Définition simple
La Blue Team regroupe les personnes chargées de défendre le système d’information : prévention, surveillance, investigation et réponse aux incidents.
Objectif et usage
Elle cherche à réduire les risques réels et à maintenir les services, en coordonnant l’exploitation, les responsables métier et la gestion des incidents.
Comment ça fonctionne ?
Elle exploite notamment les journaux, les alertes EDR, le SIEM et les informations sur les menaces. Une détection doit déboucher sur une qualification et une action adaptée.
Points clés
- Exemple : une alerte d’authentification inhabituelle est rapprochée des actions sur le compte avant de décider d’un confinement.
- Mesurer la couverture des journaux, la pertinence des alertes et la capacité à traiter un scénario jusqu’à sa résolution.
Points d’attention
Accumuler des outils ou des alertes ne garantit pas une défense efficace. Les responsabilités, les procédures et les exercices comptent aussi.
En résumé
La Blue Team assure la défense opérationnelle et améliore ses contrôles à partir des événements observés.