Đội xanh (Blue Team) có nhiệm vụ phòng thủ. Họ giám sát mạng lưới, săn lùng các mối đe dọa, ứng phó với sự cố và tăng cường bảo mật hệ thống trước khi kẻ tấn công tìm ra chúng. Tên gọi này xuất phát từ các cuộc tập trận quân sự, nơi các lực lượng đối lập đeo các vật đánh dấu màu sắc khác nhau. Đội đỏ (Red Team) tấn công. Đội xanh (Blue Team) phòng thủ. Đội tím (Purple Team) kết hợp cả hai, sử dụng các phát hiện của đội đỏ để cải thiện khả năng phát hiện của đội xanh.

Công việc của đội xanh (blue team) không hào nhoáng và đòi hỏi sự kiên trì. Các nhà phân tích theo dõi bảng điều khiển. Họ phân loại cảnh báo, hầu hết là cảnh báo sai. Họ tinh chỉnh các quy tắc để giảm nhiễu. Họ vá lỗi hệ thống, xem xét nhật ký và truy tìm các bất thường mà hóa ra chẳng có gì. Rồi một sự cố thực sự xuất hiện, và những tháng chuẩn bị sẽ được đền đáp hoặc không. Các đội xanh giỏi nhất xây dựng các lớp phát hiện: giám sát điểm cuối, phân tích lưu lượng mạng, nhật ký nhận dạng và thông tin tình báo về mối đe dọa. Họ thực hiện các bài tập mô phỏng để diễn tập ứng phó sự cố. Họ đo thời gian trung bình để phát hiện và thời gian trung bình để phản hồi. Các chỉ số này sẽ được cải thiện theo thời gian thực hành. Một đội xanh chưa từng được thử thách là một đội xanh không biết được những điểm yếu của chính mình.

Chức năng của đội xanh

• Giám sát — theo dõi các dấu hiệu bị xâm phạm
• Kỹ thuật phát hiện — xây dựng và tinh chỉnh cảnh báo
• Ứng phó sự cố — ngăn chặn và khắc phục hậu quả từ các vụ xâm phạm
• Săn lùng mối đe dọa — chủ động tìm kiếm những kẻ tấn công ẩn nấp
• Tăng cường bảo mật — giảm thiểu bề mặt tấn công trước khi bất cứ điều gì xảy ra.

Thành công của đội xanh là vô hình. Không có gì xảy ra hôm nay chỉ vì ai đó đã làm tốt công việc của họ ngày hôm qua.