Las defensas empresariales están viviendo un buen momento en números generales: la eficacia preventiva promedio crece y el registro de actividad alcanza máximos de varios años. Sin embargo, el informe también deja una advertencia clara: ese avance se concentra casi por completo en el perímetro.
Cuando el atacante consigue cruzarlo, la historia cambia. Dentro de la red, los controles que parecen sólidos desde fuera se vuelven mucho más frágiles ante el trabajo silencioso que suele preceder a un incidente grave: reconocimiento y robo de credenciales. La paradoja es dura de explicar a cualquier equipo de seguridad: se detecta y se registra más, pero se alerta menos y tarde.
Más prevención en el total, pero casi todo ocurre en el borde
En la primera mitad de 2026, el Blue Report 2026 analizó más de 338 millones de simulaciones de ataques reales en entornos de producción de clientes. Con ese volumen, el informe reporta una mejora relevante en prevención: la eficacia media sube de 62% a 69%, volviendo a niveles cercanos al pico de 2024.
También sube el registro: se alcanza un 58%, el nivel más alto en cuatro años. Hasta aquí, el panorama suena alentador. Pero el propio reporte matiza el optimismo con una frase que resume el hallazgo principal: la recuperación es real, aunque ocurre “casi exclusivamente” en el perímetro.
El “después del perímetro” invierte la eficacia
El cambio más importante llega cuando el atacante ya está dentro operando como usuario autenticado. El informe mide esto con pruebas de penetración autónomas posteriores al compromiso: una forma de evaluar qué controles rompen la cadena de ataque cuando el adversario no está esperando fuera.
Ahí aparece un dato contundente: la tasa de prevención post-compromiso es solo 37%. En otras palabras, mientras el perímetro puede detener alrededor de dos de cada tres ataques, dentro de la red apenas se frena uno de cada tres.
Y la caída no se distribuye al azar. El interior falla siguiendo una línea definida: las acciones ruidosas suelen ser contenidas con más frecuencia, mientras que las acciones silenciosas tienen mucha más libertad.
Controles que sí cumplen: movimiento lateral y escalación
En el lado “ruidoso”, los resultados respaldan que la inversión en herramientas de endpoint y en controles tradicionales está funcionando. La ejecución de servicios y técnicas similares, como Sharp-ServiceExec y SMBExec, se detuvo aproximadamente en 90% de los casos. La escalación de privilegios mediante bypass de UAC también se bloqueó con una efectividad cercana al 85%.
Este tramo encaja con una idea conocida: cuando el comportamiento genera señales claras—eventos e interacciones que los sistemas instrumentan desde hace años—los controles tienen más probabilidades de dispararse.
Lo silencioso casi no encuentra resistencia
El contraste aparece en las categorías menos ruidosas. La técnica menos prevenidas en el conjunto analizado fue la enumeración y mapeo del entorno: reconocer el dominio y listar recursos compartidos y sesiones apenas se detuvo en un 10% de los intentos.
El robo de credenciales en modo “silencioso” también muestra brechas grandes. La lectura silenciosa de credenciales desde memoria se detuvo alrededor del 22% de las veces, y una variante de extracción directamente desde el registro fue frenada en menos del 1%.
La consecuencia es directa: un atacante puede mapear la organización, recolectar sesiones y obtener material de credenciales con muy poca fricción. Con eso, prepara el terreno antes de ejecutar pasos que ya activan más controles.
Cuando la firma lo ve, detiene; cuando no, el comportamiento avanza
Una de las partes más reveladoras del informe compara un mismo objetivo usando tres rutas distintas para robar credenciales, dejando claro que la variable decisiva no es el “qué” sino el “cómo”.
En el ejemplo, se ejecuta una herramienta asociada a robo de credenciales—el informe menciona Mimikatz—con el mismo objetivo final en el mismo entorno. Aun así, la prevención cambia drásticamente según el modo de acceso.
Extraer credenciales de forma clásica, desde la memoria del proceso LSASS, fue bloqueado casi siempre. En cambio, cuando se toman credenciales desde otras ubicaciones de memoria o se leen desde el registro, las tasas de bloqueo caen hasta casi no registrar detenciones.
El motivo, según el informe, es operativo: la ruta que lee memoria de LSASS implica eventos que suelen estar instrumentados por proveedores y generan señales observables. La lectura del registro no toca LSASS y se parece más a una actividad privilegiada “normal”, por lo que un control diseñado para el primer tipo de evento puede no tener nada que detectar en el segundo.
Además, el informe advierte un matiz importante: esa tasa de prevención “alta” no necesariamente equivale a una defensa robusta contra el comportamiento en sí. La medición se hizo contra una versión concreta de una herramienta de código abierto, y la reconocibilidad puede depender más de cómo fue compilada que de lo que realmente hace.
- Si se renombra el contenido sobre el que se apoya una firma, cambia la huella y la detección puede fallar.
