Det blå laget forsvarer. Det overvåker nettverk, jakter på trusler, reagerer på hendelser og herder systemer før angripere finner dem. Navnet kommer fra militærøvelser der motstridende styrker bruker fargede markører. Rødt lag angriper. Blått lag forsvarer. Lilla lag blander de to, og bruker funn fra rødt lag for å forbedre deteksjon av blått lag.

Blå teamarbeid er lite glamorøst og konstant. Analytikere følger med på dashbord. De prioriterer varsler, hvorav de fleste er falske positive. De finjusterer regler for å redusere støy. De oppdaterer systemer, gjennomgår logger og jakter på avvik som viser seg å være ingenting. Så dukker det opp noe reelt, og månedene med forberedelser lønner seg eller ikke. De beste blå teamene bygger deteksjonslag: endepunktovervåking, nettverkstrafikkanalyse, identitetslogger og trusselintelligens. De kjører bordøvelser for å øve på hendelsesrespons. De måler gjennomsnittlig tid til å oppdage og gjennomsnittlig tid til å reagere. Disse beregningene forbedres med øvelse. Et blått team som aldri har blitt testet, er et blått team som ikke kjenner sine egne hull.

Blå lagfunksjoner

• Overvåking – se etter tegn på kompromiss
• Deteksjonsteknikk – bygg og finjuster varsler
• Hendelsesrespons – begrense og gjenopprette etter brudd
• Trusseljakt – søk proaktivt etter skjulte angripere
• Herding – reduser angrepsflaten før noe skjer

Blått lags suksess er usynlig. Ingenting skjedde i dag fordi noen gjorde jobben sin i går.