Blue Team.

Как и red team, термин blue team пришёл из военных учений, где «синие» представляли защитников. В кибербезопасности blue team объединяет аналитиков SOC, инженеров обнаружения, специалистов IR, threat-хантеров и операторов платформ безопасности (SIEM, EDR, XDR, SOAR, IAM). Их зона ответственности ложится на шесть функций NIST CSF 2.0 — Управлять, Идентифицировать, Защищать, Обнаруживать, Реагировать, Восстанавливать — превращая стратегию в укреплённые системы, настроенные детекты, разобранные оповещения и пост-инцидентные уроки, возвращаемые в архитектуру.

Современный blue teaming всё больше опирается на инженерию. Конвейеры «обнаружение как код» держат правила Sigma, YARA и Suricata под контролем версий и тестируют их в CI; threat hunting ведётся по гипотезам, используя MITRE ATT&CK для перечисления техник противника и D3FEND для сопоставления контрмер. «Пирамида боли» Дэвида Бьянко (2013) задаёт приоритеты: обнаружение TTP атакующего бьёт по нему куда сильнее, чем блокировка хэша или IP, которые он легко меняет. Замечание Джона Ламберта «защитники мыслят списками, атакующие — графами» подталкивает команды к анализу путей атаки вместо плоских инвентаризаций активов.

Эффективность измеряют по MTTD, MTTR, покрытию обнаружения относительно ATT&CK и — совместно с red team в purple-team-учениях — по доле эмулированных техник, которые действительно вызвали оповещение.

flowchart LR
  T[Threat intel + ATT&CK] --> H[Гипотеза / охота]
  H --> D[Написать и настроить детекты<br/>Sigma / YARA / EDR]
  D --> M[Мониторинг SIEM / XDR]
  M --> A{Оповещение?}
  A -->|Да| IR[Триаж и реагирование]
  A -->|Нет| M
  IR --> L[Извлечённые уроки]
  L --> D
  L --> P[Purple-team валидация]
  P --> H