Supervise, journalise et traite les écarts de sécurité ou de qualité

L’idée reçue

« Si la page GLPI répond en HTTP 200, le service est sain. »

Une interface disponible peut masquer un cron arrêté, une queue bloquée, un disque presque plein, des erreurs PHP ou des inventaires anciens.

01Surveille plusieurs domaines

Système       espace disque, CPU, mémoire, processus
Base          disponibilité, lenteur, taille, backup
Automatisation cron, dernière exécution, durée
Messagerie    collecteur, queue, retries
Application   erreurs, authentification, version
Parc          âge des inventaires, doublons
Service       SLA, réouverture, satisfaction

02Définis le sens du seuil

minimum
DISK_FREE : warning < 20 %, critique ≤ 10 %

maximum
ERROR_LOG_RATE : warning > 10/h, critique ≥ 30/h

Un seuil sans unité, direction et propriétaire produit des alertes ambiguës.

03Observe les écarts du lab

DISK_FREE,system,18,WARN,PLAN_REMEDIATION
ERROR_LOG_RATE,logs,14,WARN,PLAN_REMEDIATION

Les autres contrôles restent PASS. L’objectif n’est pas de rendre tous les voyants verts, mais de produire une décision proportionnée.

04Qualifie les événements

FAILED_LOGIN_BURST → OPEN_INCIDENT
PROFILE_CHANGE     → REVIEW_CHANGE
PLUGIN_ERROR       → OPEN_INCIDENT
BACKUP_SUCCESS     → ARCHIVE_EVIDENCE

Un log est une observation. La décision dépend du type, de la sévérité, du contexte et de la preuve.

05Relie les workflows

alerte ponctuelle critique → incident
cause récurrente           → problème
correction planifiée       → changement
preuve stable              → connaissance / runbook

06Gouverne la rétention

Conserve assez de logs pour l’exploitation et l’audit, mais limite la rétention, les droits et les données sensibles. La lecture des logs système doit appartenir à des profils explicitement autorisés.

07Exécute le contrôle

column -s, -t "$lab/output/monitoring-findings.csv"
column -s, -t "$lab/output/audit-decisions.csv"
cat "$lab/output/remediation-plan.csv"

Mission

Transforme une alerte en preuve

Choisis un contrôle hors cible, crée l’incident ou le problème correspondant, propose le changement, définis la preuve de retour à la normale et la durée de surveillance après correction.

✓À retenir

La supervision utile relie une mesure à un seuil, une décision, un propriétaire et une preuve de fermeture. Les logs seuls ne constituent pas un processus d’exploitation.