Enterprise Defenses Recovered at the Edge and Collapsed Inside

Le paradoxe de la cybersécurité : Périmètre robuste, intérieur vulnérable

Le rapport Blue Report 2026 de Picus Labs, basé sur 338 millions de simulations d’attaques, révèle une amélioration significative des défenses périmétriques (69 % d’efficacité). Toutefois, ce renforcement masque une vulnérabilité critique : une fois le périmètre franchi, la capacité de prévention chute à 37 %. Les entreprises réussissent à bloquer les attaques “bruyantes”, mais restent impuissantes face aux actions furtives.

Points clés :

• Défense déséquilibrée : Les actions intrusives (déplacements latéraux, escalade de privilèges) sont bien bloquées, tandis que les phases de reconnaissance et le vol de données d’identification passent inaperçus.
• Échec de la détection : Malgré une collecte de logs record (58 %), le taux d’alerte reste stagnant à 14 %. La plupart des données collectées ne sont pas exploitées pour générer des alertes actionnables.
• Obsolescence des signatures : L’efficacité des défenses basées sur les indicateurs (IOC) et les signatures diminue, car les attaquants adaptent facilement leurs outils pour contourner les règles statiques.
• Instabilité de la posture : La performance en cybersécurité n’est pas acquise. Les secteurs qui cessent de valider leurs contrôles voient leurs performances chuter rapidement.

Vulnérabilités critiques :

• Reconnaissance réseau : Activités d’énumération de domaines et de sessions (taux de blocage de 10 %).
• Vol de secrets : Extraction de données d’identification via le registre Windows ou des zones mémoire non surveillées (taux de blocage < 1 %).
• Furtivité : Manipulation de l’historique des commandes et utilisation d’utilitaires légitimes déjà présents sur le système (Living-off-the-land).

Recommandations :

• Valider les expositions réelles : Prioriser les tests de pénétration autonomes pour vérifier l’exploitabilité réelle des vecteurs d’attaque au sein de l’environnement, plutôt que de se fier à des inventaires théoriques.
• Prioriser le comportemental : Développer des règles de détection basées sur les actions (comportement) plutôt que sur des signatures statiques (hachages de fichiers ou noms de processus), notamment pour les activités de découverte et de lecture de mémoire.
• Ingénierie de détection : Transformer la collecte de logs en alertes opérationnelles par un processus itératif de test, de réglage du bruit et de re-validation continue pour s’adapter aux tactiques changeantes des groupes de ransomware.

Source