Det blå hold forsvarer. Det overvåger netværk, jagter trusler, reagerer på hændelser og hærder systemer, før angribere finder dem. Navnet kommer fra militære øvelser, hvor modstridende styrker bærer farvede markører. Det røde hold angriber. Det blå hold forsvarer. Det lilla hold blander de to og bruger det røde holds resultater til at forbedre det blå holds detektion.

Det blå teams arbejde er uglamourøst og konstant. Analytikere holder øje med dashboards. De vurderer alarmer, hvoraf de fleste er falske positiver. De justerer regler for at reducere støj. De opdaterer systemer, gennemgår logs og jagter anomalier, der viser sig at være ingenting. Så dukker der noget reelt op, og månedernes forberedelse betaler sig eller gør det ikke. De bedste blå teams opbygger detektionslag: endpoint-overvågning, netværkstrafikanalyse, identitetslogs og trusselsintelligens. De kører bordøvelser for at øve hændelsesrespons. De måler gennemsnitlig tid til detektion og gennemsnitlig tid til respons. Disse målinger forbedres med øvelse. Et blåt team, der aldrig er blevet testet, er et blåt team, der ikke kender sine egne huller.

Blå holdfunktioner

• Overvågning — hold øje med tegn på kompromis
• Detektionsteknik — opbyg og finjuster alarmer
• Hændelsesrespons — inddæmning og gendannelse efter brud
• Trusselsjagt — søg proaktivt efter skjulte angribere
• Hærdning — reducer angrebsfladen, før der sker noget

Blå holds succes er usynlig. Intet skete i dag, fordi nogen gjorde deres arbejde i går.