Blue Team.

Assim como o red team, o conceito de blue team vem de exercícios militares em que a força "azul" representava os defensores. Em cibersegurança, o blue team reúne analistas de SOC, engenheiros de detecção, respondedores de incidentes, threat hunters e operadores das plataformas (SIEM, EDR, XDR, SOAR, IAM). A sua missão corresponde às seis funções do NIST CSF 2.0 — Governar, Identificar, Proteger, Detectar, Responder, Recuperar —, convertendo estratégia em sistemas endurecidos, detecções afinadas, alertas triados e lições pós-incidente que realimentam a arquitetura.

O blue teaming moderno é cada vez mais orientado por engenharia. Pipelines de detecção como código versionam regras Sigma, YARA e Suricata e as testam em CI; o threat hunting é orientado por hipóteses, usando frameworks como MITRE ATT&CK para enumerar técnicas adversárias e D3FEND para mapear contramedidas. A Pirâmide da Dor de David Bianco (2013) guia a priorização: detectar os TTPs de um atacante dói-lhe muito mais do que bloquear um hash ou um IP que ele troca sem esforço. A observação de John Lambert de que "os defensores pensam em listas e os atacantes em grafos" empurra as equipes para a análise de caminhos de ataque em vez de inventários planos de ativos.

A eficácia é medida por MTTD, MTTR, cobertura de detecção em relação ao ATT&CK e — validada junto aos red teams em exercícios purple team — a fração de técnicas emuladas que de fato geram alerta.

flowchart LR
  T[Inteligência + ATT&CK] --> H[Hipótese / caça]
  H --> D[Escrever e afinar detecções<br/>Sigma / YARA / EDR]
  D --> M[Monitorar SIEM / XDR]
  M --> A{Alerta?}
  A -->|Sim| IR[Triagem e resposta]
  A -->|Não| M
  IR --> L[Lições aprendidas]
  L --> D
  L --> P[Validação purple team]
  P --> H