Équipe bleue

Définition

L'équipe bleue, ou blue team, désigne l'ensemble des équipes de sécurité défensive chargées de protéger, surveiller, détecter et répondre aux incidents de sécurité au sein d'une organisation. Elle regroupe généralement les analystes du Security Operations Center, les experts en réponse à incident, les administrateurs sécurité et les équipes de threat hunting, qui exploitent des outils comme le SIEM, l'EDR ou les sondes réseau pour identifier des comportements suspects et des indicateurs de compromission. Son rôle central est de détecter les activités malveillantes le plus rapidement possible, en s'appuyant sur des règles de corrélation, des cas d'usage de détection alignés sur le référentiel MITRE ATT&CK, et une veille de threat intelligence continue. L'équipe bleue est confrontée à l'équipe rouge lors d'exercices de simulation d'attaque, ce qui permet de tester en conditions réalistes l'efficacité des dispositifs de détection et des procédures de réponse à incident sans préavis. Ses missions incluent également le durcissement des systèmes, la gestion des vulnérabilités, la formation à la sensibilisation des utilisateurs et l'amélioration continue des playbooks d'investigation numérique. Lorsque l'équipe bleue collabore directement avec l'équipe rouge pendant l'exercice, pour partager en temps réel les enseignements tirés de chaque tentative d'intrusion, on parle alors d'équipe violette, une approche de plus en plus adoptée pour maximiser la valeur pédagogique des exercices offensifs.