Blue Team : défense SOC et détection d'intrusion

La Blue Team désigne l'équipe en charge de la défense SOC et de la détection d'intrusion au sein d'une organisation. Son rôle couvre la surveillance continue des systèmes, l'analyse des alertes et la réponse aux incidents de sécurité. Contrairement à la Red Team qui simule l'attaquant, la Blue Team adopte la posture du défenseur. Elle opère en s'appuyant sur un ensemble de contrôles techniques : pare-feu, EDR, SIEM, IDS/IPS et solutions de gestion des journaux. Son efficacité repose sur la connaissance fine des comportements normaux du système d'information. Tout écart par rapport à cette baseline constitue un signal potentiel de compromission. La Blue Team participe également à la Threat Intelligence, en intégrant des indicateurs de compromission (IOC) issus de sources externes. Elle collabore étroitement avec les équipes IT pour réduire la surface d'attaque. Dans un contexte Purple Team, elle travaille directement avec la Red Team pour valider la couverture de détection. La maturité d'une Blue Team se mesure à sa capacité à détecter des attaques avancées comme le mouvement latéral ou le credential dumping, pas seulement les alertes automatisées de niveau 1.

La détection d'intrusion côté Blue Team repose sur la corrélation d'événements issus de sources multiples. Les journaux Windows constituent une base fondamentale : l'Event ID 4624 signale une ouverture de session, le 4625 un échec d'authentification, le 4688 une création de processus et le 4698 la création d'une tâche planifiée. Ces événements, centralisés dans un SIEM comme Splunk, Elastic SIEM ou Microsoft Sentinel, permettent de construire des règles de détection comportementale. Le protocole Sysmon enrichit considérablement la télémétrie endpoint : il journalise les créations de processus avec hash, les connexions réseau initiées par un processus et les modifications de clés de registre sensibles. Le threat hunting proactif consiste à partir d'une hypothèse d'attaque, par exemple une persistance via une clé Run, et à interroger les logs pour confirmer ou infirmer cette hypothèse. Les EDR modernes comme CrowdStrike Falcon ou SentinelOne fournissent une visibilité sur les techniques MITRE ATT&CK observées en temps réel. La surveillance du trafic DNS est souvent sous-estimée : elle permet de détecter le DNS tunneling ou les requêtes vers des domaines générés algorithmiquement (DGA). L'analyse des NetFlow complète la détection réseau en identifiant des volumes de données anormaux ou des connexions vers des plages IP inhabituelles.

Les contre-mesures et le durcissement constituent le volet offensif de la posture Blue Team. Le principe de moindre privilège doit être appliqué systématiquement : aucun compte utilisateur ne doit disposer de droits d'administration locaux sans justification documentée. La segmentation réseau limite la propagation d'un attaquant en cas de compromission initiale. Le durcissement des systèmes Windows passe par des GPO strictes : désactivation de PowerShell v2, activation du mode Constrained Language de PowerShell, blocage de LLMNR et NetBIOS-NS pour prévenir les attaques de type Responder. La mise en place de Microsoft LAPS randomise les mots de passe des comptes administrateurs locaux, bloquant le mouvement latéral par pass-the-hash. Les règles YARA et Sigma permettent de codifier la connaissance des attaques dans des formats partageables et déployables dans le SIEM. Les exercices de tabletop et les simulations avec des frameworks comme Atomic Red Team permettent à la Blue Team de tester sa couverture de détection sans attendre une intrusion réelle. La gestion des patches reste un fondamental : CVE-2021-34527 (PrintNightmare) et CVE-2020-1472 (Zerologon) ont démontré l'impact critique d'un retard de correction. Enfin, la documentation des procédures de réponse à incident sous forme de playbooks structurés réduit le temps de réaction lors d'une vraie attaque.