Blue Team Labs Online (BTLO) : guide pour débutants 2026

Qu'est-ce que Blue Team Labs Online ?

Blue Team Labs Online (BTLO) est une plateforme d'entraînement à la sécurité défensive où vous enquêtez sur des incidents réalistes et gagnez des points en répondant à des questions. Sa page d'accueil la présente comme « une plateforme ludique où les défenseurs entraînent leurs compétences en enquêtes de sécurité et en challenges ».

BTLO est fourni par Centri, l'entreprise britannique anciennement connue sous le nom de Security Blue Team. L'ancienne adresse securityblue.team redirige désormais vers centri.org : si vous croisez l'un ou l'autre nom sur un forum, il s'agit de la même organisation. Centri vend aussi la certification Blue Team Level 1 (BTL1), dont nous parlons plus loin.

Le contenu est réparti en cinq domaines, listés sur la page d'accueil de BTLO :

• Incident Response : comprendre ce qu'un attaquant a fait sur un système, et dans quel ordre.
• Digital Forensics : dumps mémoire, artefacts disque, historique de navigation et métadonnées de fichiers.
• Security Operations : le quotidien d'un SOC, comme l'analyse de phishing et le tri des alertes.
• Reverse Engineering : décortiquer des scripts et des binaires malveillants pour comprendre ce qu'ils font.
• Threat Hunting : chercher dans les logs une activité qu'aucune alerte n'a encore signalée.

En quoi BTLO diffère d'un CTF offensif

Sur une plateforme de capture the flag classique, vous attaquez une cible jusqu'à trouver un flag. Sur BTLO, l'attaque a déjà eu lieu. Chaque lab vous donne un scénario et une liste de questions : quelle IP a lancé le scan, quel fichier l'attaquant a déposé, quelle commande il a exécutée en premier. Quand vous avez répondu à toutes, vous gagnez des points selon la difficulté du lab, et ces points font monter votre rang dans les classements mondial et national.

Ce format de questions fait tout l'intérêt de la plateforme. À la dernière question, vous avez reconstitué la chronologie de l'attaquant, ce qui correspond exactement à un rapport d'incident en entreprise.

Blue Team Labs Online est-il gratuit ? Challenges et investigations

Oui. Un compte BTLO gratuit donne accès à tous les challenges de la plateforme : des fichiers à télécharger, comme des emails de phishing, des captures réseau, des dumps mémoire et des logs, que vous analysez sur votre propre machine. Ce qui est payant, ce sont les investigations, des labs scénarisés qui tournent dans un environnement privé, directement dans votre navigateur.

Les investigations vous sont dédiées : personne d'autre ne peut modifier la machine pendant que vous travaillez. C'est plus important qu'il n'y paraît. Sur les plateformes à labs partagés, un autre joueur qui supprime un fichier de log peut vous gâcher la soirée.

En pratique, c'est dans les investigations que se trouvent les outils d'un vrai SOC. Les write-ups de la communauté décrivent des machines Windows avec les preuves rangées dans un dossier sur le bureau, ainsi que des investigations construites autour d'ELK, de Splunk et des journaux d'événements Windows. Les challenges, eux, ne sont que des fichiers : vous apportez vos propres outils.

BTLO est-il adapté aux débutants ?

En partie. La FAQ de BTLO le dit sans détour : la plateforme « est conçue pour des défenseurs qui ont déjà de l'expérience avec les outils de sécurité et les enquêtes », et ce n'est pas une plateforme de formation (Centri indique qu'un abonnement de formation est en préparation). Les challenges Easy sont à la portée d'un débutant motivé, mais rien sur BTLO ne vous expliquera ce qu'est un handshake TCP ou un enregistrement SPF.

Avant votre premier challenge, vérifiez que vous savez faire ces quatre choses :

• Lire des en-têtes d'email bruts : retrouver le vrai serveur d'envoi, l'adresse Reply-To et les résultats SPF, DKIM et DMARC.
• Ouvrir un PCAP dans Wireshark : appliquer des filtres d'affichage, utiliser Statistiques > Conversations et suivre un flux TCP ou HTTP. Notre tutoriel Wireshark pour débutants couvre ces trois points.
• Décoder les encodages courants : repérer du Base64 et de l'hexadécimal, puis les décoder avec CyberChef.
• Travailler dans une machine virtuelle : certains fichiers de challenge contiennent du code malveillant actif, donc vous ne les ouvrez jamais sur votre ordinateur de tous les jours.

Si au moins deux de ces points vous semblent flous, commencez par des contenus guidés et revenez dans quelques semaines. BTLO est une excellente deuxième étape, et une première étape frustrante.

