Dalam dunia keamanan siber yang terus berkembang, pertahanan perusahaan dirancang untuk menangkap serangan yang “berisik” atau mudah terdeteksi. Namun, data terbaru dari Picus Labs menunjukkan bahwa para penyerang justru semakin lihai, beroperasi tanpa menimbulkan kebisingan sama sekali. Temuan ini terangkum dalam “Blue Report 2026” yang menganalisis lebih dari 338 juta simulasi serangan nyata di lingkungan produksi klien pada paruh pertama tahun 2026.
Laporan tersebut membawa kabar baik sekaligus buruk. Efektivitas pencegahan rata-rata meningkat dari 62% menjadi 69%, menyamai puncaknya pada tahun 2024, dan kemampuan pencatatan (logging) mencapai titik tertinggi dalam empat tahun sebesar 58%. Ini menunjukkan adanya pemulihan dan penguatan pertahanan. Namun, kabar buruknya, perbaikan ini hampir secara eksklusif terjadi di perimeter atau batas luar jaringan. Begitu perimeter berhasil ditembus, situasinya berbalik 180 derajat. Pertahanan yang tampak kuat dari luar menjadi rapuh di bagian dalam, terutama terhadap gerakan senyap seperti pengintaian dan pencurian kredensial, yang sering mendahului setiap pelanggaran serius.
Untuk pertama kalinya, Picus Labs mengukur pencegahan pasca-kompromi menggunakan pengujian penetrasi otonom. Hasilnya mengejutkan: tingkat pencegahan pasca-kompromi hanya 37%. Ini berarti, jika perimeter berhasil memblokir dua dari tiga serangan, di bagian dalam, pertahanan hanya mampu menghentikan satu dari tiga serangan. Namun, rata-rata ini menyembunyikan pola yang lebih spesifik. Pertahanan internal tidak gagal secara merata, melainkan pada titik-titik tertentu, terutama terhadap aksi-aksi senyap. Perilaku berbahaya yang “berisik”, seperti menjalankan kode atau berpindah antar mesin (lateral movement) melalui eksekusi layanan (misalnya Sharp-ServiceExec dan SMBExec) atau eskalasi hak istimewa UAC-bypass, sebagian besar berhasil diblokir, masing-masing sekitar 90% dan 85%. Ini menunjukkan bahwa EDR (Endpoint Detection and Response) telah bekerja sesuai harapan, berkat investasi bertahun-tahun dalam asumsi pelanggaran.
Sebaliknya, pekerjaan senyap hampir tidak terjamah. Pengintaian, pemetaan domain, dan enumerasi *share* dan sesi, adalah kategori yang paling sedikit dicegah, hanya dihentikan sekitar 10% dari waktu. Pertahanan sedikit lebih baik dalam mendeteksi kredensial yang diam-diam dibaca dari memori (sekitar 22%), namun satu varian, yaitu menarik rahasia langsung dari registri, hanya dihentikan dalam kurang dari 1% percobaan. Ini berarti penyerang dapat memetakan lingkungan, mengumpulkan sesi, dan membaca kredensial hampir tanpa perlawanan, mempersiapkan serangan yang lebih “berisik” yang baru akan memicu kontrol keamanan.
Salah satu temuan kunci menjelaskan mengapa ini terjadi. Alat pencurian kredensial yang sama, Mimikatz, ketika dijalankan dengan tujuan yang sama melalui tiga cara berbeda, menunjukkan skor pencegahan yang sangat bervariasi. Membuang kredensial secara klasik, yang sangat terdeteksi, langsung dari memori proses LSASS, hampir selalu berhasil diblokir. Namun, menariknya dari lokasi memori lain atau membacanya dari registri, hampir tidak pernah diblokir sama sekali. Alat yang sama, tujuan yang sama, lingkungan yang sama. Satu-satunya variabel adalah seberapa “mencolok” rutenya. Jalur LSASS menghasilkan “kebisingan” yang dapat dicocokkan oleh alat keamanan—sebuah proses membuka *handle* ke lsass.exe dan membaca memorinya, sebuah peristiwa yang telah diinstrumentasi oleh vendor selama bertahun-tahun. Sementara itu, membaca registri tidak pernah menyentuh LSASS dan terlihat seperti aktivitas istimewa biasa, sehingga kontrol yang dibangun untuk peristiwa pertama tidak memiliki pemicu untuk peristiwa kedua.
Yang lebih mengkhawatirkan, 94% kelemahan ini bahkan lebih buruk dari yang terlihat, karena diukur terhadap satu *build* alat *open-source* yang identifikasinya terletak pada cara kompilasinya, bukan pada perilakunya. Penyerang dapat dengan mudah mengganti nama *string* yang menjadi kunci tanda tangan, memuatnya di memori sehingga tidak ada yang mendarat di disk untuk dipindai, atau bahkan melewati Mimikatz sama sekali dan melakukan *dump* yang sama dengan utilitas Microsoft yang sudah ada. Setiap jalur ini pada akhirnya menghasilkan kredensial yang sama, hanya saja yang diawasi oleh tanda tangan adalah hal yang berubah. Skor pencegahan yang dibangun berdasarkan tanda tangan hanya menunjukkan seberapa baik kita menangkap apa yang sudah kita lihat, bukan apakah kita benar-benar menghentikan perilaku mendasarinya.
Celah ini tidak terbatas pada satu alat. Laporan “Red Report 2026” menemukan bahwa penyerang sengaja beralih ke strategi *stealth*, dan “Blue Report” mengkonfirmasi bahwa perilaku ini berhasil. Teknik yang paling sedikit dicegah dalam seluruh *dataset* adalah menyembunyikan riwayat perintah, hanya dihentikan 1% dari waktu. Perilaku yang luput dari pertahanan adalah persis perilaku rendah kebisingan yang diandalkan oleh penyerang yang berorientasi pada penghindaran saat ini. Pertahanan *malware* juga menurun karena alasan yang sama. Tingkat Pencegahan Berbasis IOC (Indikator Kompromi), atau seberapa sering kontrol keamanan memblokir *file* berbahaya yang diketahui sebagai unduhan, turun menjadi 50% tahun ini, dari 60% tahun lalu dan 71% pada tahun 2024. Tanda tangan saja tidak dapat mengimbangi: VirusTotal menerima hampir dua juta *file* baru setiap hari, dan pengemasan ulang *payload* membuat indikator usang sementara perilaku di bawahnya tetap sama. Pengujian berbasis indikator memang masih penting sebagai cara tercepat untuk mengonfirmasi bahwa batas jaringan menghentikan apa yang sudah diketahui, tetapi itu hanya memeriksa jalur yang sudah memiliki tanda tangan. Ini harus dipasangkan dengan pengujian perilaku yang lebih komprehensif.
