藍隊負責防禦。它監控網路、搜尋威脅、應對安全事件，並在攻擊者發現系統之前對其進行加固。這個名稱源自於軍事演習，演習中敵對雙方會穿戴不同顏色的標記。紅隊負責攻擊，藍隊負責防禦。紫隊則融合了兩者，利用紅隊的發現來改善藍隊的偵測能力。

藍隊的工作並不光鮮亮麗，卻又持續不斷。分析師們盯著儀表板，對警報進行分類，其中大部分都是誤報。他們調整規則以減少噪音，修補系統，審查日誌，追蹤那些最終被證明是虛驚一場的異常情況。然後，真正的問題出現了，幾個月的準備工作要么得到回報，要么付諸東流。優秀的藍隊會建構多層偵測機制：端點監控、網路流量分析、身分日誌和威脅情報。他們會進行桌面演練來模擬事件回應。他們會衡量平均檢測時間和平均回應時間。這些指標會隨著實踐而改善。一支從未經過測試的藍隊，就像一支對自身漏洞一無所知的藍隊。

藍隊職能

• 監控－注意是否有洩漏跡象
• 檢測工程－建置和調整警報
• 事件回應－控制和復原安全漏洞
• 威脅狩獵－主動搜尋隱藏的攻擊者
• 強化－在任何事情發生之前減少攻擊面

藍隊的成功是隱形的。今天之所以什麼都沒發生，是因為昨天有人盡責地完成了工作。