Comment résoudre votre premier challenge BTLO (sans spoiler)

Un bon premier choix est Network Analysis - Web Shell, un challenge gratuit classé Easy. Le scénario : le SOC a reçu une alerte SIEM « Local to Local Port Scanning », un hôte interne s'étant mis à scanner un autre hôte interne. Vous recevez un PCAP et devez décider si l'activité est malveillante, puis reconstituer ce qu'a fait l'attaquant. Voici la méthode, sans les réponses.

1. Prenez d'abord du recul : ouvrez la capture, allez dans Statistiques > Conversations, puis dans l'onglet TCP. Une paire d'hôtes avec des centaines de conversations très courtes saute aux yeux. Triez par la colonne du port de destination et la plage scannée devient évidente.
2. Identifiez le type de scan : filtrez les tentatives de connexion qui n'aboutissent jamais. Une longue série de paquets SYN vers des ports qui se suivent, avec des RST en réponse pour les ports fermés, c'est un scan SYN.
3. Regardez ce qui suit : ouvrez Statistiques > Hiérarchie des protocoles. Si du HTTP apparaît après le scan, l'attaquant est passé au serveur web. Les outils de scan s'annoncent souvent dans l'en-tête User-Agent, alors ajoutez-le en colonne.
4. Trouvez l'upload : filtrez les requêtes POST. Un envoi vers une page PHP, suivi de requêtes vers un nouveau fichier PHP au nom étrange, c'est le schéma classique d'un web shell. L'en-tête Referer vous indique depuis quelle page l'upload a été fait.
5. Lisez les commandes : suivez le flux HTTP des requêtes vers le nouveau fichier. Les commandes se trouvent dans un paramètre de l'URL, dans l'ordre où l'attaquant les a tapées.
6. Repérez la connexion retour : les dernières commandes ouvrent généralement un reverse shell. Cherchez une nouvelle connexion TCP initiée par la victime vers l'attaquant, sur un port inhabituel.

Voici les filtres d'affichage Wireshark qui font l'essentiel du travail :

tcp.flags.syn == 1 && tcp.flags.ack == 0     # tentatives de connexion uniquement : les scans ressortent
http.request                                  # toutes les requêtes HTTP, ajoutez http.user_agent en colonne
http.request.method == "POST"                 # uploads et envois de formulaires
http.request.uri contains ".php"              # requêtes vers des pages PHP, y compris un shell déposé

Ces quatre filtres fonctionnent dans les versions actuelles de Wireshark 4.x, et le guide utilisateur de Wireshark sur les filtres d'affichage détaille la syntaxe si vous voulez écrire les vôtres.

En pratique, l'astuce qui fait gagner le plus de temps sur BTLO consiste à lire toutes les questions avant d'ouvrir les preuves. Les questions sont une carte : si la cinquième demande le nom du paramètre d'un web shell, vous savez déjà qu'un web shell existe, et à peu près où le chercher dans la capture. Notez chaque réponse avec le numéro de paquet ou le filtre qui la prouve, et vos notes d'incident sont prêtes sans effort.

6 challenges BTLO gratuits pour commencer

Ces challenges gratuits sont classés Easy sur BTLO et bien documentés par la communauté, ce qui vous permet de vérifier votre raisonnement une fois terminé. Essayez chacun d'eux sans write-up d'abord.

• Phishing Analysis : un email signalé à décortiquer. Vous identifiez le destinataire, le serveur d'origine, la pièce jointe et le lien qu'elle contient. Un éditeur de texte, des recherches WHOIS et un service de capture d'écran d'URL suffisent.
• Phishing Analysis 2 : la même compétence, un cran au-dessus, avec du contenu encodé que CyberChef traite très bien.
• Network Analysis - Web Shell : le challenge détaillé plus haut. Le meilleur premier challenge réseau de la plateforme.
• Shiba Insider : un PCAP avec une surprise. Les write-ups de la communauté le résolvent avec Wireshark et ExifTool, ce qui entraîne aussi vos réflexes sur les métadonnées.
• PowerShell Analysis - Keylogger : lisez un script PowerShell malveillant et expliquez ce qu'il fait. Un éditeur de texte suffit, ce qui en fait une entrée en douceur dans le reverse engineering.
• Browser Forensics - Cryptominer : fouillez des artefacts de navigateur pour trouver le cryptominer. Les write-ups de la communauté utilisent FTK Imager pour parcourir les preuves.

Une fois ceux-là maîtrisés, le challenge Bruteforce, classé Medium, est une bonne suite : un gros fichier de logs, beaucoup de bruit, et un seul attaquant à y retrouver.

