Veel organisaties investeren in beveiliging om aanvallen tegen te houden. Toch laat Picus Labs’ Blue Report 2026 zien dat het succes een duidelijke grens kent: buiten de perimeter gaat het relatief goed, maar zodra een aanvaller binnen het netwerk komt, verandert het beeld snel. De kernvraag verschuift daardoor van “worden aanvallen geblokkeerd?” naar “wordt de aanvalsketen echt doorbroken, ook als er al toegang is?”.
In deze analyse draait alles om een verschil tussen luid en stil gedrag. Controlemaatregelen die goed werken bij herkenbare, storende acties, bieden minder bescherming tegen stille stappen zoals reconnaissance en het heimelijk vergaren van credentials. Dat maakt preventie binnen netwerk niet alleen een technisch vraagstuk, maar ook een test- en ontwerpkeuze.
Meer blokkades aan de rand, maar binnenin minder
Het rapport baseert zich op meer dan 338 miljoen realistische aanvalssimulaties in productieomgevingen van klanten gedurende de eerste helft van 2026. Daarbij valt op dat de preventie gemiddeld verder is gestegen: de effectiviteit ging omhoog van 62% naar 69%, met logging op het hoogste niveau in vier jaar (58%).
Dat klinkt positief, en dat is het ook. Alleen speelt de verbetering zich vooral af aan de perimeter. Zodra de aanvaller het netwerk al is binnengekomen, verschuift de score: dan stopt de verdediging nauwelijks nog, en is er sprake van een duidelijke terugval in preventie binnen netwerk.
Wat gebeurt er na compromis? De aanvalsketen blijft vaker bestaan
Voor het eerst mat Picus Labs expliciet post-compromise preventie via geautomatiseerd penetration testing: wat blokkeren controls als een aanvaller al actief is als geauthenticeerde gebruiker? Daaruit volgt een forse waarschuwing: de post-compromise preventie uitkomt op 37%.
De perimeter blokkeert grofweg twee van de drie aanvallen, terwijl binnen de kans dat een beveiligingscontrole de keten daadwerkelijk doorbreekt veel lager ligt. Belangrijk detail: het faalt niet overal even hard. Er is eerder sprake van een “breuklijn” waar stille activiteiten relatief vaak ongehinderd doorlopen.
Lateral movement lukt soms, maar reconnaissance gaat bijna altijd door
Als aanvallers wél “luid” handelen—zoals code uitvoeren of gericht bewegen tussen systemen—dan grijpt verdediging vaker in. Binnen de dataset werd lateral movement via service execution, zoals technieken als Sharp-ServiceExec en SMBExec, ongeveer negen van de tien keer geblokkeerd. Privilege-escalatie via UAC-bypass werd ook nog in grote mate tegengehouden (rond 85%).
Dat wijst erop dat EDR (endpoint detectie en respons) en de investeringen rond “assume-breach” in ieder geval zichtbaar effect hebben in de scenario’s die veel signalen veroorzaken.
Maar daarna komt de keerzijde: de minst verhinderde categorie is reconnaissance. Het in kaart brengen van domeinen, het enumereren van shares en het bekijken van sessies werd slechts ongeveer 10% van de tijd tegengehouden. Ook bij credential harvesting is het beeld somber: het heimelijk uitlezen van credentials uit het geheugen werd circa 22% geblokkeerd, terwijl een variant waarbij geheimen direct uit het register worden gehaald in minder dan 1% van de pogingen werd tegengehouden.
Zelfde tool, andere route: handtekeningen vangen niet het gedrag
Een van de meest onthullende bevindingen uit het rapport gaat over een bekend credential-theft hulpmiddel. In het experiment werd hetzelfde doel (credentials bemachtigen) met dezelfde tool op drie manieren geprobeerd, en de resultaten liepen sterk uiteen.
Wanneer credentials op de klassieke manier worden gedumpt—via directe uitlezing uit process memory van LSASS—wordt dit bijna altijd geblokkeerd. Maar als dezelfde informatie op een andere manier wordt benaderd, bijvoorbeeld door andere geheugenlocaties te lezen of door geheimen uit het registry pad te halen, dan daalt de blokkade bijna naar nul. Dit is preventie binnen netwerk in optima forma: dezelfde “intentie” van de aanvaller leidt tot een totaal andere uitkomst door verschillen in zichtbaar gedrag.
De reden is dat veel controles zijn gebouwd rondom herkenbare signalen, zoals het openen van een handle naar een specifiek proces en het uitlezen van memory. Dat soort events is al jaren goed te meten en instrumenteren. Activiteiten die niet direct naar LSASS grijpen—zoals registry-lezen—lijken vaker op normaal geautoriseerd gedrag en raken daardoor niet de events waar een bestaande regel op zoekt.
