Blue Team

Co to jest Blue Team w cyberbezpieczeństwie?

Blue Team to zespół odpowiedzialny za obronę systemów informatycznych organizacji. Jego zadaniem jest utrzymywanie zabezpieczeń, wykrywanie ataków oraz reagowanie na incydenty, zarówno rzeczywiste, jak i symulowane podczas ćwiczeń. Zgodnie z definicją NIST (CNSSI 4009-2022) Blue Team utrzymuje odpowiedni poziom zabezpieczeń systemów organizacji w obliczu pozorowanych ataków prowadzonych przez zespół Red Team. Funkcję Blue Team może pełnić wewnętrzny zespół bezpieczeństwa, zewnętrzny dostawca usług, na przykład w ramach usługi SOC, albo wewnętrzny zespół i zewnętrzny dostawca wspólnie.

W Polsce zakres pracy Blue Team w dużej części pokrywa się z obowiązkami, które Ustawa o Krajowym Systemie Cyberbezpieczeństwa nakłada na podmioty kluczowe i ważne. Podmioty te muszą zapewnić obsługę incydentu, obejmującą m.in. jego wykrywanie, analizę, klasyfikowanie i ograniczanie skutków.

Czym zajmuje się Blue Team?

Zakres pracy Blue Team zależy od wielkości organizacji, jej infrastruktury i przyjętego modelu ochrony. Działania tego zespołu można odnieść przede wszystkim do trzech funkcji NIST Cybersecurity Framework 2.0: wykrywania (Detect), reagowania (Respond) i odtwarzania (Recover). Wzmacnianie zabezpieczeń i usuwanie podatności wiążą się natomiast z funkcjami identyfikacji (Identify) i ochrony (Protect). W praktyce praca zespołu może obejmować m.in. obszary opisane poniżej.

Monitorowanie i wykrywanie zagrożeń

Monitorowanie polega na ciągłym zbieraniu i analizowaniu zdarzeń z sieci, serwerów, stacji roboczych, aplikacji i usług chmurowych. Analitycy Blue Team przeglądają alerty generowane przez systemy SIEM, EDR i NDR, odróżniają rzeczywiste zagrożenia od fałszywych alarmów i przekazują potwierdzone przypadki do dalszej analizy.

Znaczenie tego obszaru ilustrują dane z raportu M-Trends 2026 firmy Mandiant. W 2025 roku organizacje same wykryły pierwsze ślady ataku w 52% przypadków, wobec 43% rok wcześniej. Jednocześnie mediana czasu, przez który atakujący pozostawał w środowisku ofiary przed wykryciem (dwell time), wzrosła z 11 do 14 dni. Skrócenie czasu wykrycia jest jednym z głównych celów pracy Blue Team, ponieważ im krócej atakujący pozostaje niewykryty, tym mniej ma czasu na przemieszczanie się w sieci i przygotowanie kolejnych etapów ataku.

Analiza i reagowanie na incydenty

Po potwierdzeniu, że alert dotyczy rzeczywistego incydentu, Blue Team ustala zakres i przyczynę zdarzenia oraz ogranicza jego skutki, na przykład izolując zainfekowaną stację roboczą lub blokując przejęte konto. Następnie zespół usuwa zagrożenie i przywraca normalne działanie systemów. Wytyczne dotyczące tego procesu zawiera publikacja NIST SP 800-61 Rev. 3 z kwietnia 2025 roku. Publikacja wiąże reagowanie na incydenty ze wszystkimi sześcioma funkcjami NIST CSF 2.0. W praktyce oznacza to, że reagowanie obejmuje nie tylko działania w trakcie incydentu, lecz również przygotowanie przed nim i wdrażanie wniosków po jego zakończeniu.

Threat hunting

Threat hunting to aktywne poszukiwanie zagrożeń, które mogły ominąć istniejące zabezpieczenia i mechanizmy detekcji. Kontrola RA-10 w publikacji NIST SP 800-53 opisuje threat hunting jako poszukiwanie wskaźników kompromitacji w systemach organizacji oraz wykrywanie, śledzenie i powstrzymywanie zagrożeń, które omijają istniejące zabezpieczenia. Analityk formułuje hipotezę, na przykład o obecności narzędzi typowych dla konkretnej grupy przestępczej, i sprawdza ją w danych z systemów monitorowania. Dzięki temu Blue Team może wykryć atakującego, który unika wywoływania alertów i korzysta z legalnych narzędzi administracyjnych.

