يتولى الفريق الأزرق مهمة الدفاع. فهو يراقب الشبكات، ويبحث عن التهديدات، ويستجيب للحوادث، ويعزز أمن الأنظمة قبل أن يكتشفها المهاجمون. وقد استُمدّ الاسم من التدريبات العسكرية التي ترتدي فيها القوات المتنافسة علامات ملونة. يهاجم الفريق الأحمر، بينما يتولى الفريق الأزرق مهمة الدفاع. أما الفريق البنفسجي، فيجمع بين مهام الفريقين، مستخدماً نتائج الفريق الأحمر لتحسين قدرة الفريق الأزرق على كشف الهجمات.

عمل فرق الدفاع الأزرق عملٌ روتينيٌّ ومتواصل. يراقب المحللون لوحات المعلومات، ويفرزون التنبيهات، التي يكون معظمها إنذارات خاطئة. يضبطون القواعد لتقليل التشويش، ويحدّثون الأنظمة، ويراجعون السجلات، ويتعقبون الحالات الشاذة التي لا تُشكّل أساسًا للمشكلة. ثم يظهر شيءٌ حقيقي، فتُؤتي أشهر التحضير ثمارها أو لا. أفضل فرق الدفاع الأزرق تُنشئ طبقات كشفٍ متعددة: مراقبة نقاط النهاية، وتحليل حركة مرور الشبكة، وسجلات الهوية، ومعلومات التهديدات. تُجري هذه الفرق تمارين محاكاةٍ للتدرب على الاستجابة للحوادث، وتقيس متوسط ​​وقت الكشف ومتوسط ​​وقت الاستجابة. تتحسن هذه المقاييس مع الممارسة. فريق الدفاع الأزرق الذي لم يُختبر قط هو فريقٌ يجهل نقاط ضعفه.

وظائف الفريق الأزرق

• المراقبة — ترقبوا علامات الاختراق
• هندسة الكشف - بناء وضبط التنبيهات
• الاستجابة للحوادث - احتواء الاختراقات والتعافي منها
• البحث الاستباقي عن التهديدات - البحث بشكل استباقي عن المهاجمين المختبئين
• التحصين - تقليل مساحة الهجوم قبل حدوث أي شيء

نجاح الفريق الأزرق غير مرئي. لم يحدث شيء اليوم لأن أحدهم قام بعمله بالأمس.