Tim biru bertugas bertahan. Mereka memantau jaringan, memburu ancaman, menanggapi insiden, dan memperkuat sistem sebelum penyerang menemukannya. Nama ini berasal dari latihan militer di mana pasukan yang berlawanan mengenakan penanda berwarna. Tim merah menyerang. Tim biru bertahan. Tim ungu menggabungkan keduanya, menggunakan temuan tim merah untuk meningkatkan deteksi tim biru.

Pekerjaan tim biru tidak glamor dan konstan. Analis memantau dasbor. Mereka memilah peringatan, yang sebagian besar merupakan positif palsu. Mereka menyesuaikan aturan untuk mengurangi gangguan. Mereka menambal sistem, meninjau log, dan mengejar anomali yang ternyata tidak ada apa-apa. Kemudian sesuatu yang nyata muncul, dan persiapan berbulan-bulan membuahkan hasil atau tidak. Tim biru terbaik membangun lapisan deteksi: pemantauan titik akhir, analisis lalu lintas jaringan, log identitas, dan intelijen ancaman. Mereka menjalankan latihan simulasi untuk melatih respons insiden. Mereka mengukur waktu rata-rata untuk mendeteksi dan waktu rata-rata untuk merespons. Metrik tersebut meningkat seiring dengan latihan. Tim biru yang belum pernah diuji adalah tim biru yang tidak mengetahui kekurangan mereka sendiri.

Fungsi tim biru

• Pemantauan — awasi tanda-tanda adanya kebocoran.
• Rekayasa deteksi — membangun dan menyempurnakan peringatan
• Respons insiden — menahan dan memulihkan diri dari pelanggaran
• Perburuan ancaman — secara proaktif mencari penyerang tersembunyi.
• Penguatan — mengurangi permukaan serangan sebelum sesuatu terjadi.

Keberhasilan tim biru tidak terlihat. Tidak ada yang terjadi hari ini karena seseorang telah melakukan pekerjaannya kemarin.