Les outils à installer avant de commencer

Comme les challenges gratuits sont des téléchargements, votre environnement compte. Une VM Windows ou Linux avec ces outils couvre presque tous les challenges Easy : Wireshark, un bon éditeur de texte, CyberChef (il tourne dans le navigateur), ExifTool, FTK Imager sous Windows, et Volatility 3 quand vous arriverez aux dumps mémoire. Prenez un snapshot de la VM avant d'ouvrir un échantillon, pour pouvoir revenir en arrière.

BTLO Pro vaut-il le coup ?

BTLO Pro vaut le coup une fois que les challenges Easy gratuits sont devenus une routine et que vous voulez vous entraîner sur de vrais outils de SOC (recherches SIEM, journaux d'événements Windows, machines de lab actives) sans tout monter vous-même. Avant ce stade, vous payez pour du contenu que vous n'êtes pas encore prêt à exploiter.

Notre avis sur la meilleure façon de dépenser cet argent :

• Pas de Pro le premier mois. Les challenges gratuits vous occupent pendant des semaines, et ils vous montrent quels domaines vous plaisent.
• Prenez un mois, pas un an. 15 £ pour un mois concentré sur les investigations vous en apprennent plus que n'importe quel avis. L'offre annuelle (144 £, soit 20 % d'économie) n'a de sens que si vous savez que vous l'utiliserez chaque semaine.
• Un thème par mois. Par exemple, uniquement des investigations ELK un mois, uniquement de la forensique mémoire le suivant. Enchaîner les labs au hasard fait monter les points, pas les compétences.

BTLO et la certification BTL1

BTLO et BTL1 sont deux produits distincts. Blue Team Level 1 est la certification SOC junior de Centri, affichée à 399 £ sur sa page de formation. Selon Centri, ce prix comprend quatre mois d'accès au contenu de formation, 23 labs dans le navigateur avec 100 heures de lab, un examen pratique de réponse à incident de 24 heures et un repassage gratuit. Centri indique que 70 % des candidats réussissent dès la première tentative.

S'entraîner sur BTLO est une bonne façon de vérifier que le travail défensif pratique vous plaît avant de dépenser 399 £, mais les points BTLO ne comptent pas pour la certification. Si vous hésitez entre BTL1 et d'autres certifications d'entrée de gamme, comparez le format de l'examen, pas seulement le prix : un examen pratique de 24 heures n'a rien à voir avec un QCM.

Blue Team Labs Online vs CyberDefenders, LetsDefend et TryHackMe

BTLO fait partie d'un petit groupe de plateformes défensives. Elles se recoupent, mais chacune correspond à une étape différente.

CyberDefenders est le plus proche cousin de BTLO : des enquêtes à base de questions sur de vraies preuves, avec une orientation DFIR plus marquée et des labs plus longs. Notre guide CyberDefenders pour débutants présente ses labs gratuits et la certification CCDL1.

LetsDefend ressemble moins à un CTF qu'à un simulateur de poste : les alertes arrivent dans une file et vous les triez. Hack The Box en est désormais propriétaire et transfère les nouveaux contenus sur sa propre plateforme, ce que notre guide LetsDefend détaille.

HackerDNA comble le manque que laisse BTLO : il enseigne avant d'évaluer. Le cours SOC Analyst et Blue Team vous apprend à écrire des requêtes SIEM dans Splunk et Elastic, à créer des règles de détection et à relier les alertes à MITRE ATT&CK. Comme HackerDNA couvre aussi l'offensif, vous lancez vous-même des attaques comme un scan SYN ou l'upload d'un web shell, ce qui rend leurs traces dans un PCAP bien plus faciles à reconnaître. Un parcours réaliste : HackerDNA pour apprendre, les challenges gratuits de BTLO pour vous tester, puis BTLO Pro ou CyberDefenders pour enchaîner les enquêtes.

Considérations légales et éthiques

• Traitez les échantillons comme actifs : les challenges BTLO peuvent contenir de vrais scripts et documents malveillants. Ouvrez-les uniquement dans une VM isolée, jamais sur votre ordinateur personnel ni sur un poste de travail.
• N'interagissez pas avec de vraies infrastructures : si un challenge contient une URL ou une IP, utilisez des recherches passives et des services de capture d'écran plutôt que de vous y rendre depuis votre propre connexion.
• Respectez les règles sur les write-ups : consultez les règles de la plateforme avant de publier une solution, et ne partagez jamais les réponses d'un contenu qui rapporte encore des points ni celles d'un examen de certification.
• Gardez les données réelles privées : si vous vous entraînez sur des logs de votre travail, ne les collez jamais dans des outils publics ou des write-ups.

Le guide de réponse à incident du NIST, SP 800-61 Revision 3, mérite un survol pour voir comment de vraies équipes gèrent les preuves et les rapports.

Questions fréquentes