Blue Team.

Como los red teams, el concepto de blue team proviene de ejercicios militares en los que la fuerza "azul" representaba a los defensores. En ciberseguridad, el blue team agrupa a analistas del SOC, ingenieros de detección, respondedores de incidentes, threat hunters y a los operadores de las plataformas de seguridad (SIEM, EDR, XDR, SOAR, IAM). Su cometido se corresponde con las seis funciones del NIST CSF 2.0 —Gobernar, Identificar, Proteger, Detectar, Responder, Recuperar—, convirtiendo la estrategia en sistemas endurecidos, detecciones afinadas, alertas triadas y lecciones posincidente que retroalimentan la arquitectura.

El blue teaming moderno está cada vez más guiado por la ingeniería. Los pipelines de detección como código versionan reglas Sigma, YARA y Suricata y las prueban en CI; el threat hunting es dirigido por hipótesis, usando marcos como MITRE ATT&CK para enumerar técnicas adversarias y D3FEND para mapear contramedidas. La Pirámide del Dolor de David Bianco (2013) guía la priorización: detectar los TTP de un atacante le duele mucho más que bloquear un hash o una IP que puede cambiar sin esfuerzo. La observación de John Lambert de que "los defensores piensan en listas y los atacantes en grafos" empuja a los equipos hacia el análisis de rutas de ataque en lugar de inventarios planos de activos.

La eficacia se mide con MTTD, MTTR, cobertura de detección frente a ATT&CK y —validado junto a los red teams en ejercicios purple team— la proporción de técnicas emuladas que realmente generan alerta.

flowchart LR
  T[Inteligencia + ATT&CK] --> H[Hipótesis / caza]
  H --> D[Escribir y afinar detecciones<br/>Sigma / YARA / EDR]
  D --> M[Monitorizar SIEM / XDR]
  M --> A{¿Alerta?}
  A -->|Sí| IR[Triaje y respuesta]
  A -->|No| M
  IR --> L[Lecciones aprendidas]
  L --> D
  L --> P[Validación purple team]
  P --> H