Les défenses en entreprise vivent une année plutôt bonne sur le papier. D’après le Blue Report 2026 de Picus Labs, la prévention augmente et la journalisation atteint un niveau record. Mais ce bilan cache une réalité plus inquiétante : la reprise se produit presque uniquement au niveau du périmètre, tandis que l’intérieur du réseau devient le point faible principal dès qu’un adversaire est déjà installé.
Le rapport met aussi en évidence un paradoxe fréquent : certaines protections paraissent fortes lorsqu’elles interceptent des comportements “bruyants”. En revanche, les tactiques silencieuses—celles qui cartographient l’environnement et volent des crédentiels—profitent de contrôles qui ne réagissent pas, et parfois même de systèmes de détection qui n’aboutissent pas à des alertes exploitables.
Des progrès mesurés… mais surtout à la frontière
Picus Labs s’appuie sur des simulations d’attaques réalistes : plus de 338 millions de scénarios observés dans des environnements de production clients sur le premier semestre 2026. Sur l’ensemble des mesures, l’efficacité de prévention passe de 62% à 69%, au même niveau que le pic observé en 2024. Dans le même temps, la journalisation atteint 58%, un plus haut sur quatre ans.
La bonne nouvelle est donc claire : les équipes ont davantage verrouillé les actions qui déclenchent des contrôles. La mauvaise nouvelle suit immédiatement. La récupération est réelle, mais elle se concentre “presque exclusivement” au périmètre.
Le rapport décrit une asymétrie nette : le périmètre bloque environ deux attaques sur trois, alors qu’à l’intérieur, la défense n’arrête qu’à peine une tentative sur trois. Et surtout, l’échec n’est pas diffus : il suit une ligne de fracture répétée dans toute l’analyse.
Quand le périmètre tombe, la défense ne tient plus
Pour la première fois, Picus Labs mesure la prévention après compromission via des tests de pénétration autonomes. L’objectif : vérifier ce que font réellement les contrôles lorsqu’un adversaire est déjà connecté en tant qu’utilisateur authentifié et qu’il cherche à étendre son emprise.
Résultat : le taux de prévention post-compromise n’atteint que 37%. Autrement dit, même si la barrière externe s’améliore, la capacité à interrompre la chaîne d’attaque une fois à l’intérieur reste limitée.
Le rapport souligne également que l’intérieur ne “meurt” pas uniformément. Les contrôles sont plus efficaces contre les actions visibles, et beaucoup moins contre les actions discrètes—celles qui préparent l’étape suivante sans provoquer de signal fort.
Le “bruyant” est mieux stoppé : exécution de services et escalade
Côté comportements manifestes, l’EDR (et plus largement l’empilement de sécurité) joue son rôle. Les actions comme l’exécution de mouvements latéraux via des techniques de type Sharp-ServiceExec et SMBExec sont stoppées environ 90% du temps. L’escalade de privilèges via des contournements de type UAC-bypass est également largement interceptée, à environ 85%.
Dans cette zone, on voit l’effet d’investissements réalisés depuis des années : davantage de contrôle sur les chemins d’attaque qui “font du bruit”, et davantage de visibilité sur les événements que les fournisseurs suivent depuis longtemps.
Le “silencieux” passe presque partout : découverte et vol de crédentiels
Pendant ce temps, les opérations discrètes se déroulent avec peu d’opposition. Le rapport classe la reconnaissance (cartographie du domaine, énumération des partages et des sessions) comme la catégorie la moins prévenue : seulement 10% des tentatives sont stoppées.
Pour le vol de crédentiels, la performance reste faible. La lecture silencieuse d’informations en mémoire n’est empêchée qu’environ 22% des cas. Et lorsqu’un mécanisme vise à extraire des secrets depuis le registre, la prévention tombe à moins de 1%.
Autrement dit, un attaquant peut préparer tranquillement le terrain : cartographier l’environnement, récupérer des sessions, puis obtenir du matériel de crédentiels, avant de passer à des actions plus visibles qui finissent par déclencher des contrôles… trop tard pour empêcher l’essentiel.
Une signature efficace, mais qui rate le comportement
Une partie centrale du constat tient à la manière dont les protections se déclenchent. Picus Labs met en avant un exemple : le même outil de vol de crédentiels (Mimikatz) est utilisé pour atteindre un objectif identique, mais exécuté de trois façons différentes. Les scores de prévention varient fortement.
Lorsque les crédentiels sont extraits de la mémoire du processus LSASS de la manière “classique”, fortement associée à des signatures, l’interception est quasi systématique. En revanche, lorsque l’outil lit d’autres zones mémoire ou prélève des données via le registre, la prévention devient presque inexistante.
Le rapport insiste sur l’explication : la différence n’est pas l’intention, mais le chemin. Le mode “LSASS” provoque des événements très instrumentés : un processus ouvre un handle vers lsass.exe et lit sa mémoire. Ce type d’action est déjà très surveillé. À l’opposé, lire le registre ressemble à une activité privilégiée courante, sans toucher directement LSASS, donc les contrôles construits sur l’événement initial ne disposent pas de déclencheur équivalent.
Autre élément préoccupant : le niveau de prévention observé (dans le jeu de tests) dépend de la reconnaissance d’une version précise d’outil open source, dont la “reconnaissabilité” peut dépendre de détails comme la compilation. Si l’on change la signature associée (par exemple en modifiant des chaînes), le résultat peut changer même si l’idée reste identique.
