c4.12 Establecer un blue team
Un blue team son sus especialistas en respuesta a incidentes, activos en todo el ciclo de vida: preparar, identificar, contener, erradicar, recuperar y aprender. En la nube deberían invertir mucho en automatizar la remediación; AWS reporta que la gran mayoría de sus propios eventos de seguridad de infraestructura se resuelven automáticamente.
Guía de implementación
El blue team trabaja en todo el ciclo de vida del incidente
Responder a los hallazgos de GuardDuty se recomendó desde las primeras fases, pero un blue team hace mucho más que reaccionar. Opera en todo el ciclo de vida:
- Preparar: modelado de amenazas y asegurar que se recopilan los logs y la evidencia necesarios para la investigación.
- Identificar: monitorear las alertas de la detección de amenazas y de su SIEM.
- Contener: aislar a los atacantes para limitar el impacto.
- Erradicar: eliminar todo acceso de los adversarios.
- Recuperar: volver a un estado conocido como bueno.
- Aprender: documentar las lecciones aprendidas y mejorar.
El nombre viene de los ejercicios militares: una fuerza "roja" juega al enemigo y un equipo "azul" defiende.
Automatice la respuesta para escalar
La respuesta a incidentes en la nube difiere de on-premises: el contexto técnico necesario para las decisiones está disponible de forma programática a través de servicios como AWS Config y AWS CloudTrail, habilitando un grado de automatización mucho mayor. AWS ha señalado públicamente que la gran mayoría de sus propios eventos de seguridad de infraestructura se resuelven automáticamente sin intervención humana. Por eso el blue team debería invertir mucho en automatizar la remediación —especialmente para los incidentes más recurrentes y de mayor impacto— y mantener a los humanos enfocados en el juicio.
Cómo validar
- ¿Tiene un blue team que trabaja en todo el ciclo de vida del incidente (preparar, identificar, contener, erradicar, recuperar, aprender)?
- ¿Los logs y la evidencia necesarios para la investigación se recopilan de antemano?
- ¿El equipo invierte en remediación automatizada para incidentes recurrentes y de alto impacto?
Amenazas que atiende
- Un equipo que solo reacciona a las alertas, sin preparación, disciplina de contención y automatización, responde de forma lenta e inconsistente, dejando que los incidentes se propaguen y se repitan.
Servicios AWS
AWS CloudTrail 
AWS Config 
AWS Security Hub