Mavi takım savunma yapar. Ağları izler, tehditleri avlar, olaylara müdahale eder ve saldırganlar bulmadan önce sistemleri güçlendirir. Adı, karşıt güçlerin renkli işaretler taktığı askeri tatbikatlardan gelir. Kırmızı takım saldırır. Mavi takım savunur. Mor takım ise ikisini birleştirir ve kırmızı takımın bulgularını mavi takımın tespitini iyileştirmek için kullanır.

Mavi ekip çalışması gösterişsiz ve sürekli bir iştir. Analistler gösterge panellerini izler. Çoğu yanlış pozitif olan uyarıları önceliklendirirler. Gürültüyü azaltmak için kuralları ayarlarlar. Sistemleri yamalarlar, günlükleri incelerler ve hiçbir şey olmadığı ortaya çıkan anormalliklerin peşine düşerler. Sonra gerçek bir şey ortaya çıkar ve aylarca süren hazırlıklar karşılığını verir veya vermez. En iyi mavi ekipler tespit katmanları oluşturur: uç nokta izleme, ağ trafiği analizi, kimlik günlükleri ve tehdit istihbaratı. Olay müdahalesini prova etmek için masa başı tatbikatları yaparlar. Tespit etme ortalama süresini ve müdahale etme ortalama süresini ölçerler. Bu metrikler pratikle birlikte gelişir. Hiç test edilmemiş bir mavi ekip, kendi eksikliklerini bilmeyen bir mavi ekiptir.

Mavi takımın işlevleri

• İzleme — güvenlik ihlali belirtilerine dikkat edin.
• Algılama mühendisliği — uyarıları oluşturma ve optimize etme
• Olay müdahalesi — ihlalleri kontrol altına alma ve ihlallerden kurtulma
• Tehdit avcılığı — gizli saldırganları proaktif olarak arama
• Sertleştirme — herhangi bir şey olmadan önce saldırı yüzeyini azaltın.

Mavi takımın başarısı görünmezdir. Bugün hiçbir şey olmadı çünkü birileri dün işini yaptı.