W ćwiczeniach blue team broni zdefiniowanych systemów w realistycznych ograniczeniach, podczas gdy red team atakuje; w codziennym bezpieczeństwie jest to de facto organizacja wykrywania i reagowania. Ćwiczenia mierzą, co obrońcy zauważyli, jak szybko eskalowali i czy kontrole wytrzymały.
Najważniejsze punkty
Realistyczne warunkiOgraniczaj wcześniejsze powiadomienia, zachowuj ograniczenia produkcyjne i oceniaj wykrywanie, eskalację oraz ograniczenie skutków — a nie tylko to, czy atak „się powiódł".
Pętla remediacjiPrzekazuj luki wykryte przez blue team do inżynierii detekcji, playbooków i zmian kontroli, zamiast jedynie archiwizować raport.
Istotne ograniczenieWyniki ćwiczenia przybliżają rzeczywistą obronę. Zasady zaangażowania, sztuczne ramy czasowe i wcześniejsza znajomość scenariusza zmieniają znaczenie rezultatów.