blue team

Blue team to zespół odpowiedzialny za obronę organizacji: monitoruje infrastrukturę, wykrywa i obsługuje incydenty oraz utrzymuje i stroi zabezpieczenia. Słownik NIST, za dokumentem CNSSI 4009-2022, definiuje blue team jako grupę odpowiedzialną za obronę systemów informacyjnych organizacji przez utrzymywanie ich poziomu bezpieczeństwa wobec grupy pozorowanych atakujących, czyli red teamu ^[1]. Nazwa pochodzi z ćwiczeń, w których obrońcy i napastnicy mają przypisane kolory.

Jak działa

Blue team pracuje w dwóch trybach. Na co dzień broni rzeczywistej infrastruktury przed rzeczywistymi atakami. W ćwiczeniach odpiera ataki red teamu, czyli grupy upoważnionej do naśladowania możliwości potencjalnego przeciwnika ^[2]. Celem red teamu jest pokazanie skutków udanego ataku i sprawdzenie, które środki obrony blue teamu działają w warunkach operacyjnych ^[2].

Wspólną pracę obu stron, w której napastnicy na bieżąco dzielą się technikami, a obrońcy poprawiają wykrywanie, nazywa się purple teamem. Wspólnym językiem bywa MITRE ATT&CK, globalnie dostępna baza wiedzy o taktykach i technikach przeciwników oparta na obserwacjach z rzeczywistych ataków ^[5].

NIST podaje też drugie, węższe znaczenie: grupa, która przeprowadza operacyjne oceny podatności sieci i doradza środki zaradcze klientom potrzebującym niezależnego przeglądu technicznego ^[1].

Składniki

Zakres pracy blue teamu dobrze oddaje podział funkcji w NIST Cybersecurity Framework 2.0 z 26 lutego 2024 roku ^[3]. Ramy wyróżniają sześć funkcji: Govern, Identify, Protect, Detect, Respond i Recover ^[3]. Govern dotyczy strategii, oczekiwań i polityki zarządzania ryzykiem, a Identify zrozumienia bieżących ryzyk, w tym zasobów, dostawców i ludzi ^[3]. Protect oznacza stosowanie zabezpieczeń, które zmniejszają prawdopodobieństwo i skutki niepożądanych zdarzeń ^[3]. Blue team najsilniej działa w czterech ostatnich funkcjach, choć korzysta z wyników dwóch pierwszych: bez spisu zasobów nie wiadomo, czego bronić.

RYS. 1Funkcje CSF 2.0 w pracy blue teamu

• Detect. Według CSF 2.0 funkcja ta obejmuje wykrywanie i analizę możliwych ataków i przełamań, w tym anomalii i wskaźników kompromitacji (IoC) ^[3]. W praktyce to praca z SIEM, EDR i regułami wykrywania, czyli detection engineering, oraz aktywne polowanie na zagrożenia (threat hunting).
• Respond. Działania wobec wykrytego incydentu, w tym ograniczanie jego skutków, zarządzanie, analiza, łagodzenie i raportowanie ^[3]; zob. reagowanie na incydenty.
• Recover. Przywrócenie zasobów i operacji dotkniętych incydentem ^[3].

NIST SP 800-61 w wersji 3 z kwietnia 2025 roku wpisuje reagowanie na incydenty w całe zarządzanie ryzykiem opisane przez CSF 2.0 ^[4]. Dokument ma formę profilu społecznościowego CSF 2.0, czyli przypisuje zalecenia dotyczące incydentów do poszczególnych funkcji ram ^[4]. Dla blue teamu oznacza to, że obsługa incydentu nie jest osobnym procesem uruchamianym od święta, lecz częścią codziennego zarządzania bezpieczeństwem. Organizacyjnie blue team często działa jako SOC albo zespół CSIRT.

W WordPressie

Na małej stronie WordPress rzadko istnieje osobny zespół; zadania blue teamu wykonuje administrator, hosting albo firma utrzymująca stronę. Zakres jest ten sam, tylko w mniejszej skali. Dokumentacja WordPressa w części o atakach siłowych zaleca przeglądać logi pod kątem nieudanych logowań, ustalać ich źródła i czasowo blokować nadużywające adresy, na przykład narzędziem fail2ban ^[8]. Wskazuje też typowe cele takich ataków: wp-login.php i xmlrpc.php ^[8].

Do codziennej pracy obrońcy strony należą także monitorowanie integralności plików, śledzenie informacji o podatnościach we wtyczkach i szybkie wdrażanie poprawek. Dokumentacja zauważa, że wtyczki działające w PHP same zużywają zasoby przy silnym ataku, a zapora na brzegu sieci blokuje ruch, zanim dotrze on do serwera ^[8]. Wybór warstwy obrony jest więc również decyzją blue teamu.

Znaczenie

Wartość blue teamu mierzy się tym, jak szybko wykrywa i zatrzymuje atak, a nie liczbą wdrożonych narzędzi. Do takiego pomiaru służą miary MTTD i MTTR. Zbyt wiele niezweryfikowanych alertów prowadzi do zmęczenia alertami (alert fatigue), w którym prawdziwy sygnał ginie w szumie.

Ćwiczenia z red teamem, testy penetracyjne i tabletop exercise pozwalają sprawdzić obronę w kontrolowanych warunkach, zanim zrobi to prawdziwy przeciwnik. Opisane w ćwiczeniu kroki reakcji warto potem zapisać jako playbook.

Historia i przykłady

Najbardziej znanym międzynarodowym ćwiczeniem obrońców jest Locked Shields, organizowane przez NATO CCDCOE co roku od 2010 roku ^[6]. Organizator nazywa je największym i najbardziej złożonym międzynarodowym ćwiczeniem cyberobrony na żywo; edycja z 2026 roku zgromadziła 4000 uczestników z 41 państw ^[6].

W edycji z 2014 roku zwyciężył polski blue team złożony z przedstawicieli MIL-CERT, SKW, CERT-GOV, WAT i CERT Polska ^[7]. Zawody trwały dwa dni, a zespoły broniły fikcyjnego kraju Berylia przed zmasowanymi atakami; oprócz zadań technicznych rozwiązywały też problemy prawne związane z reagowaniem na ataki ^[7]. Niebezpiecznik opisał to zwycięstwo 24 maja 2014 roku ^[7].