Синяя команда занимается защитой. Она отслеживает сети, выявляет угрозы, реагирует на инциденты и укрепляет системы до того, как их обнаружат злоумышленники. Название происходит от военных учений, где противоборствующие стороны носят цветные метки. Красная команда атакует. Синяя команда защищает. Фиолетовая команда объединяет две команды, используя данные красной команды для улучшения обнаружения синей командой.

Работа в «синей команде» — это негламурный и монотонный процесс. Аналитики следят за панелями мониторинга. Они сортируют оповещения, большинство из которых — ложные срабатывания. Они настраивают правила для уменьшения шума. Они обновляют системы, просматривают журналы и отслеживают аномалии, которые оказываются пустяковыми. Затем появляется что-то реальное, и месяцы подготовки либо окупаются, либо нет. Лучшие «синие команды» создают уровни обнаружения: мониторинг конечных точек, анализ сетевого трафика, журналы идентификации и аналитика угроз. Они проводят настольные учения для отработки реагирования на инциденты. Они измеряют среднее время обнаружения и среднее время реагирования. Эти показатели улучшаются с практикой. «Синяя команда», которая никогда не проходила проверку, — это «синяя команда», которая не знает своих собственных пробелов.

функции синей команды

• Мониторинг — отслеживайте признаки компрометации.
• Разработка систем обнаружения — создание и настройка оповещений.
• Реагирование на инциденты — локализация нарушений и восстановление после них.
• Поиск угроз — активный поиск скрытых злоумышленников.
• Укрепление — уменьшение поверхности атаки до того, как что-либо произойдёт.

Успех синей команды невидим. Сегодня ничего не произошло, потому что кто-то вчера выполнил свою работу.