Blue team to zespół, który broni organizacji przed atakami. Wzmacnia konfigurację systemów, monitoruje zdarzenia, wykrywa ataki i reaguje na incydenty. Jego przeciwieństwem w ćwiczeniach jest red team, który próbuje przełamać zabezpieczenia.
Czym zajmuje się blue team?
Utwardza systemy, zarządza poprawkami, wdraża logowanie i monitoring, tworzy reguły wykrywania i prowadzi analizę incydentów. Dba też o plany awaryjne i testuje odtwarzanie z kopii zapasowych.
Współpraca z red team
Po ćwiczeniu oba zespoły omawiają, co zostało wykryte, a co nie. Podejście, w którym współpracują bezpośrednio, nazywa się purple team i służy szybkiemu poprawianiu wykrywania.
Narzędzia
Typowe są SIEM, systemy wykrywania włamań, zarządzanie podatnościami i narzędzia do analizy zagrożeń. Skuteczność zależy bardziej od procesów i przećwiczonych procedur niż od samej liczby narzędzi.
Podstawowe praktyki obronne
Pierwszym krokiem jest inwentaryzacja: wiedza, jakie systemy i usługi istnieją. Następnie regularne aktualizacje, kopie zapasowe testowane przez odtworzenie, centralne logowanie, ograniczenie uprawnień i segmentacja sieci. Do tego dochodzi plan reagowania na incydenty, w którym każda osoba zna swoją rolę. W małej firmie rolę blue teamu pełni często jedna osoba lub zewnętrzny dostawca, a zakres pozostaje podobny.
Ślady takich zdarzeń najczęściej odnajduje się, gdy prowadzona jest analiza logów serwera.
Zobacz w praktyce
Analiza logów serwera strony internetowej - poradnik 
Jak zabezpieczyć aplikację przed SQL Injection 
Ochrona przed atakami brute force – jak zabezpieczam logowanie na stronie i serwerze