Güvenlik araçları bir saldırının bilinen bir sürümünü durdurmayı başarabilir, ancak aynı davranış daha az belirgin bir yöntemle gerçekleştirildiğinde geçmesine izin verebilir. Bu, Picus Labs tarafından yayımlanan Blue Report 2026 raporuna dayanan ve Ocak-Haziran 2026 arasında gerçekleştirilen 338 milyondan fazla saldırı simülasyonu üzerinden gerçek müşteri ortamlarında önleme ve tespit araçlarının performansını ölçen analizin temel sonucudur.
Genel önleme etkinliği, bir önceki yılki %62 seviyesinden %69’a yükselerek 2024 düzeyine geri döndü. Ancak bu oran koruma ekosistemi genelindeki bir ortalamayı temsil eder ve bir saldırganın ortama girdikten sonra veya aynı hedefe ulaşmak için kullanılan araç ve yöntemi değiştirdiğinde neler yapabileceğini zorunlu olarak açıklamaz.
Bilinen gösterge davranışa karşı koruma anlamına gelmez
Analiz iki test türünü birbirinden ayırıyor. Bilinen göstergelere dayalı testler veya IOC tabanlı testler, güvenlik duvarlarının, web aracılarının ve güvenli e-posta ağ geçitlerinin bilinen kötü amaçlı örnekleri tanıyıp indirme girişimlerini engelleme becerisini doğrular. Bu ölçüm çevre koruma katmanı için uygundur, ancak farklı bir soruya yanıt vermez: Sistem, kullanılan araç veya yol ne olursa olsun saldırganın gerçekleştirdiği eylemi engelleyebilir mi?
İşte burada taktikler, teknikler ve prosedürlere (TTP’ler) dayalı davranış testleri devreye girer. Bu yaklaşım, Mimikatz aracının sistem tarafından bilinip bilinmediğini sormak yerine, cihazdaki herhangi bir programın kullanıcı kimlik bilgisi materyallerini elde edip edemeyeceğini test eder. Bu soru, uç nokta koruma araçları ve izinsiz giriş tespit sistemleri açısından önemlidir; çünkü bu kontroller müdahale aşamasına ulaştığında saldırgan çoğu zaman ortam içinde çalıştırmaya başlamıştır.
Bilinen kötü amaçlı yazılımların IOC göstergelerine göre indirilmesini önleme oranı, 2026 verilerinde 2025’teki %60 ve 2024’teki %71 oranlarına kıyasla %50’ye geriledi. Bu durum, imzalara en fazla dayanan katmanın bile istikrarlı bir kapsama sağlamadığını ve bilinen bir imza testindeki iyi sonucun davranış veya davranışın uygulanma yöntemi değiştiğinde ne olduğunu göstermediğini ortaya koyuyor.
Mimikatz örneği açığı ortaya koyuyor
Müşteri ortamlarında Mimikatz, kimlik bilgilerini elde etme hedefini üç yol üzerinden gerçekleştirmek için kullanıldı. LSASS işlem belleğinden veri çıkarılması girişimlerin %94’ünde engellendi; bu, ürünlerin geniş ölçekte izlediği geleneksel yoldur. Ancak aynı araç kullanılarak RDP kimlik bilgilerinin bellekteki başka konumlardan çekilmesi durumunda oran %17’ye, yerel sistem kayıt defterinden LSA Secrets okunması durumunda ise %3’e düştü.
Üç durum da aynı üst tekniğe, yani OS Credential Dumping (T1003) tekniğine dahildir ve aynı sonuçla sona erer: saldırganın hassas kimlik bilgisi materyallerine sahip olması. Fark, yolun güvenlik kontrolleri açısından ne kadar belirgin olduğundaydı. lsass.exe belleğinin okunması, daha kolay eşleştirilebilen olaylar bırakırken SYSTEM yetkileriyle bir kayıt defteri kovanının okunması daha çok sıradan bir yönetim faaliyetine benzeyebilir.