De situatie wordt nog scherper als wordt gekeken naar hoe “herkenning” is opgebouwd. De blokkade score in dit experiment was volgens het rapport sterk gekoppeld aan de herkenbaarheid van één specifieke build van een open-source tool. Verandert die build, dan kan de handtekening minder werken—zelfs wanneer de onderliggende handeling vergelijkbaar blijft.
Indicatoren en IOC’s verliezen terrein door stealth
De reportlijn is duidelijk: aanvallers verschuiven richting stealth, en dat loont. In de dataset werd bijvoorbeeld het verbergen van command history slechts rond 1% van de tijd geblokkeerd.
Dat raakt ook malwarebescherming. De IOC-Based Prevention Rate—hoe vaak een control bekende kwaadaardige bestanden tegenhoudt die als download binnenkomen—daalde naar 50% (van 60% vorig jaar en 71% in 2024). De logica daarachter is eenvoudig: er komen continu nieuwe bestanden bij en payloads kunnen worden gerepackt, waardoor een bekende indicator veroudert terwijl de functionele kern van het gedrag hetzelfde blijft.
Indicator-gebaseerde testing blijft zinvol, omdat je snel ziet of bekende downloadroutes aan de rand worden gestopt. Maar het zegt niet genoeg over het vermogen om de echte handeling te stoppen. Daarom is behavioral testing nodig: niet alleen “stop je de bekende file?”, maar “stop je de actie zelf?”.
Meer loggen, minder alarmering: detection-engineering blijft achter
De discussie stopt niet bij preventie. Als controles falen, moeten alerts en detectie ervoor zorgen dat er snel menselijk ingrijpen kan plaatsvinden. Alleen laat de dataset een zorgwekkende mismatch zien.
Logging steeg naar 58% van de gesimuleerde aanvallen, maar de alert-score bleef op 14%. Anders gezegd: minder dan één op de zeven aanvalssimulaties leidde tot een alert. Dat betekent dat er veel meer telemetrie wordt verzameld dan dat teams er operationeel iets mee doen.
Het rapport stelt dat het verschil tussen wat gelogd wordt en wat daadwerkelijk tot een actie leidt inmiddels vooral een detection-engineering probleem is, niet een puur verzamelingsprobleem. Teams kunnen dus “meer zien”, maar niet “beter reageren” als regels, triggers en tuning niet op orde zijn.
Waar ging het mis? Validation houdt geen stand zonder doorlopende tests
Een opvallend patroon is dat vorige jaars winnaars glijroute daalden en vorige jaars zwakkere sectoren juist verbeterden. De verklaring die het rapport geeft is dat sterke prestaties soms “gehuurd” zijn: ze blijven alleen bestaan zolang de onderliggende validatie actueel is.
Rising averages maskeerden bovendien dat sommige dreigingsgroepen slechter werden afgedekt. Ook al steeg het algemene preventiepercentage, tegen negen van de tien moeilijkste dreigingsgroepen daalde de effectiviteit. Bij ransomwarefamilies lag de blokkade van veel namen onder 38%. Als concreet voorbeeld noemde het rapport Play, dat van 50% naar 13% zakte.
Wat kun je vandaag doen? Drie praktische verbeterstappen
Uit de cijfers komen drie duidelijke verbeterbewegingen naar voren. Ze zijn niet exotisch, maar vergen wel discipline in testen en in het ontwerp van detectie.
- Valideer exposure, niet alleen inventory. Toon aan welke blootstellingen echt exploiteerbaar zijn binnen jouw omgeving, in plaats van te blijven hangen in een theoretische lijst.
- Versterk het binnenste tegen stille acties. Test discovery, share- en sessie-enumeratie en passieve credential access minstens zo streng als laterale beweging. Gebruik detectie die kijkt naar wat een actie doet, niet alleen naar welke handtekening matcht.
- Behandel detectieregels als engineering. Schrijf regels tegen actueel gedrag, bevestig dat ze afgaan, tune daarna ruis weg en revalideer zodra systemen of aanvallers veranderen. Zo wordt loggen uiteindelijk omgezet in alerts.
Het onderliggende idee: defenses verbeteren zodra je ze test. Als je niet blijft testen, wordt de “sterkte” al snel een momentopname.
Gerelateerd: let ook op wanneer handtekeningen niet genoeg zijn
Dat handtekeningen soms een vals gevoel van veiligheid geven, zie je vaker terug bij incidenten waar gedrag buiten de verwachte patronen valt. Als je wilt vergelijken met recente analyses over hoe aanvallen controles omzeilen, kan je ook lezen over Bron: https://thehackernews.com/2026/08/enterprise-defenses-recovered-at-edge.html
