Picus「Blue Report」、検知面での慢性的な課題を浮き彫りに

PicusのBlue Report 2026によると、企業のサイバーセキュリティ防御は2026年に改善が見られました。 

しかし各組織は、巧妙な攻撃者の挙動を検知することや、セキュリティテレメトリを実際に活用できるアラートへと変換することに、依然として苦戦しています。 

本レポートは、2026年1月から6月にかけてPicusの顧客環境で実施された、3億3,800万件を超える模擬攻撃を分析対象としています。 

Picusは、既存のセキュリティ管理策が攻撃をどれだけ効果的に防いだか、また模擬された悪意ある活動がログやアラートを生成したかどうかを測定しました。

全体的な防止スコアは、2025年の62%から2026年には69%に上昇し、2024年に記録された水準まで回復しました。 

この結果は、境界防御の強化が、攻撃者が環境への侵入に成功した後の保護効果と必ずしも比例しないことを示しています。

Picus Blue Reportが示す2026年の主な要点

• サイバー攻撃の防止は全体として改善、Picusの報告によれば防止効果は2025年の62%から2026年には69%に上昇。
• 侵害後の防御は依然として脆弱、認証済みアクセスが確立された後の攻撃者の行動のうち、防止できたのはわずか37%。
• セキュリティログの改善はアラート精度の向上につながらず、ログスコアは58%に上昇した一方、アラートスコアはわずか14%に留まる。
• 主要な脅威に対するランサムウェア防止能力は悪化、防止率が最も低い上位10のランサムウェアファミリーはすべて38%以下のスコア。

Picus、侵害後のセキュリティ防御にギャップがあることを発見 

本レポートの重要な発見の一つは、攻撃者が認証済みアクセスを獲得した後に何が起きるかという点です。 

Picusは、侵害後の防止率がわずか37%であることを発見しました。これは全体の防止スコアである69%を大きく下回っています。

この差は、目立ちやすい攻撃者の挙動と、目立ちにくい低ノイズの挙動との間で特に顕著でした。 

サービス実行を用いたラテラルムーブメント手法は約90%の確率で防止された一方、UACバイパスを用いた権限昇格手法は約85%の確率でブロックされました。 

これに対し、探索(discovery)および収集(collection)活動が防止された割合はわずか約10%にとどまりました。

PicusによるMITRE ATT&CK手法の分析では、コマンド履歴ロギング妨害(Impair Command History Logging、T1562.003)がブロックされたのは模擬攻撃全体のわずか1%、アカウントアクセス削除(Account Access Removal、T1531)が防止されたのはわずか2%でした。 

データエンコーディング(Data Encoding、T1132)と署名済みスクリプトによるプロキシ実行(Signed Script Proxy Execution、T1216)は、それぞれ防止率がわずか9%にとどまりました。

セキュリティテレメトリの増加は、実際に活用できるアラートの増加にはつながらず 

各組織は攻撃者の活動を捕捉する能力を向上させた一方で、セキュリティチームへのアラート通知については同程度の進展を見せていません。

平均ログスコアは54%から58%に上昇し、本レポートの歴代版の中で過去最高水準となりました。 

しかしアラートスコアは14%のまま変化がなく、模擬攻撃のうち意味のあるアラートを生成したのは7件に1件にも満たない計算になります。

Picusは、この差を生む大きな要因として検知エンジニアリング上の課題を挙げています。 

検知ルールの失敗要因のうち、パフォーマンス上の問題が占める割合は49%に達し、前年の24%から大幅に増加しました。 

ログ収集に関する問題は50%から41%に減少しており、課題の重心が単なるテレメトリの収集から、それを効率的に処理し有用なアラートを生成することへと移りつつあることがうかがえます。 

ログ収集における残存する課題は懸念材料です。記録されない活動はアラートを発生させることができないためであり、各組織が検知エンジニアリングを優先課題とする必要性を改めて浮き彫りにしています。 

ランサムウェア防止能力の低下

本レポートでは、複数のランサムウェアファミリーに対する防御力の低下も明らかになりました。 

防止率が最も低い上位10のランサムウェアファミリーは、いずれも防止スコアが38%以下となっており、その平均防止スコアは2025年の約44%から2026年には32%へと低下しました。

Play ランサムウェアは最大の下落幅を記録し、防止率が50%からわずか13%まで落ち込みました。

BlackByteが防止されたのは模擬攻撃の25%にとどまり、LockBitがブロックされたのはわずか30%と、昨年の45%から低下しました。

継続的な検証を行わなければセキュリティ管理策は劣化しうる 

Picusの調査結果は、脅威、設定、インフラが変化するのに伴い、サイバーセキュリティの実効性も変化しうることを示しています。 

同社は、管理策の継続的な検証、行動ベースの検知の強化、ランサムウェアおよび高度標的型攻撃(APT)の攻撃チェーンのテスト、検知エンジニアリングの改善を推奨しています。 

セキュリティ管理策は、設定のドリフト、連携機能の不具合、運用の複雑化、そして進化し続ける攻撃者の手法によって時間とともに劣化しうるため、継続的なテストとチューニングの必要性が改めて浮き彫りになっています。 

これらの調査結果はまた、ゼロトラストの原則の価値も裏付けています。ゼロトラストは、環境内にすでに脅威が存在している可能性を前提とし、ユーザー、デバイス、アクセスの継続的な検証を求める考え方です。