Ayrıca Mimikatz’ın bilinen bir sürümüne karşı önlemenin başarılı olması, sonucun değişmeden kalacağını garanti etmez. İmzanın dayandığı metin dizileri değiştirilebilir, araç yeniden derlenebilir, kod diskte bırakılmadan belleğe yüklenebilir veya daha sonra analiz edilmek üzere ProcDump ya da comsvcs.dll gibi Microsoft tarafından imzalanmış araçlar kullanılabilir. Bu durumlarda imzaların aradığı iz değişirken davranış ve nihai hedef aynı kalır.
Ortam içindeki koruma sınırlardaki korumadan daha zayıf
Genel önleme oranı sınır düzeyinde ölçüldüğünde %69’a ulaştı, ancak kimliği doğrulanmış bir kullanıcı olarak giriş yaptıktan sonra bir saldırganın neler yapabileceğini ölçen iç sızma testleri, ihlal sonrası eylemlerin yalnızca %37’sinin engellendiğini gösterdi. Başka bir ifadeyle koruma, çevrede saldırıların yaklaşık üçte ikisini durdurmaktan ortam içindeki eylemlerin üçte birinden biraz fazlasını durdurmaya geriledi.
Daha yüksek gürültü oluşturan eylemler daha kolay tespit edildi; yanal hareketin tespit oranı yaklaşık %90’a, UAC bypass oranı %85’in üzerine çıkarken kimlik bilgilerinin yeniden kullanılması ve Active Directory’nin kötüye kullanılması yaklaşık %63’e ulaştı. Buna karşılık daha az belirgin faaliyetlerde oranlar düştü: bellekten ve kayıt defterinden pasif olarak okunan kimlik bilgisi materyallerine yönelik koruma %22’yi, yerel kayıt defteri sırlarının çıkarılması durumunda ise %1’i aşamadı. Keşif ve toplama faaliyetleri de %10’u geçmedi; SharpHound kullanılarak gerçekleştirilen etki alanı numaralandırması ve yerel dosyaların toplanması çoğunlukla engellenmeden gerçekleştirildi.
Pratikte ne değişiyor?
Analizin pratik sonucu, güvenlik doğrulama programlarının her testi neyi ölçtüğüne göre değerlendirmesi ve tek bir sonucu kapsamanın kapsamlı kanıtı olarak görmemesi gerektiğidir. Bilinen örnek testleri güvenlik duvarları, web aracıları, web uygulaması güvenlik duvarları ve güvenli e-posta ağ geçitleri için uygun olmaya devam eder. Buna karşılık EDR, IDS ve SIEM içeriği de dahil olmak üzere uç nokta ve tespit katmanının aynı hedefe ulaşan tüm yolları test etmesi gerekir: LSASS belleği, kayıt defteri, alternatif bellek konumları, yerel araçlar ve yeniden derlenmiş sürümler.
Makale, yalnızca ünlü bir eylemi test etmenin fiilen açık kalmış bir maddenin kapatılmasına yol açabileceği konusunda uyarıyor. Analiz, tek bir imzanın tek bir aracı tanıdığını kanıtlamakla yetinmek yerine mevcut kontrolleri doğrulamak için aynı davranışın birden fazla simülasyonunun kullanılmasını öneriyor. Picus, şirketin ürün ve hizmetleri çerçevesinde bu varyasyonları çalıştırmak ve ortam genelinde test etmek için bir koordinasyon katmanı olarak Picus Swarm’ı anıyor.
Öneri mutlaka yeni araçlar eklemek değil; mevcut kontroller arasında saldırı zincirini gerçekten kesebilenleri belirlemek ve ardından her maruziyet hakkında belgelendirilmiş bir karar vermektir: düzeltme, azaltma, izleme veya kanıtlarla birlikte kabul. Makaleye göre raporun sonuçları, sektörler ve bölgeler arasındaki performans farklılıklarını, en çok istismar edilen güvenlik açıklarını, %58’lik kayıt oranını ve %14’lük uyarı oranını kapsayan daha geniş bir çalışmanın parçası olmaya devam ediyor.