Zespół niebieski broni. Monitoruje sieci, wykrywa zagrożenia, reaguje na incydenty i wzmacnia systemy, zanim atakujący je wykryją. Nazwa pochodzi od ćwiczeń wojskowych, podczas których przeciwnicy noszą kolorowe znaczniki. Zespół czerwony atakuje. Zespół niebieski broni. Zespół fioletowy łączy te dwie metody, wykorzystując ustalenia zespołu czerwonego do usprawnienia wykrywania ataków przez zespół niebieski.

Praca w zespole niebieskim jest mało efektowna i ciągła. Analitycy obserwują pulpity nawigacyjne. Selekcja alertów, z których większość to fałszywe alarmy. Dostosowują reguły, aby zmniejszyć szum. Łatają systemy, przeglądają logi i ścigają anomalie, które okazują się nieistotne. Potem pojawia się coś realnego, a miesiące przygotowań przynoszą efekty lub nie. Najlepsze zespoły niebieskie budują warstwy detekcji: monitorowanie punktów końcowych, analizę ruchu sieciowego, logi tożsamości i analizę zagrożeń. Przeprowadzają ćwiczenia symulacyjne, aby przećwiczyć reagowanie na incydenty. Mierzą średni czas wykrycia i średni czas reakcji. Te wskaźniki poprawiają się wraz z praktyką. Zespół niebieski, który nigdy nie został przetestowany, to zespół niebieski, który nie zna własnych luk.

Funkcje niebieskiego zespołu

• Monitorowanie — obserwuj oznaki zagrożenia
• Inżynieria wykrywania — tworzenie i dostrajanie alertów
• Reagowanie na incydenty — ograniczanie naruszeń i odzyskiwanie po nich
• Polowanie na zagrożenia — proaktywne wyszukiwanie ukrytych atakujących
• Utwardzanie — zmniejsz powierzchnię ataku, zanim cokolwiek się wydarzy

Sukces niebieskiego zespołu jest niewidoczny. Nic się dziś nie wydarzyło, bo ktoś wczoraj wykonał swoją pracę.