Wat is het verschil tussen een red team en een blue team?

Een red team valt aan: het bootst een echte aanvaller na om een afgesproken doel te bereiken en legt vast waar de verdediging het had kunnen stoppen. Een blue team verdedigt: het bewaakt, detecteert, onderzoekt en damt in. In een oefening is de activiteit van het red team de testinvoer en wordt de detectie en respons van het blue team gemeten.

Moet het blue team weten dat er een red team oefening loopt?

Voor een meting van het werkelijke detectievermogen niet: een onaangekondigde oefening laat zien wat uw verdedigers onder normale omstandigheden opmerken. Een kleine white cell binnen de organisatie weet het altijd, zodat deconflictie- en veiligheidsbesluiten genomen kunnen worden. Aangekondigde oefeningen passen bij training en bij de replayfase.

Wat is een white cell bij een red team oefening?

De white cell is de kleine vertrouwde groep binnen de organisatie die van de oefening weet, de scenario's goedkeurt, de deconflictie met het blue team afhandelt en de operatie kan stoppen. TIBER-EU noemt dit het white team en de technische standaarden onder DORA voor TLPT noemen het het control team.

Deconflictie is de afgesproken procedure om snel, via de white cell, te bevestigen of iets dat het blue team heeft gedetecteerd van het red team komt of van een echte aanvaller. Zij bestaat zodat een echte inbraak nooit wordt afgedaan als onderdeel van de test.

Wat moet het blue team ontvangen na een red team oefening?

Een aanvalstijdlijn met tijdstempels, elke detectie die afging en elke actie die er een had moeten opleveren maar dat niet deed, een MITRE ATT&CK-mapping van de gebruikte technieken, de betrokken indicatoren, geprioriteerde aanbevelingen voor detectie en hardening, en een replaysessie waarin beide teams de aanval samen doorlopen.

Hebben wij een blue team nodig voordat wij een red team oefening kunnen doen?

U heeft iemand nodig wiens detectie en respons u meet, anders is de oefening een lange penetratietest. Dat kan een eigen SOC zijn, een managed detection and response aanbieder of een hybride vorm. Heeft u nog geen van drie, begin dan met een purple team opdracht of een penetratietest en bouw eerst het blue team op.

Is een red/blue oefening verplicht onder NIS2 of DORA?

NIS2 vereist incidentbehandeling (artikel 21(2)(b)) en beoordeling van de effectiviteit van uw maatregelen (artikel 21(2)(f)) zonder een methode voor te schrijven; een red/blue oefening is het meest directe bewijs voor beide. DORA gaat verder: aangewezen financiële entiteiten moeten minimaal elke drie jaar threat-led penetration testing uitvoeren (artikel 26 en 27), en dat is een red/blue oefening volgens de TIBER-EU-methode.

1 november 2026 · 10 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)

Red team vs blue team: wat beide kanten doen, hoe een oefening verloopt en wat de verdedigers eraan moeten hebben

Het red team valt aan, het blue team verdedigt. Wat voor een CISO telt is het vervolg: hoe u beide in een gecontroleerde oefening tegenover elkaar zet, hoe u voorkomt dat een gesimuleerde aanval botst met een echte, en wat het blue team daarna moet ontvangen om daadwerkelijk beter te worden.

Bespreek een red/blue oefening

Red team en blue team: de definities

Een red team is een groep offensieve securityspecialisten die een echte aanvaller nabootst tegen een organisatie, om te toetsen of mensen, processen en techniek een aanval kunnen voorkomen, detecteren en afhandelen. Een blue team is de defensieve functie: de analisten, engineers en responders die de omgeving bewaken, meldingen beoordelen, incidenten onderzoeken en indammen. De termen komen uit militaire oefeningen, waarin een rode partij de tegenstander speelt en een blauwe partij de eigen troepen.

De twee zijn geen rivalen. Het zijn twee helften van dezelfde vraag: als een bekwame aanvaller het op ons gemunt had, hoe ver zou hij komen en hoe snel zouden wij het weten? Het red team beantwoordt de eerste helft door het te proberen. Het blue team beantwoordt de tweede helft door gemeten te worden terwijl het red team het probeert. Een red team oefening zonder blue team is een lange penetratietest. Een blue team zonder red team is nooit getoetst aan iets anders dan zijn eigen aannames.

