는 대개 이미 환경 내부에서 실행을 시작했기 때문이다.
IOC에 따른 알려진 악성코드 다운로드 차단율은 2026년 데이터에서 50%로 하락했으며, 2025년에는 60%, 2024년에는 71%였다. 이는 서명에 가장 크게 의존하는 계층조차 일관된 범위를 제공하지 못한다는 점을 보여준다. 또한 알려진 서명 테스트에서 좋은 결과가 나왔다고 해서 행동이나 실행 방식이 바뀌었을 때 어떤 일이 발생하는지는 알 수 없다.
Mimikatz 사례가 격차를 드러낸다
고객 환경에서는 동일한 목표, 즉 인증 자료 추출을 달성하기 위해 Mimikatz를 세 가지 경로로 사용했다. LSASS 프로세스 메모리에서 데이터를 추출하는 시도는 94% 차단되었으며, 이는 제품이 광범위하게 모니터링하는 전통적인 경로다. 그러나 동일한 도구를 사용해 메모리의 다른 위치에서 RDP 인증 자료를 가져오는 경우 그 비율은 17%로 하락했고, 로컬 시스템 레지스트리에서 LSA Secrets를 읽는 경우에는 3%로 떨어졌다.
세 사례 모두 동일한 상위 기술인 OS Credential Dumping (T1003)에 해당하며, 같은 결과로 끝난다. 공격자가 민감한 인증 자료를 확보하는 것이다. 차이는 보안 통제가 경로를 얼마나 명확하게 식별할 수 있는지에 있었다. lsass.exe의 메모리를 읽으면 더 쉽게 대조할 수 있는 이벤트가 남지만, SYSTEM 권한으로 레지스트리 하이브를 읽는 행위는 일반적인 관리 활동에 더 가까워 보일 수 있다.
또한 알려진 Mimikatz 버전에 대한 차단 성공이 결과의 지속성을 보장하지는 않는다. 서명이 의존하는 문자열을 변경하거나, 도구를 다시 컴파일하거나, 디스크에 남기지 않고 메모리에 코드를 로드하거나, ProcDump 또는 comsvcs.dll과 같은 Microsoft 서명 도구를 사용한 뒤 데이터를 분석할 수 있다. 이러한 경우 서명이 찾는 흔적은 달라지지만 행동과 최종 목표는 그대로 유지된다.
환경 내부의 보호는 경계 보호보다 약하다
경계 수준에서 측정한 전체 차단율은 69%였지만, 인증된 사용자로 진입한 뒤 공격자가 할 수 있는 일을 측정한 침투 자체 테스트에서는 침해 후 조치의 37%만 차단된 것으로 나타났다. 다시 말해 보호 수준은 경계에서 공격의 약 3분의 2를 차단하는 데서 환경 내부 행위의 조금 넘는 3분의 1을 차단하는 수준으로 바뀌었다.
더 소음이 큰 행위일수록 탐지 가능성이 높았다. 측면 이동 탐지율은 약 90%, UAC 우회 탐지율은 85%를 넘었으며, 인증 자료 재사용 및 Active Directory 악용 차단율은 약 63%에 도달했다. 반면 덜 명확한 활동에서는 비율이 하락했다. 메모리와 레지스트리에서 수동으로 읽은 인증 자료에 대한 보호율은 22%를 넘지 못했고, 로컬 레지스트리 비밀 추출의 경우에는 1% 미만이었다. 또한 탐색 및 수집 활동은 10%를 넘지 못했으며, SharpHound를 사용한 도메인 열거와 로컬 파일 수집은 대부분 방해 없이 실행되었다.
실무적으로 무엇이 달라지는가?
분석의 실질적인 결론은 보안 검증 프로그램이 각 테스트를 무엇을 측정하는지에 따라 해석해야 하며, 하나의 결과를 전체 범위에 대한 포괄적인 증거로 취급해서는 안 된다는 것이다. 알려진 샘플 테스트는 방화벽, 웹 에이전트, 웹 애플리케이션 방화벽 및 보안 이메일 게이트웨이에 여전히 적합하다. 그러나 EDR, IDS 및 SIEM 콘텐츠를 포함한 엔드포인트와 탐지 계층은 동일한 목표로 이어지는 모든 경로를 테스트해야 한다. LSASS 메모리, 레지스트리, 대체 메모리 위치, 기본 제공 도구 및 다시 컴파일된 버전이 이에 해당한다.
이 글은 유명한 절차 하나만 테스트하면 실제로는 여전히 노출된 항목을 종결할 수 있다고 경고한다. 분석은 하나의 서명이 하나의 도구를 식별했다는 사실에 만족하는 대신, 동일한 행동에 대한 여러 시뮬레이션을 사용해 기존 통제를 검증할 것을 제안한다. Picus Swarm은 회사의 제품 및 서비스 체계 안에서 이러한 변형을 실행하고 환경 전반에서 테스트하기 위한 조정 계층으로 언급된다.
권고 사항은 반드시 새로운 도구를 추가하라는 것이 아니다. 실제로 공격 사슬을 끊을 수 있는 기존 통제를 식별한 뒤, 각 노출에 대해 수정, 완화, 모니터링 또는 근거를 갖춘 수용 중 무엇을 선택할지 문서화해 결정하는 것이다. 이 글에 따르면 보고서의 결과는 부문 및 지역별 성능 차이, 가장 많이 악용된 취약점, 58%의 로깅률 및 14%의 알림률을 포함하는 더 광범위한 연구의 일부로 남는다.