El equipo azul defiende. Monitorea las redes, busca amenazas, responde a incidentes y refuerza los sistemas antes de que los atacantes los encuentren. Su nombre proviene de los ejercicios militares donde las fuerzas contendientes usan marcadores de colores. El equipo rojo ataca. El equipo azul defiende. El equipo púrpura combina ambos, utilizando los hallazgos del equipo rojo para mejorar la detección del equipo azul.

El trabajo de un equipo azul es poco glamuroso y constante. Los analistas supervisan los paneles de control. Clasifican las alertas, la mayoría de las cuales son falsos positivos. Ajustan las reglas para reducir el ruido. Aplican parches a los sistemas, revisan los registros y buscan anomalías que resultan ser inexistentes. Entonces aparece algo real, y los meses de preparación dan sus frutos o no. Los mejores equipos azules crean capas de detección: monitorización de endpoints, análisis del tráfico de red, registros de identidad e inteligencia sobre amenazas. Realizan simulacros para ensayar la respuesta a incidentes. Miden el tiempo medio de detección y el tiempo medio de respuesta. Estas métricas mejoran con la práctica. Un equipo azul que nunca ha sido puesto a prueba es un equipo azul que desconoce sus propias deficiencias.

Funciones del equipo azul

• Vigilancia: estar atento a las señales de compromiso.
• Ingeniería de detección: creación y ajuste de alertas
• Respuesta ante incidentes: contención y recuperación ante brechas de seguridad.
• Búsqueda de amenazas: búsqueda proactiva de atacantes ocultos.
• Reforzamiento: reduce la superficie de ataque antes de que ocurra algo.

El éxito del equipo azul es invisible. Nada de lo que sucedió hoy se debió a que alguien hizo su trabajo ayer.