Dit artikel gaat over red team/blue team oefeningen zelf. Wat red teaming als discipline is, en hoe het verschilt van een penetratietest, behandelen wij in twee aparte artikelen die onderaan deze pagina staan gelinkt.

Een derde term die u tegenkomt is purple teaming: de samenwerkende vorm van hetzelfde werk, waarbij red en blue samen aan tafel zitten, technieken een voor een uitvoeren, na elke stap controleren of detectie afging en direct bijstellen. Het is een werkvorm en geen derde team, het logische vervolg op een onaangekondigde oefening zodra de gaten bekend zijn, en het juiste startpunt voor organisaties waarvan het blue team nog te jong is om eerlijk gemeten te worden tegen een heimelijke aanvaller. Ons aparte artikel over purple teaming, hieronder gelinkt, beschrijft hoe zo'n opdracht is opgebouwd.

Red team vs blue team naast elkaar

Dezelfde organisatie, dezelfde aanval, twee totaal verschillende banen. De tabel laat zien waar zij uiteenlopen in doel, denkwijze, vaardigheden, tooling, output en de manier waarop elk wordt gemeten.

Dimensie	Red team	Blue team
Doel	Een afgesproken bedrijfsdoel bereiken zoals een echte aanvaller dat zou doen, en elk punt vastleggen waar de verdediging het had kunnen stoppen	De inbraak voorkomen waar dat kan, detecteren waar dat niet kan, en indammen voordat het doel is bereikt
Denkwijze	Opportunistisch en geduldig: vind het ene pad dat werkt, vermijd aandacht, bewijs impact	Systematisch en waakzaam: dek elk pad af, scheid signaal van ruis, handel onder onzekerheid
Kernvaardigheden	Initiële toegang, misbruik van identiteiten en Active Directory, laterale beweging, command and control op conceptniveau, social engineering, fysieke toegang, rapportage	Loganalyse, detection engineering, threat hunting, forensisch onderzoek, incident response, threat intelligence, hardening
Tooling (conceptniveau)	Verkennings- en OSINT-tooling, phishinginfrastructuur, een command-and-control-framework	SIEM, EDR/XDR, NDR, identiteitsbeveiliging, SOAR-playbooks, threat-intelligence-feeds
Referentiekader	MITRE ATT&CK voor techniekmapping, TIBER-EU voor gereguleerde opdrachten, PTES en NIST SP 800-115 voor de methode	MITRE ATT&CK en D3FEND voor dekking, NIST SP 800-61 Rev. 3 voor incidentafhandeling
Belangrijkste output	Aanvalsverhaal, tijdlijn, behaalde doelen, detecties die wel en niet afgingen, aanbevelingen voor herstel en detectie	Meldingen, cases, indammingsacties, incidentrapporten, bijgestelde detecties, geleerde lessen
KPI's	Behaalde doelen, tijd tot doel, aantal detecties onderweg, kwaliteit van de replay voor de verdedigers	Gemiddelde detectietijd (MTTD), gemiddelde reactietijd (MTTR), ATT&CK-dekking, percentage valse meldingen, verblijftijd van de aanvaller

Hoe red team/blue team oefeningen in de praktijk verlopen

De waarde van een red/blue oefening zit in de spelregels. Deze zes keuzes bepalen of u uw werkelijke detectievermogen meet of iets anders.

Aangekondigd of onaangekondigd

Onaangekondigd weet het blue team niet dat er een red team actief is, zodat u echte detectie en respons onder normale omstandigheden meet. Aangekondigd kennen de verdedigers het tijdvak en verschuift het resultaat naar trainingswaarde. Volwassen organisaties kiezen onaangekondigd voor de meting en aangekondigd voor de replay.

De white cell

Een kleine vertrouwde groep binnen de organisatie, doorgaans de CISO en een of twee leads, weet van de oefening. TIBER-EU noemt dit het white team; de technische standaarden onder DORA spreken van een control team. De white cell keurt scenario's goed, autoriseert escalaties en is de enige partij die de oefening mag stoppen.