Attaquer en silence paie… aussi au-delà d’un seul outil
Le problème ne se limite pas à un outil ou à une technique isolée. Le rapport décrit un déplacement vers davantage de furtivité côté attaquants. Les données de cette année montrent que les comportements les moins interceptés sont précisément ceux qui s’intègrent à un flux discret.
Dans l’ensemble du jeu de données, la technique la moins prévenue consiste à cacher l’historique des commandes, stoppée seulement 1% du temps. Cette observation est importante : les défenses ratent surtout ce que les attaquants choisissent de faire quand ils veulent réduire les chances d’être détectés.
Les IOC perdent du terrain
La même logique se retrouve dans la baisse de performance sur les indicateurs. Le taux de prévention basé sur les IOC chute à 50% en 2026, contre 60% l’année précédente et 71% en 2024. Là encore, les signatures ne suivent pas le rythme.
Le rapport rappelle que la quantité de fichiers nouveaux est immense : par exemple, l’écosystème d’analyses agrège des millions de nouveaux fichiers chaque jour. Modifier la forme d’une charge utile peut rendre l’indicateur “stale” tout en conservant le comportement sous-jacent.
Les tests par indicateurs gardent leur valeur pour vérifier rapidement si le périmètre externe arrête ce qui est déjà connu. Mais utilisés seuls, ils ne testent que les chemins déjà couverts par des signatures existantes. Pour progresser, il faut des tests centrés sur le comportement : est-ce que l’action est effectivement stoppée, et pas seulement reconnue comme “déjà vue” ?
Plus on journalise, moins on alerte
Une autre fracture ressort dans la façon dont la détection bascule (ou non) vers une action humaine. Le rapport distingue la journalisation—qui augmente—et la transformation en alerte—qui stagne.
La journalisation atteint 58% comme signal déjà mentionné, mais le score d’alerte demeure bloqué à 14%. En pratique, moins d’une simulation sur sept aboutit à une alerte. Même en des termes simples : les équipes collectent plus de télémétrie, mais elles la convertissent en très peu d’actions.
Le rapport qualifie le problème : il ne s’agit plus de “collecter assez”, mais de l’ingénierie de la détection. Autrement dit, les règles doivent être construites, validées et ajustées pour que les événements pertinents se transforment en alertes exploitables.
La validation protège… et l’absence de test expose
Le Blue Report 2026 met aussi en avant l’idée que la performance se dégrade quand la validation n’est pas continue. Les équipes qui étaient fortes l’année précédente peuvent perdre du terrain, tandis que celles qui testent davantage progressent.
Un exemple est décrit : l’éducation recule fortement en protection en une année, tandis qu’un secteur auparavant moins bien noté enregistre la plus forte hausse. Le rapport formule la conclusion ainsi : de bonnes performances “se louent” si elles reposent sur une validation passée, mais elles doivent être “possédées” par des pratiques durables.
Dans les mesures plus fines, la prévention diminue aussi face à plusieurs groupes de menace particulièrement difficiles. Même lorsque la moyenne générale monte, les protections peuvent régresser contre des acteurs précis. Le rapport indique que la prévention baisse contre neuf des dix groupes les plus difficiles à arrêter. Et, sur les familles de ransomware citées, la prévention reste en dessous de 38% dans tous les cas mentionnés, avec un exemple extrême où la protection passe de 50% à 13%.
Trois actions pour réduire l’écart entre extérieur et intérieur
Les chiffres ne se contentent pas de décrire un état. Ils suggèrent des leviers concrets pour rapprocher la réalité de la promesse, en particulier sur la partie “discrète” de l’attaque.
1) Validez l’exposition réellement exploitable
Au lieu d’accumuler un inventaire théorique, l’approche recommandée consiste à prouver quelles expositions sont réellement exploitables dans votre environnement. Cela évite de “cocher des cases” et permet de concentrer les tests sur les routes d’attaque qui comptent.
2) Renforcez l’intérieur contre les actions silencieuses
Le rapport insiste sur un point : il faut tester la découverte, l’énumération des partages et des sessions, ainsi que l’accès passif aux informations d’authentification, au même niveau que le mouvement latéral “bruyant”. La détection doit aussi déclencher sur ce que l’action fait, pas uniquement sur une signature qui identifie comment elle ressemble.
3) Traitez la détection comme de l’ingénierie, pas comme un fichier
Les règles de détection doivent être écrites contre des comportements actuels, puis vérifiées pour s’assurer qu’elles se déclenchent bien. Ensuite, il faut réduire le bruit et ré-valider quand le contexte change. L’objectif final : transformer les journaux en alertes, pas seulement en enregistrements.
Conclusion : récupérer ne suffit pas sans tester ce qui reste silencieux
Les défenses en entreprise se renforcent globalement en 2026, et la preuve en est dans les scores de prévention et de journalisation. Mais le Blue Report 2026 montre une limite : le “bon” se concentre au périmètre. Une fois l’adversaire à l’intérieur, la protection se fragilise surtout contre les actions discrètes—reconnaissance et lecture de crédentiels—qui déclenchent moins de signatures et, souvent, peu d’alertes.
Le message est clair : les contrôles ne sont pas vraiment efficaces parce qu’ils existent, mais parce qu’ils ont été validés face à la réalité de l’attaque. Et cette réalité commence souvent par des gestes silencieux, difficiles à repérer si la détection n’a pas été conçue pour eux.
Source: https://thehackernews.com/2026/08/enterprise-defenses-recovered-at-edge.html