Inżynieria detekcji i wzmacnianie zabezpieczeń

Inżynieria detekcji polega na tworzeniu, testowaniu i aktualizowaniu reguł, które pozwalają wykryć określone techniki ataku. Blue Team często mapuje te reguły na techniki opisane w bazie wiedzy MITRE ATT&CK, aby sprawdzić, które zachowania przeciwnika są objęte detekcją, a które pozostają niewidoczne. Uzupełnieniem bazy ATT&CK jest MITRE D3FEND, czyli baza wiedzy o technikach obronnych, która pomaga dobrać zabezpieczenia do konkretnych technik ataku. Reguły uruchamia się zwykle na platformach SIEM, takich jak SecureVisio czy Splunk, oraz w systemach EDR. Do zadań zespołu może należeć również utwardzanie systemów (hardening), ograniczanie uprawnień oraz usuwanie podatności wykrytych przez skanery lub podczas pentestów.

Czy Blue Team to to samo co SOC?

SOC (Security Operations Center) to centrum operacji bezpieczeństwa, czyli zespół i infrastruktura odpowiedzialne za monitorowanie bezpieczeństwa i wykrywanie incydentów. Zgodnie z opisem ENISA podstawowym zadaniem SOC jest wykrywanie incydentów na podstawie zdarzeń technicznych rejestrowanych w sieciach i systemach. W części organizacji SOC odpowiada również za obsługę wykrytych incydentów. W dużych przedsiębiorstwach SOC zajmuje się niekiedy wyłącznie monitorowaniem i przekazuje obsługę incydentu osobnemu zespołowi CSIRT.

Blue Team jest pojęciem szerszym niż SOC. Rozporządzenie delegowane Komisji (UE) 2025/1190, które określa zasady testów TLPT w ramach DORA, zalicza do obszarów Blue Team nie tylko działania SOC, lecz także usługi infrastruktury ICT, helpdesk oraz zarządzanie incydentami na poziomie operacyjnym. Do Blue Team mogą więc należeć również administratorzy systemów, zespół sieciowy czy osoby obsługujące zgłoszenia użytkowników, ponieważ każda z tych grup może zauważyć objawy ataku lub zareagować na nie. SOC pełni zwykle centralną rolę w Blue Team, jednak nie realizuje wszystkich zadań należących do zespołu obrony.

Czy Blue Team musi być wewnętrznym zespołem?

Blue Team nie musi składać się wyłącznie z pracowników organizacji. NIST SP 800-61 Rev. 3 wskazuje, że osoby obsługujące incydenty mogą być zatrudnione w organizacji albo działać na podstawie umowy, na przykład gdy organizacja zleca prowadzenie SOC zewnętrznemu dostawcy usług bezpieczeństwa (MSSP). Ustawa o Krajowym Systemie Cyberbezpieczeństwa definiuje z kolei dostawcę usług zarządzanych w zakresie cyberbezpieczeństwa jako podmiot, który świadczy usługi realizacji lub wsparcia działań z zakresu zarządzania ryzykiem, w tym obsługi incydentów.

W praktyce organizacje wybierają jeden z kilku modeli. Wewnętrzny zespół zwykle najlepiej zna środowisko organizacji, ale zapewnienie całodobowej obsady wymaga zatrudnienia odpowiedniej liczby specjalistów. Zewnętrzny SOC lub usługa MDR (Managed Detection and Response) pozwalają skorzystać z gotowego zespołu i narzędzi, przy czym ich skuteczność zależy w dużej mierze od jakości integracji ze środowiskiem organizacji i od tego, jak szybko obie strony wymieniają informacje. Model hybrydowy łączy oba podejścia: zewnętrzny dostawca zwykle prowadzi monitorowanie i wstępną analizę alertów, a wewnętrzny zespół odpowiada za decyzje i działania naprawcze w systemach organizacji.

Niezależnie od wybranego modelu, ustawa nakłada obowiązki dotyczące obsługi i zgłaszania incydentów na podmiot kluczowy lub ważny. Zewnętrzny dostawca może te działania istotnie wspierać, jednak odpowiedzialność za ich realizację pozostaje po stronie podmiotu.

Jakie wymogi NIS2 i Ustawy o KSC dotyczą pracy Blue Team?

Ani dyrektywa NIS2, ani Ustawa o Krajowym Systemie Cyberbezpieczeństwa nie posługują się pojęciem Blue Team i nie wymagają utworzenia własnego SOC. Przepisy nakładają jednak na podmioty kluczowe i ważne obowiązki, które w praktyce realizuje zwykle zespół odpowiedzialny za obronę.

