L'équipe bleue assure la défense. Elle surveille les réseaux, traque les menaces, intervient en cas d'incident et renforce la sécurité des systèmes avant que les attaquants ne les repèrent. Son nom provient des exercices militaires où les forces opposées portent des marqueurs de couleur. L'équipe rouge attaque. L'équipe bleue défend. L'équipe violette combine les deux, utilisant les découvertes de l'équipe rouge pour améliorer la détection de l'équipe bleue.

Le travail d'une équipe bleue est ingrat et constant. Les analystes surveillent des tableaux de bord. Ils trient les alertes, dont la plupart sont de faux positifs. Ils optimisent les règles pour réduire le bruit. Ils corrigent les systèmes, examinent les journaux et traquent les anomalies qui s'avèrent finalement infondées. Puis, un incident réel survient, et les mois de préparation portent leurs fruits ou non. Les meilleures équipes bleues mettent en place des couches de détection : surveillance des terminaux, analyse du trafic réseau, journaux d'identité et veille sur les menaces. Elles organisent des exercices de simulation pour s'entraîner à la réponse aux incidents. Elles mesurent le temps moyen de détection et le temps moyen de réponse. Ces indicateurs s'améliorent avec la pratique. Une équipe bleue qui n'a jamais été testée est une équipe bleue qui ignore ses propres failles.

Fonctions de l'équipe bleue

• Surveillance — soyez attentifs aux signes de compromission
• Ingénierie de la détection — concevoir et optimiser les alertes
• Réponse aux incidents — contenir et se rétablir après une violation de données
• Chasse aux menaces — recherche proactive d'attaquants cachés
• Durcissement — réduire la surface d'attaque avant que quoi que ce soit ne se produise

Le succès de l'équipe bleue est invisible. Rien de ce qui s'est passé aujourd'hui n'est dû au travail accompli hier.