Deconflictie

De vooraf afgesproken procedure waarmee de white cell binnen minuten bevestigt of een actie die het blue team heeft gedetecteerd van het red team is of van een echte indringer. Zonder die procedure kan een echte aanval worden weggewoven als 'waarschijnlijk de test', de gevaarlijkste faalwijze van een red/blue oefening.

Doelen en rules of engagement

De oefening wordt afgebakend rond bedrijfsdoelen ('bereik het betaalsysteem', 'lees de mailbox van de directie', 'verkrijg domeinbrede rechten') in plaats van een lijst met hosts. De rules of engagement leggen vast wat buiten de grenzen valt, welke uren gelden, hoe data als bewijs van toegang wordt behandeld, en hoe de escalatieketen loopt.

Duur en tempo

Een red/blue oefening duurt weken, geen dagen, omdat het tempo wordt bepaald door de aanvaller die wordt nagebootst. Trage operaties met weinig ruis toetsen of het blue team subtiele signalen opmerkt; een bewust luidruchtiger fase aan het einde toetst of op duidelijke signalen wordt gehandeld.

Stopcondities en veiligheid

Vooraf afgesproken: welke systemen nooit worden aangeraakt, welke acties een akkoord van de white cell vereisen, hoe productie-impact wordt vermeden, en wat er gebeurt als het red team sporen van een echte inbraak vindt (de oefening pauzeert en incident response neemt het over).

Wat het blue team na de oefening moet ontvangen

Het blue team wordt alleen beter als het red team zijn werk overdraagt in een vorm waar verdedigers mee aan de slag kunnen. Een rapport met alleen bevindingen is een pentestrapport, geen red/blue resultaat. Eis het volgende.

Een volledige aanvalstijdlijn, op de minuut getimed, van eerste verkenning tot het laatste doel, zodat het blue team deze naast de eigen logs en meldingen kan leggen
Elke detectie die afging, met wat het blue team ermee deed, naast elke actie die een detectie had moeten opleveren en dat niet deed
Een MITRE ATT&CK-mapping van elke gebruikte techniek, zodat detectiegaten dekkingsgaten worden in plaats van anekdotes
De indicatoren die tijdens de oefening zijn gebruikt (domeinen, infrastructuur, bestandsnamen, accounts), zodat verdedigers kunnen nagaan wat hun tooling heeft gezien en daarop kunnen bijstellen
Een scheiding tussen preventiefouten (een maatregel had dit moeten blokkeren), detectiefouten (een maatregel had moeten alarmeren) en responsfouten (er was een melding, maar er is niet tijdig op gehandeld)
Geprioriteerde aanbevelingen, gesplitst in detection engineering, hardening en proces, elk gekoppeld aan een punt op de tijdlijn
Een replaysessie waarin het red team de aanval stap voor stap doorloopt met het blue team en het blue team laat zien wat het heeft waargenomen. Hier gebeurt het meeste leren

Een blue team opbouwen: eigen SOC, MDR of hybride

De meeste organisaties hebben bij hun eerste red/blue oefening nog geen blue team; zij hebben een paar IT-medewerkers die meldingen in de gaten houden. Dit zijn de drie realistische manieren om er een op te bouwen, en wat een oefening in elk geval meet.

Eigen security operations centre (SOC)

Eigen analisten, eigen tooling, eigen detection engineering. De meeste controle en de diepste kennis van uw omgeving, maar 24/7-dekking vraagt acht tot tien mensen in ploegen en behoud van personeel is lastig. Een oefening tegen een eigen SOC meet de hele keten, van logbronnen tot de piketdienst.

Managed detection and response (MDR)

Een externe aanbieder bewaakt uw endpoints, identiteiten en netwerk de klok rond en handelt op meldingen binnen een afgesproken mandaat. De snelste route naar een werkend blue team voor organisaties van enkele honderden tot enkele duizenden medewerkers. Een oefening tegen een MDR-aanbieder is tegelijk een leverancierstoets: detecteert en escaleert de dienst wat het contract belooft? Onze managed detection and response dienst is gebouwd om zo getoetst te worden.