- Si se carga en memoria, puede no dejar artefactos en disco para inspección.
- Incluso se puede evitar esa herramienta y usar otra ya firmada por Microsoft en el mismo equipo, conservando el resultado.
Así, el informe subraya una limitación: una prevención basada en firmas tiende a medir qué tanto bloquea lo que ya se vio antes. No garantiza, por sí sola, que se detenga la conducta subyacente que habilita el robo de credenciales.
El sigilo paga: menos bloqueos en técnicas “silenciosas”
Más allá del ejemplo puntual, el informe conecta el patrón con una tendencia general detectada en 2026: los atacantes ajustan su estrategia hacia el sigilo. En el conjunto de datos, la técnica menos prevenidas del dataset fue la ocultación del historial de comandos, con un bloqueo de apenas 1%.
Ese punto no es trivial: las defensas suelen ser más fuertes donde el ataque genera más telemetría “obvia”. Pero los adversarios que buscan evadir controles priorizan precisamente las acciones de baja sonoridad.
El informe también menciona que la defensa contra malware cae por razones similares. La IOC-Based Prevention Rate (qué tan a menudo se bloquean archivos maliciosos conocidos al entregarse como descargas) baja a 50% en 2026, frente a 60% el año anterior y 71% en 2024.
El problema no es solo que entren cosas nuevas, sino la lógica del indicador: si cambian empaquetados y recompilaciones, el indicador se vuelve obsoleto mientras el comportamiento subyacente permanece.
El reto no es registrar: es convertir alertas
Cuando fallan los controles de prevención, la detección y la respuesta deberían actuar como “red de seguridad”. Ese plan depende de que los eventos registrados se conviertan en alertas útiles.
Sin embargo, el informe muestra un desajuste preocupante: aunque el registro llega a un máximo de cuatro años (58%), el puntaje de alertas se mantiene fijo en 14%. De hecho, menos de 1 de cada 7 simulaciones de ataque terminó generando una alerta.
En términos simples: se recopila telemetría, pero casi no se transforma en acción. El informe lo plantea como un problema de ingeniería del motor de detección, más que una cuestión de “falta de datos”.
Los resultados se ganan probando, no asumiendo
Otra lección del Blue Report 2026 es que el rendimiento cambia cuando cambia la validación. Los equipos que el año anterior estaban por debajo mejoran; y quienes se confiaron pueden perder terreno.
El informe indica que sectores que no siguieron probando vieron caer defensas, mientras que otros aprovecharon para revalidar controles y cerrar huecos. En ese sentido, la mejora general no significa que todas las áreas quedaron igualmente cubiertas: también se observaron regresiones contra grupos particularmente difíciles.
Incluso con una mejora del promedio, la prevención cae contra nueve de los diez grupos de amenazas más complicados. Además, el reporte señala que cada una de las familias de ransomware top del dataset se bloquea menos del 38% de las veces. Play, por ejemplo, baja de 50% a 13%.
Qué indican los datos: tres acciones concretas
Para convertir números en decisiones, el informe propone un enfoque práctico. No se trata de medidas exóticas, sino de reforzar la forma de validar y endurecer lo que hoy suele “escapar” a las firmas.
- Validar exposición, no inventario: demostrar qué rutas y activos realmente son explotables en el entorno, en lugar de limitarse a listar supuestos.
- Endurecer el interior contra acciones silenciosas: probar reconocimiento, enumeración de recursos y acceso pasivo a credenciales con el mismo rigor que el movimiento lateral, usando detecciones centradas en el comportamiento.
- Tratar las reglas de detección como ingeniería: escribir con base en comportamiento actual, confirmar que disparan, ajustar ruido y revalidar conforme cambian herramientas y tácticas.
La idea de fondo es clara: las defensas se recuperan cuando alguien las prueba. Y en 2026, lo que más sigue filtrándose son las acciones de baja sonoridad—reconocimiento y lecturas de credenciales—que además generan pocas alertas.
Conclusión: mejores métricas no siempre significan seguridad real
El Blue Report 2026 muestra avances reales en prevención y en registro para las defensas empresariales. Pero también revela el punto ciego: el perímetro mejora, sí, mientras el interior queda expuesto ante el trabajo silencioso que prepara el terreno antes del golpe ruidoso.
Si el objetivo es reducir el riesgo de forma sostenible, no basta con sumar controles o telemetría. La prioridad debe ser validar con pruebas que reflejen el “después del compromiso”, endurecer contra descubrimiento y robo pasivo de credenciales, y conseguir que los logs se traduzcan en alertas accionables.
La recuperación existe, pero mientras el gap siga concentrado en lo silencioso, el atacante seguirá teniendo una ventaja: no hacer ruido hasta estar listo.
Fuente: https://thehackernews.com/2026/08/enterprise-defenses-recovered-at-edge.html
