Η μπλε ομάδα αμύνεται. Παρακολουθεί τα δίκτυα, αναζητά απειλές, αντιδρά σε περιστατικά και ενισχύει τα συστήματα πριν τα εντοπίσουν οι επιτιθέμενοι. Το όνομα προέρχεται από στρατιωτικές ασκήσεις όπου οι αντίπαλες δυνάμεις φορούν χρωματιστούς μαρκαδόρους. Η κόκκινη ομάδα επιτίθεται. Η μπλε ομάδα αμύνεται. Η μωβ ομάδα συνδυάζει τα δύο, χρησιμοποιώντας τα ευρήματα της κόκκινης ομάδας για να βελτιώσει την ανίχνευση της μπλε ομάδας.

Η εργασία της μπλε ομάδας είναι άχαρη και συνεχής. Οι αναλυτές παρακολουθούν τα dashboards. Διαχωρίζουν τις ειδοποιήσεις, οι περισσότερες από τις οποίες είναι ψευδώς θετικές. Ρυθμίζουν τους κανόνες για να μειώσουν τον θόρυβο. Επιδιορθώνουν τα συστήματα, ελέγχουν τα αρχεία καταγραφής και εντοπίζουν ανωμαλίες που αποδεικνύονται μηδαμινές. Στη συνέχεια, εμφανίζεται κάτι πραγματικό και οι μήνες προετοιμασίας αποδίδουν ή όχι. Οι καλύτερες μπλε ομάδες δημιουργούν επίπεδα ανίχνευσης: παρακολούθηση τελικών σημείων, ανάλυση κυκλοφορίας δικτύου, αρχεία καταγραφής ταυτότητας και πληροφορίες απειλών. Εκτελούν ασκήσεις σε επιτραπέζια βάση για να εξασκήσουν την αντιμετώπιση περιστατικών. Μετρούν τον μέσο χρόνο ανίχνευσης και τον μέσο χρόνο αντίδρασης. Αυτές οι μετρήσεις βελτιώνονται με την εξάσκηση. Μια μπλε ομάδα που δεν έχει δοκιμαστεί ποτέ είναι μια μπλε ομάδα που δεν γνωρίζει τα δικά της κενά.

Λειτουργίες μπλε ομάδας

• Παρακολούθηση — προσέξτε για σημάδια παραβίασης
• Μηχανική ανίχνευσης — δημιουργία και ρύθμιση ειδοποιήσεων
• Αντιμετώπιση περιστατικών — περιορισμός και αποκατάσταση από παραβιάσεις
• Κυνήγι απειλών — προληπτική αναζήτηση κρυφών εισβολέων
• Σκλήρυνση — μείωση της επιφάνειας επίθεσης πριν συμβεί οτιδήποτε

Η επιτυχία της μπλε ομάδας είναι αόρατη. Δεν συνέβη τίποτα σήμερα επειδή κάποιος έκανε τη δουλειά του χθες.