Hybride: interne regie, externe operatie

Een klein intern team is eigenaar van de detectiestrategie, de risicocontext en de relatie met de business, terwijl een aanbieder de 24/7-bewaking uitvoert. De meeste middelgrote Europese organisaties komen op dit model uit. In een oefening is de overdracht de interessante meting: escaleerde de aanbieder, en handelde het interne team binnen de afgesproken tijd?

Red/blue oefeningen voor NIS2 en DORA

NIS2 gebruikt de woorden red team en blue team niet, maar twee eisen sluiten er direct op aan. Artikel 21(2)(b) vereist incidentbehandeling, en artikel 21(2)(f) vereist beleid en procedures om de effectiviteit van uw maatregelen voor cyberbeveiligingsrisicobeheer te beoordelen. Een red/blue oefening is het meest directe bewijs voor beide: zij toetst de incidentketen van begin tot eind en legt met tijdstempels vast hoe effectief de detectiemaatregelen waren. Zij oefent ook de meldklok van artikel 23, omdat zij laat zien of uw team een significant incident tijdig genoeg had opgemerkt voor de vroegtijdige waarschuwing binnen 24 uur.

Onder DORA moeten financiële entiteiten die door hun toezichthouder zijn aangewezen minimaal elke drie jaar threat-led penetration testing (TLPT) uitvoeren op grond van artikel 26 en 27, volgens de TIBER-EU-methode (in Nederland TIBER-NL onder De Nederlandsche Bank). TLPT is een red/blue oefening in een toezichtjasje: onaangekondigd, op productie, met een control team binnen de entiteit, een externe threat-intelligence-leverancier en een afsluitende fase waarin red en blue de aanval samen naspelen. Elke red/blue oefening die u vóór een TLPT uitvoert is voorbereiding daarop; ons DORA-artikel legt de verplichting in detail uit.

Voor andere sectoren is de logica dezelfde: ISO/IEC 27001:2022 beheersmaatregelen A.5.26 (reactie op informatiebeveiligingsincidenten) en A.8.16 (monitoringactiviteiten) zijn het eenvoudigst aantoonbaar met een oefenverslag, en baselines zoals BIO 2.0 voor de Nederlandse overheid en NEN 7510:2024 voor de zorg verwachten aantoonbaar incidentresponsvermogen in plaats van een beleidsdocument.

De loopbaankant, en hoe HackersHub de rode kant uitvoert

Red team werk beloont geduld, creativiteit en diepe kennis van hoe Windows, identiteiten en netwerken zich werkelijk gedragen; het is projectmatig en de feedback is direct. Blue team werk beloont nauwgezetheid, breedte en kalmte onder druk; het is continu en de feedback komt trager, maar de impact is dagelijks. De sterkste vakmensen aan beide kanten hebben tijd aan de andere kant doorgebracht; daarom worden ervaren red teamers goede detection engineers. De rode kant van die loopbaan beschrijven wij in ons artikel over wat een red teamer doet.

HackersHub voert de rode kant van red/blue oefeningen uit voor organisaties in Nederland, de bredere EU en de VS, met 10+ jaar ervaring in offensieve security en een team waarin elke operator minimaal OSCP heeft, naast OSWE- en CREST-gecertificeerde specialisten. Elke oefening wordt afgebakend rond bedrijfsdoelen, uitgevoerd onder schriftelijke rules of engagement met een white cell en een deconflictieprocedure, gemapt op MITRE ATT&CK en afgesloten met een replaysessie voor uw blue team. Heeft u nog geen blue team, dan kan onze managed detection and response dienst er een leveren, en wij houden beide opdrachten gescheiden zodat de meting eerlijk blijft.

Veelgestelde vragen

Verder lezen

Klaar om uw blue team te toetsen tegen een echte aanvaller?

Wij bakenen red/blue oefeningen af rond uw bedrijfsdoelen, voeren ze uit onder een white cell met deconflictieprocedure en sluiten af met een replay waar uw verdedigers op kunnen bouwen. Spreek met een expert.

Plan een red team oefening Plan een gesprek