A kék csapat védekezik. Figyeli a hálózatokat, fenyegetéseket keres, reagál az incidensekre, és megerősíti a rendszereket, mielőtt a támadók megtalálnák azokat. A név a katonai gyakorlatokból ered, ahol az ellenfél erői színes jelzőket viselnek. A piros csapat támad. A kék csapat védekezik. A lila csapat ötvözi a kettőt, a piros csapat megállapításait felhasználva a kék csapat észlelésének javítására.

A kék csapatmunka nem túlzás és állandó. Az elemzők figyelik az irányítópultokat. Riasztásokat rangsorolnak, amelyek többsége téves riasztás. Szabályokat finomítanak a zaj csökkentése érdekében. Javítják a rendszereket, áttekintik a naplókat, és olyan anomáliákat kutatnak, amelyekről kiderül, hogy semmik. Aztán megjelenik valami valódi, és a hónapokig tartó előkészületek vagy megtérülnek, vagy nem. A legjobb kék csapatok észlelési rétegeket építenek ki: végpont-monitorozás, hálózati forgalomelemzés, identitásnaplók és fenyegetésfelderítés. Asztali gyakorlatokat végeznek az incidensekre adott válaszok gyakorlására. Mérik az észleléshez és a reagáláshoz szükséges átlagos időt. Ezek a mutatók a gyakorlással javulnak. Egy soha nem tesztelt kék csapat olyan kék csapat, amely nem ismeri a saját hiányosságait.

Kék csapatfunkciók

• Monitoring – figyeljen a kompromittálódás jeleire
• Észleléstechnika – riasztások létrehozása és finomhangolása
• Incidensreagálás – incidensek megfékezése és helyreállítás
• Fenyegetésvadászat – rejtett támadók proaktív keresése
• Keményedés – csökkentse a támadási felületet, mielőtt bármi történne

A kék csapat sikere láthatatlan. Ma semmi sem történt, mert valaki tegnap elvégezte a munkáját.