Podstawowym z nich jest obsługa incydentu, którą ustawa definiuje jako czynności umożliwiające wykrywanie, rejestrowanie, analizowanie, klasyfikowanie, priorytetyzację, podejmowanie działań naprawczych i ograniczenie skutków incydentu. Zgodnie z art. 11 ust. 1 ustawy (w tym zakresie odpowiednik art. 23 ust. 4 dyrektywy NIS2) podmiot musi również przekazywać do właściwego CSIRT sektorowego następujące informacje o incydentach poważnych:

• wczesne ostrzeżenie o incydencie poważnym niezwłocznie, nie później niż w ciągu 24 godzin od jego wykrycia,
• zgłoszenie incydentu poważnego niezwłocznie, nie później niż w ciągu 72 godzin od jego wykrycia,
• sprawozdanie końcowe z obsługi incydentu poważnego nie później niż w ciągu miesiąca od zgłoszenia incydentu.

W przypadku gdy obsługa incydentu trwa dłużej niż miesiąc od zgłoszenia, podmiot przekazuje w tym terminie sprawozdanie z postępu, a sprawozdanie końcowe składa w ciągu miesiąca od zakończenia obsługi incydentu.

Termin 24 godzin liczy się od wykrycia incydentu i biegnie również w dni wolne od pracy, dlatego podmiot potrzebuje procedury, która pozwala ocenić incydent i przygotować wczesne ostrzeżenie niezależnie od dnia tygodnia.

Wśród środków zarządzania ryzykiem ustawa wymienia ponadto objęcie systemu informacyjnego wykorzystywanego do świadczenia usługi systemem monitorowania w trybie ciągłym. Przepis nie określa, czy monitorowanie ma prowadzić własny zespół, czy zewnętrzny dostawca.

Jaką rolę pełni Blue Team w testach TLPT i ćwiczeniach Red Team?

Podczas ćwiczeń Red Team zespół obrony zwykle nie wie o teście, ponieważ ocenie podlega właśnie jego reakcja na atak. Rozporządzenie delegowane (UE) 2025/1190 definiuje Blue Team w testach TLPT jako pracowników podmiotu finansowego, którzy bronią jego systemów przed symulowanymi lub rzeczywistymi atakami i nie wiedzą o prowadzonym teście. W stosownych przypadkach do Blue Team należą również pracownicy zewnętrznych dostawców usług podmiotu oraz inne strony istotne z uwagi na zakres testu. Zgodnie z art. 4 rozporządzenia dostęp do informacji o teście mają wyłącznie zespół kontrolny (Control Team), organ zarządzający podmiotu, testerzy, dostawca analizy zagrożeń oraz organ odpowiedzialny za TLPT.

Po zakończeniu aktywnej fazy testu kierownik zespołu kontrolnego informuje Blue Team o przeprowadzonym teście. Zgodnie z art. 12 rozporządzenia zespół obrony przygotowuje następnie raport, w którym zestawia wykryte działania testerów z odpowiadającymi im wpisami w logach, analizuje przyczyny udanych ataków i formułuje wnioski. Zespół obrony przekazuje ten dokument zespołowi kontrolnemu po otrzymaniu raportu testerów, nie później niż 10 tygodni po zakończeniu aktywnej fazy testu. W tym samym terminie Blue Team i testerzy wspólnie odtwarzają przebieg ataku i obrony (replay), a zespół kontrolny organizuje ćwiczenie typu purple teaming. Dzięki temu zespół obrony poznaje techniki, których nie wykrył, i może przygotować dla nich nowe reguły detekcji.

Czym Blue Team różni się od Red Team i Purple Team?

Blue Team, Red Team i Purple Team różnią się przede wszystkim rolą, jaką pełnią w zapewnianiu i ocenie bezpieczeństwa organizacji.

Blue Team odpowiada za bieżącą obronę systemów i działa w sposób ciągły, niezależnie od tego, czy organizacja prowadzi w danym momencie ćwiczenia, ponieważ musi reagować na rzeczywiste ataki.

Red Team to zespół, który na zlecenie organizacji odtwarza działania realnego przeciwnika. Jego zadaniem jest sprawdzenie, czy atakujący może osiągnąć wyznaczony cel i czy Blue Team zdoła wykryć oraz powstrzymać taki atak.

Purple Team oznacza najczęściej formę współpracy obu zespołów. Rozporządzenie delegowane (UE) 2025/1190 definiuje purple teaming jako wspólne działanie testowe, w którym uczestniczą zarówno testerzy, jak i Blue Team. W testach TLPT ćwiczenie to odbywa się po zakończeniu fazy aktywnej i dotyczy tematów wskazanych wspólnie przez Blue Team i testerów.

Pojęcia powiązane z Blue Team