Modrý tým se brání. Monitoruje sítě, vyhledává hrozby, reaguje na incidenty a posiluje systémy dříve, než je útočníci objeví. Název pochází z vojenských cvičení, kde nepřátelské síly nosí barevné značky. Červený tým útočí. Modrý tým se brání. Fialový tým kombinuje obojí a využívá poznatky červeného týmu ke zlepšení detekce modrého týmu.

Práce v modrém týmu je nenápadná a neustálá. Analytici sledují dashboardy. Třídí upozornění, z nichž většina jsou falešně pozitivní. Ladí pravidla, aby snížili šum. Opravují systémy, kontrolují protokoly a sledují anomálie, které se ukážou jako nic. Pak se objeví něco skutečného a měsíce příprav se buď vyplatí, nebo ne. Nejlepší modré týmy budují detekční vrstvy: monitorování koncových bodů, analýzu síťového provozu, protokoly identity a informace o hrozbách. Provádějí simulovaná cvičení, aby si procvičily reakci na incidenty. Měří průměrnou dobu detekce a průměrnou dobu reakce. Tyto metriky se s praxí zlepšují. Modrý tým, který nikdy nebyl testován, je modrý tým, který nezná své vlastní mezery.

Funkce modrého týmu

• Monitorování – sledujte známky ohrožení
• Detekční inženýrství – vytváření a ladění výstrah
• Reakce na incidenty – omezení a zotavení se z narušení bezpečnosti
• Hledání hrozeb – proaktivní vyhledávání skrytých útočníků
• Kalení – zmenšení útočné plochy dříve, než se cokoli stane

Úspěch modrého týmu je neviditelný. Dnes se nic nestalo, protože někdo včera odvedl svou práci.