As ferramentas de segurança podem conseguir interromper uma versão conhecida de um ataque, mas deixar o mesmo comportamento passar quando ele é executado de maneira menos óbvia. Essa é a principal conclusão de uma análise baseada no Blue Report 2026, publicado pela Picus Labs, que mediu o desempenho dos mecanismos de prevenção e detecção em ambientes reais de clientes por meio de mais de 338 milhões de simulações de ataques realizadas entre janeiro e junho de 2026.
A eficácia geral de prevenção subiu para 69%, em comparação com 62% no ano anterior, retornando ao nível de 2024. No entanto, esse número representa uma média em todo o ecossistema de proteção e não esclarece necessariamente o que um invasor pode fazer depois de entrar no ambiente ou quando muda a ferramenta e o método usados para alcançar o mesmo objetivo.
Um indicador conhecido não equivale à proteção contra o comportamento
A análise distingue dois tipos de testes. Os testes baseados em indicadores conhecidos, ou IOC-based testing, verificam a capacidade de firewalls, agentes web e gateways de e-mail seguro de reconhecer amostras maliciosas conhecidas e bloquear tentativas de baixá-las. Essa medição é adequada para a camada de proteção periférica, mas não responde a uma pergunta diferente: o ecossistema consegue impedir a ação executada pelo invasor, independentemente da ferramenta ou do caminho?
É nesse ponto que entram os testes comportamentais baseados em táticas, técnicas e procedimentos (TTPs). Em vez de perguntar se a ferramenta Mimikatz é conhecida pelo sistema, essa abordagem testa se qualquer programa no dispositivo consegue obter materiais de credenciais do usuário. Essa questão é importante para ferramentas de proteção de endpoints e sistemas de detecção de intrusão, porque o invasor geralmente já começou a execução dentro do ambiente quando esses controles chegam à etapa de intervenção.
A taxa de bloqueio de downloads de malware conhecido segundo indicadores IOC caiu para 50% nos dados de 2026, contra 60% em 2025 e 71% em 2024. Isso indica que até mesmo a camada mais dependente de assinaturas não oferece cobertura constante, e que um bom resultado em um teste de assinatura conhecida não revela o que acontece quando o comportamento ou a forma de execução muda.
O exemplo do Mimikatz revela a lacuna
Os ambientes dos clientes usaram a ferramenta Mimikatz para alcançar o mesmo objetivo, a extração de credenciais, por meio de três caminhos. A extração de dados da memória de um processo LSASS foi bloqueada em 94% das tentativas, o caminho tradicional amplamente monitorado pelos produtos. Mas o percentual caiu para 17% quando as credenciais RDP foram extraídas de outros locais da memória usando a mesma ferramenta, e para 3% ao ler LSA Secrets do registro local do sistema.
Os três casos se enquadram na mesma técnica principal, OS Credential Dumping (T1003), e terminam com o mesmo resultado: o invasor obtém materiais de credenciais sensíveis. A diferença estava no grau de visibilidade do caminho para os controles de segurança. A leitura da memória de lsass.exe deixa eventos que podem ser correspondidos com mais facilidade, enquanto a leitura de uma célula do registro com privilégios de SYSTEM pode parecer mais próxima de uma atividade administrativa comum.
Além disso, o sucesso da prevenção contra uma versão conhecida do Mimikatz não garante a manutenção do resultado. É possível alterar as cadeias de texto nas quais a assinatura se baseia, recompilar a ferramenta, carregar o código na memória sem deixá-lo no disco ou usar ferramentas assinadas pela Microsoft, como ProcDump ou comsvcs.dll, e analisar os dados posteriormente. Nesses casos, o artefato procurado pelas assinaturas muda, enquanto o comportamento e o objetivo final permanecem os mesmos.
A proteção dentro do ambiente é mais fraca que a proteção nas fronteiras
A taxa geral de bloqueio foi de 69% quando medida no nível das fronteiras, mas os testes de intrusão autônomos que medem o que um invasor pode fazer depois de entrar como usuário autenticado mostraram que apenas 37% das ações pós-comprometimento foram bloqueadas. Em outras palavras, a proteção passou de interromper cerca de dois terços dos ataques no perímetro para interromper pouco mais de um terço das ações dentro do ambiente.
As ações mais ruidosas foram mais fáceis de detectar: a detecção de movimento lateral ficou em cerca de 90%, a evasão do UAC superou 85%, enquanto o bloqueio da reutilização de credenciais e do abuso do Active Directory chegou a cerca de 63%. Em contrapartida, os percentuais caíram nas atividades menos óbvias: a proteção de materiais de credenciais lidos passivamente da memória e do registro não passou de 22%, e ficou abaixo de 1% no caso da extração de segredos do registro local. As atividades de descoberta e coleta também não ultrapassaram 10%, e as operações de enumeração do domínio usando SharpHound e de coleta de arquivos locais foram, em sua maioria, executadas sem obstáculos.
O que muda na prática?
A conclusão prática da análise é que os programas de validação de segurança precisam interpretar cada teste de acordo com o que ele mede, em vez de tratar um único resultado como evidência abrangente de cobertura. Os testes de amostras conhecidas continuam adequados para firewalls, agentes web, firewalls de aplicações web e gateways de e-mail seguro. Já a camada de endpoints e detecção, incluindo EDR, IDS e conteúdo de SIEM, precisa testar todos os caminhos que levam ao mesmo objetivo: memória LSASS, registro, locais alternativos de memória, ferramentas nativas e versões recompiladas.
O artigo alerta que testar apenas a ação conhecida pode levar ao encerramento de um item que continua efetivamente exposto. A análise propõe o uso de múltiplas simulações do mesmo comportamento para validar os controles existentes, em vez de se limitar a comprovar que uma assinatura reconheceu uma única ferramenta. A Picus Swarm é mencionada como uma camada de coordenação para executar e testar essas variações em todo o ambiente, no âmbito dos produtos e serviços da empresa.
A recomendação não é necessariamente adicionar novas ferramentas, mas identificar os controles existentes que realmente conseguem interromper a cadeia de ataque e, em seguida, tomar uma decisão documentada sobre cada exposição: correção, mitigação, monitoramento ou aceitação com evidências. Os resultados do relatório, segundo o artigo, continuam fazendo parte de um estudo mais amplo que inclui diferenças de desempenho entre setores e regiões, as vulnerabilidades mais exploradas, uma taxa de registro de 58% e uma taxa de alertas de 14%.