Das Blue Team ist die defensive Seite der Informationssicherheit: Es betreibt den Schutz der Systeme im Dauerbetrieb, erkennt Angriffe frühzeitig und reagiert auf Vorfälle. Während das Red Team nur temporär angreift, arbeitet das Blue Team jeden Tag.
Rollen im Blue Team
Typische Rollen sind SOC-Analysten der Stufen 1 bis 3, Incident Responder, Threat Hunter, Detection Engineers, Threat-Intelligence-Analysten und Security-Architekten. Sie arbeiten in einem Security Operations Center (SOC) zusammen und führen bei Alarm die Incident Response durch.
Aufgaben
Zu den Kernaufgaben gehören die Auswertung von Log- und Telemetriedaten im SIEM, das Monitoring der Systeme, die Analyse von Warnmeldungen aus EDR- und XDR-Lösungen, das Patch-Management sowie die kontinuierliche Verbesserung der Sicherheitsarchitektur. Ergänzend betreibt das Blue Team proaktive Suche nach Angreifern, die bereits im Netzwerk sind – das Threat Hunting – und analysiert Vorfälle mit Methoden der Digitalen Forensik.
Messgrößen und Werkzeuge
Wichtige Kennzahlen sind die Zeit bis zur Erkennung eines Angriffs (MTTD) und die Zeit bis zur Behebung (MTTR). Zu den Werkzeugen zählen SIEM-Systeme wie Splunk oder Wazuh, EDR-/XDR-Plattformen, Firewalls, Sandboxes und Threat-Intelligence-Feeds. Auch YARA-Regeln helfen, bekannte Schadsoftware zu erkennen.
Zusammenarbeit mit dem Red Team
Damit die Erkenntnisse aus Angriffssimulationen nicht versanden, arbeitet das Blue Team im Purple-Team-Modus direkt mit dem Red Team zusammen und schließt so gezielt Lücken in der Erkennung.
Verwandte Grundlagen: Red Team, Purple Team, SOC.