c4.12 Estabelecer um blue team
Um blue team são seus especialistas em resposta a incidentes, ativos em todo o ciclo de vida: preparar, identificar, conter, erradicar, recuperar e aprender. Na nuvem, eles devem investir muito em automatizar a remediação; a AWS relata que a grande maioria dos seus próprios eventos de segurança de infraestrutura são resolvidos automaticamente.
Guia de implementação
O blue team trabalha em todo o ciclo de vida do incidente
Responder às descobertas do GuardDuty foi recomendado desde as primeiras fases, mas um blue team faz muito mais do que reagir. Ele opera em todo o ciclo de vida:
- Preparar: modelagem de ameaças e garantir que os logs e as evidências necessários para a investigação estão sendo coletados.
- Identificar: monitorar os alertas da detecção de ameaças e do seu SIEM.
- Conter: isolar os atacantes para limitar o impacto.
- Erradicar: remover todo o acesso dos adversários.
- Recuperar: voltar a um estado conhecido como bom.
- Aprender: documentar as lições aprendidas e melhorar.
O nome vem dos exercícios militares: uma força "vermelha" faz o papel do inimigo e uma equipe "azul" defende.
Automatize a resposta para escalar
A resposta a incidentes na nuvem difere do on-premises: o contexto técnico necessário para as decisões está disponível de forma programática por meio de serviços como o AWS Config e o AWS CloudTrail, habilitando um grau de automação muito maior. A AWS observou publicamente que a grande maioria dos seus próprios eventos de segurança de infraestrutura são resolvidos automaticamente sem intervenção humana. Por isso o blue team deve investir muito em automatizar a remediação —especialmente para os incidentes mais recorrentes e de maior impacto— e manter os humanos focados no julgamento.
Como validar
- Você tem um blue team que trabalha em todo o ciclo de vida do incidente (preparar, identificar, conter, erradicar, recuperar, aprender)?
- Os logs e as evidências necessários para a investigação são coletados com antecedência?
- A equipe investe em remediação automatizada para incidentes recorrentes e de alto impacto?
Ameaças atendidas
- Uma equipe que só reage aos alertas, sem preparação, disciplina de contenção e automação, responde de forma lenta e inconsistente, deixando os incidentes se espalharem e se repetirem.
Serviços AWS
AWS CloudTrail 
AWS Config 
AWS Security Hub