V cvičeniach blue team bráni definované systémy za realistických obmedzení, zatiaľ čo red team útočí; v každodennej bezpečnosti je to fakticky detekčná a reakčná organizácia. Cvičenia merajú, čo obráncovia zaznamenali, ako rýchlo eskalovali a či kontroly obstáli.
Kľúčové body
Realistické podmienkyObmedziť predbežné upozornenia, zachovať produkčné obmedzenia a hodnotiť detekciu, eskaláciu a zadržanie — nie len to, či útok „uspel".
Slučka nápravyVlievať medzery blue teamu do detekčného inžinierstva, playbookov a zmien kontrol namiesto archivovania správy.
Dôležité obmedzenieVýkon v cvičení aproximuje reálnu obranu. Pravidlá zapojenia, umelé časové rámce a predchádzajúca znalosť scenára menia, čo výsledky znamenajú.