Blue team (z ang. „niebieski zespół”) – zespół specjalistów bezpieczeństwa teleinformatycznego odpowiedzialny za obronę systemów informatycznych organizacji. Zgodnie z definicją amerykańskiej dyrektywy DoDD 8570.1 jest to grupa wysoko wykwalifikowanych osób prowadzących systematyczne badania systemów lub produktów w celu ustalenia adekwatności zabezpieczeń, wykrycia ich niedostatków, przewidzenia skuteczności proponowanych środków zaradczych oraz potwierdzenia ich adekwatności po wdrożeniu. Współcześnie terminem tym określa się wewnętrzny zespół bezpieczeństwa, który broni organizacji przed atakującymi – w tym przed red teamem – i stale doskonali jej zabezpieczenia. Według definicji amerykańskiej instrukcji CNSSI 4009 blue team broni infrastruktury organizacji przed rzeczywistymi lub symulowanymi atakami przez dłuższy czas i w realistycznym kontekście operacyjnym, a w sformalizowanych ćwiczeniach nad przestrzeganiem reguł czuwa neutralny zespół sędziowski (tzw. white team).
Oba pojęcia wywodzą się z amerykańskich inicjatyw obronnych: red teamy pełniły funkcję zdolności ofensywnej, mającej rozpoznawać i wykorzystywać słabości organizacji oraz ich systemów, blue teamy zaś stanowiły środek obronny, zaprojektowany do wykrywania ataków red teamów, reagowania na nie i neutralizowania ich skutków. Współcześnie pojęcie stosuje się szerzej – na wewnętrzne zespoły bezpieczeństwa, które na co dzień chronią zasoby organizacji i stale doskonalą jej zabezpieczenia.
Ćwiczenia z udziałem red teamu bywają wykorzystywane do szkolenia blue teamów i zespołów centrów operacji bezpieczeństwa: pozwalają im poznać rodzaj ruchu sieciowego, z jakim mogą się zetknąć w razie rzeczywistego ataku. Warunkiem skuteczności jest dostęp obrońców do danych z logów, systemów SIEM, rozpoznania zagrożeń oraz przechwyconego ruchu sieciowego, a także znajomość taktyk, technik i procedur odwzorowywanych przez atakujących.
Do typowych zadań blue teamu należą: identyfikowanie i usuwanie podatności, zanim wykorzystają je atakujący, prowadzenie regularnych audytów bezpieczeństwa, monitorowanie ruchu sieciowego i analiza logów, a także szkolenie pracowników w zakresie rozpoznawania zagrożeń. Blue team współpracuje przy tym z właścicielami i administratorami systemów przy budowaniu obrony sieci komputerowej.
W ramach przygotowań na incydenty zespół utwardza (tzw. hardening) konfiguracje systemów operacyjnych: ogranicza powierzchnię ataku przez minimalizowanie zainstalowanych pakietów i działających usług, stosuje szablony konfiguracyjne i wytyczne bezpieczeństwa, wykorzystuje filtrowanie ruchu oraz zapory sieciowe do ograniczania dostępu do portów, buduje scentralizowaną infrastrukturę logowania i alarmowania oraz stosuje systemy wykrywania włamań działające na hostach (HIDS).
Podstawowym narzędziem pracy obrońców są systemy klasy SIEM (security information and event management), które w czasie rzeczywistym zbierają i analizują zdarzenia bezpieczeństwa z całej infrastruktury, wzbogacając je o zewnętrzne dane rozpoznania zagrożeń (threat intelligence), w tym wskaźniki kompromitacji (IoC). Uzupełniają je narzędzia EDR monitorujące stacje robocze i serwery oraz proaktywne polowanie na zagrożenia (threat hunting), czyli aktywne poszukiwanie śladów intruzów, którzy ominęli automatyczne mechanizmy detekcji. Szczególnym wyzwaniem dla zespołów obronnych są długotrwałe, ukierunkowane kampanie grup określanych jako APT, których taktyki, techniki i procedury dokumentuje m.in. katalog MITRE ATT&CK. Po wykryciu incydentu zespół zabezpiecza materiał dowodowy metodami informatyki śledczej.
W literaturze praktycznej pracę blue teamu przy obsłudze incydentu opisuje się sześcioma krokami: przygotowanie, identyfikacja, powstrzymanie, usunięcie zagrożenia, przywrócenie działania i wyciągnięcie wniosków. Zbliżony, czterofazowy cykl obsługi incydentów – przygotowanie; wykrywanie i analiza; powstrzymywanie, usuwanie i odzyskiwanie; działania po incydencie – opisywała wytyczna NIST SP 800-61 Rev. 2 z 2012 roku, przez lata jeden z podstawowych dokumentów, na których zespoły obronne opierały swoje procedury. W kwietniu 2025 roku NIST wycofał tę wersję i zastąpił ją wydaniem Rev. 3, przebudowanym tak, by odpowiadało strukturze Cybersecurity Framework 2.0 i wpisywało reagowanie na incydenty w szersze zarządzanie ryzykiem.
Operacyjnym zapleczem blue teamu jest zwykle centrum operacji bezpieczeństwa (SOC), pracujące w trybie ciągłym i zorganizowane warstwowo: analitycy pierwszej linii segregują alerty, druga linia prowadzi pogłębioną analizę potwierdzonych incydentów, a najbardziej doświadczeni specjaliści zajmują się m.in. threat huntingiem i inżynierią detekcji. Kompetencje obrońców potwierdzają wyspecjalizowane certyfikacje defensywne, np. GIAC Security Operations Certified (GSOC) powiązany ze szkoleniami blue-teamowymi instytutu SANS.
Konfrontacja zespołu atakującego z obrońcami jest podstawą ćwiczeń sprawdzających odporność organizacji: red team przeprowadza kontrolowaną symulację ataku, a blue team musi go wykryć i odeprzeć, po czym oba zespoły wymieniają się wnioskami. Model współpracy, w którym obie strony na bieżąco dzielą się ustaleniami, określa się mianem purple team („zespół fioletowy”); nie musi to być odrębny zespół, lecz sposób organizacji wspólnych ćwiczeń.
Największym tego typu przedsięwzięciem są doroczne ćwiczenia NATO Locked Shields, organizowane od 2010 roku przez centrum kompetencyjne CCDCOE w Tallinnie. Wielonarodowe blue teamy bronią w nich w czasie rzeczywistym infrastruktury krytycznej i systemów wojskowych fikcyjnego państwa Berylia przed tysiącami ataków; w edycji 2026 wzięło udział około 4 tysięcy uczestników z 41 państw, podzielonych na 16 zespołów.
Polskie zespoły regularnie plasują się w czołówce tych ćwiczeń: w 2022 roku wspólny zespół polsko-litewski zajął drugie miejsce wśród 24 drużyn, w 2025 roku drugie miejsce wywalczył zespół polsko-francuski, a w 2026 roku zespół polsko-czeski uplasował się na czwartym miejscu.