La Blue Team opère le SOC, analyse les alertes SIEM, chasse les menaces (threat hunting) et répond aux incidents. Elle améliore en continu les défenses basé sur les leçons apprises. Lors des exercices Red Team, la Blue Team doit détecter et bloquer les attaques sans être prévenue à l'avance.