블루팀은 방어팀입니다. 네트워크를 모니터링하고, 위협을 탐지하고, 사고에 대응하며, 공격자가 시스템을 발견하기 전에 시스템을 강화합니다. 이 이름은 군사 훈련에서 양측 병력이 색깔별 표식을 착용하는 데서 유래했습니다. 레드팀은 공격팀이고, 블루팀은 방어팀입니다. 퍼플팀은 두 역할을 융합하여 레드팀의 분석 결과를 활용해 블루팀의 탐지 능력을 향상시킵니다.

블루팀의 업무는 화려함과는 거리가 멀고 끊임없는 노력의 결과입니다. 분석가들은 대시보드를 주시하고, 대부분 오탐인 경고를 분류하고, 노이즈를 줄이기 위해 규칙을 조정하고, 시스템에 패치를 적용하고, 로그를 검토하고, 결국 아무것도 아닌 것으로 판명되는 이상 징후를 추적합니다. 그러다 진짜 위협이 발생하면, 수개월간의 준비가 결실을 맺거나 그렇지 못할 수도 있습니다. 최고의 블루팀은 엔드포인트 모니터링, 네트워크 트래픽 분석, ID 로그, 위협 인텔리전스 등 탐지 계층을 구축합니다. 또한, 실전 대응 훈련을 위해 모의 훈련을 실시하고, 평균 탐지 시간(MTTD)과 평균 대응 시간(MTR)을 측정합니다. 이러한 지표는 연습을 통해 향상됩니다. 한 번도 테스트를 거치지 않은 블루팀은 스스로의 약점을 알지 못하는 팀입니다.

블루팀 기능

• 모니터링 — 침해 징후를 감시합니다
• 탐지 엔지니어링 — 경고 구축 및 조정
• 사고 대응 - 침해 확산 방지 및 복구
• 위협 탐지 — 숨겨진 공격자를 사전에 찾아냅니다.
• 보안 강화 — 공격 발생 전에 공격 표면을 줄입니다.

블루팀의 성공은 눈에 보이지 않습니다. 누군가가 어제 제 역할을 다했기에 오늘 일어난 모든 일은 결코 헛되지 않습니다.