Det blå laget försvarar. Det övervakar nätverk, jagar efter hot, reagerar på incidenter och härdar system innan angripare hittar dem. Namnet kommer från militära övningar där motståndande styrkor bär färgade markörer. Det röda laget attackerar. Det blå laget försvarar. Det lila laget blandar de två och använder det röda lagets resultat för att förbättra det blå lagets upptäckt.

Det blå teamets arbete är oglamoröst och konstant. Analytiker tittar på dashboards. De prioriterar varningar, varav de flesta är falskt positiva. De justerar regler för att minska brus. De uppdaterar system, granskar loggar och jagar upp avvikelser som visar sig vara ingenting. Sedan dyker något verkligt upp, och månaderna av förberedelser lönar sig eller gör det inte. De bästa blå teamen bygger detektionslager: endpointövervakning, nätverkstrafikanalys, identitetsloggar och hotinformation. De kör bordsövningar för att öva incidentrespons. De mäter genomsnittlig tid för att upptäcka och genomsnittlig tid för att reagera. Dessa mätvärden förbättras med övning. Ett blått team som aldrig har testats är ett blått team som inte känner till sina egna luckor.

Blå lagfunktioner

• Övervakning – leta efter tecken på kompromiss
• Detektionsteknik – skapa och finjustera varningar
• Incidenthantering — begränsa och återställa från intrång
• Hotjakt — sök proaktivt efter dolda angripare
• Härdning — minska attackytan innan något händer

Blå lagets framgång är osynlig. Ingenting hände idag eftersom någon gjorde sitt jobb igår.