企業のサイバー防御、境界での阻止率は69％に回復も内部侵入後の防御力は37％に低迷——Picus Labs調査

要点

• セキュリティ企業Picus Labsが、2026年上半期に実施された3億3800万回以上の攻撃シミュレーションを分析した「Blue Report 2026」を公開した。

• 境界防御における攻撃の阻止率は前年の62%から69%へと改善し、ログ記録率も過去4年で最高の58%に達した。

• 一方で、認証済みユーザーとして内部ネットワークに侵入された後の防御率は37%にとどまり、3回に1回程度しか攻撃を阻止できていない実態が判明した。

• 端末間の横移動（約90%）や権限昇格（約85%）など目立つ攻撃の阻止率は高いものの、ネットワーク偵察（10%）やレジストリからの認証情報窃取（1%未満）といった静かな行動はほぼ阻止されていない。

• 同一の攻撃ツールでも、監視の厚いLSASSプロセス経由以外の経路を使われると防御が機能しないなど、シグネチャ依存の検知手法における限界が浮き彫りになった。

• セキュリティ検証および攻撃シミュレーションを手がけるPicus Labsは2026年8月12日、企業環境におけるセキュリティ対策の有効性を検証した年次報告書「Blue Report 2026」を発表した。同レポートは、2026年上半期に実際の顧客本番環境で実施された3億3800万回以上の攻撃シミュレーション結果を分析したものである。調査によると、境界防御の性能やログ記録率は過去最高水準まで回復しているものの、ネットワーク内部へ侵入された後の防御性能が著しく低下していることが明らかになった。

境界防御とログ記録率は回復傾向

報告書によると、企業のセキュリティ対策における平均的な予防有効性（攻撃阻止率）は、前年の62%から69%へと上昇した。これは同調査における2024年のピーク値に並ぶ水準だという。また、インシデント発生時の証跡となるログの記録率についても、過去4年間で最高となる58%を記録した。

これらの数値は、企業が導入を進めてきた境界防御の対策が着実に成果を上げていることを示している。しかしPicus Labsは、この防御力の回復がほぼネットワークの境界（ペリメーター）周辺に偏って発生していると指摘している。

侵入後の防御率は37%に急落

今回Picus Labsは、自律型ペネトレーションテスト（自動化された侵入テスト技術）を活用し、攻撃者が正規の認証済みユーザーとしてすでにネットワーク内部へ侵入した後の防御性能を初めて測定した。その結果、侵入後の攻撃チェーンを遮断できた割合を示す「侵入後防御率（Post-Compromise Prevention Rate）」は37%にとどまることが判明した。

境界防御では攻撃の約3分の2（およそ67%相当）を遮断できているのに対し、内部環境では3回に1回程度しか攻撃を止められていない計算になる。

「目立つ攻撃」と「静かな攻撃」で二極化する内部防御

内部ネットワークにおける防御の成否は、攻撃の手法によって大きく二極化している。

コードの実行や端末間の移動を伴う目立つ攻撃手法に対しては、強固な防御が機能していることが確認された。「Sharp-ServiceExec」や「SMBExec」などの手法を用いたサービス実行による横移動（侵害端末から他の端末へ侵入を広げる行為）は約90%の確率で阻止された。また、UAC（ユーザーアカウント制御）を回避して管理者権限を奪う権限昇格攻撃も約85%の高い割合で遮断されている。これらは、EDR（エンドポイントでの脅威検知・対応ツール）の普及や、長年にわたる侵入前提（Assume-breach）のセキュリティ投資が成果を上げている結果だと説明されている。

これに対し、検知を避けて行われる静かな攻撃活動に対しては、防御側がほぼ無力な状態に陥っている実態が浮き彫りになった。ドメイン構造の調査や共有フォルダ、セッション情報の列挙を行う「偵察活動」の阻止率はわずか10%にとどまった。さらに、メモリから静かに認証情報を読み取る攻撃の阻止率は約22%であり、レジストリ（Windowsの設定情報を格納するデータベース）から直接秘密情報を取得する手法に至っては、阻止率が1%未満という結果になった。攻撃者はアラートを引き起こす目立つ行動を起こす前に、環境の把握や認証情報の収集をほぼ妨害されることなく完了できる状況だという。

経路変更で無力化するシグネチャ検知の限界

報告書では、代表的なオープンソースの認証情報窃盗ツール「Mimikatz」を用いた検証結果を取り上げ、検知技術の偏りを説明している。同一ツールを用い、同一の目的を達成するために3つの異なる経路で攻撃を試みたところ、結果に極端な差が生じた。

従来から広く知られている「LSASS（Windowsの認証処理を担うコアプロセス）」のメモリから直接認証情報を抽出する手法は、長年の監視強化とシグネチャ（既知の脅威パターン）の蓄積により、ほぼ毎回確実に遮断された。しかし、LSASS以外のメモリ領域から取得する経路や、レジストリから直接読み取る経路を用いた場合、攻撃はほぼ阻止されなかった。

LSASSへのアクセスはプロセスのメモリ読み取りとして検知しやすい一方、レジストリへのアクセスはLSASSに接触せず、一般的な特権操作と見分けがつきにくいため、既存の検知ルールが作動しない。さらに、LSASS経由で記録された94%という阻止率についても、検証に用いた特定ビルドのシグネチャに依存しているため、文字列の変更や再コンパイルによってハッシュ値が変わるだけで検知を回避される脆弱性を内包していると報告されている。