Cours – Supervision avancée
BTS SIO SISR 2e année – Bloc 2 – S11
Un mot ou un sigle inconnu ? Passe la souris dessus, ou ouvre le glossaire.
En première année, tu as supervisé des machines : un agent, des mesures, un seuil, une alerte. Il reste trois questions d'exploitation : quoi mesurer pour que l'alerte serve à quelque chose, comment éviter qu'elle sonne à tort ou trop tard, et où lire les journaux de dix machines sans se connecter à chacune.
1. Superviser quoi ? Du composant au service
| Niveau | Question | Exemple d'indicateur |
|---|---|---|
| Ressource | La machine a-t-elle de quoi travailler ? | Processeur, mémoire, espace disque, état des disques |
| Processus / service | Le service tourne-t-il ? | Processus actif, port à l'écoute |
| Service rendu | Le service répond-il correctement ? | Page web qui renvoie le code 200 en moins de 2 s |
| Utilisateur | Le métier fonctionne-t-il ? | Une facture peut-elle être émise ? |
Un serveur peut avoir un processeur calme, un processus actif et ne plus rien servir (base de données saturée, certificat expiré). Plus on supervise près de l'utilisateur, plus l'alerte est utile ; les indicateurs de ressources servent à anticiper et à diagnostiquer.
Une grille simple pour choisir ses indicateurs (inspirée des « signaux d'or » de l'ingénierie de fiabilité) :
| Signal | Sens | Exemple |
|---|---|---|
| Latence | Combien de temps pour répondre ? | Temps de réponse HTTP |
| Trafic | Quelle charge ? | Requêtes par seconde, débit |
| Erreurs | Qu'est-ce qui échoue ? | Réponses 5xx, tâches planifiées en échec |
| Saturation | Quelle part de la capacité est utilisée ? | Disque, mémoire, connexions |
2. Des seuils qui servent
Une alerte doit être utile et actionnable : quelqu'un sait quoi faire en la lisant.
| Défaut | Conséquence | Remède |
|---|---|---|
| Trop sensible | Faux positifs, alertes ignorées (« le loup ») | Exiger plusieurs mesures consécutives avant d'alerter |
| Trop tolérante | Panne découverte par l'utilisateur | Seuil d'avertissement avant le seuil critique |
| Oscillante | Alerte qui apparaît, disparaît, réapparaît | Hystérésis : seuil de retour différent du seuil d'alerte |
| Sans responsable | Personne ne réagit | Notifier une personne ou une équipe précise |
Exemple pour un disque : avertissement à 80 %, critique à 90 %, alerte levée si la valeur reste au-dessus pendant trois mesures, retour à la normale sous 75 %.
Les niveaux de gravité
| Niveau | Exemple | Réaction attendue |
|---|---|---|
| Information | Mise à jour disponible | Aucune urgence |
| Avertissement | Disque à 80 % | Traiter dans la journée |
| Service dégradé | Un des deux répartiteurs arrêté, service encore assuré | Rétablir sous 24 h ; la redondance est perdue |
| Critique | Service web injoignable | Intervenir immédiatement |
Le niveau service dégradé signale un mode dégradé en cours (S05, S12) : l'utilisateur ne voit rien, mais le prochain incident sera une panne. Il faut une alerte, sans quoi la redondance est perdue sans que personne le sache.
Dépendances
Si le routeur tombe, vingt serveurs deviennent injoignables : vingt alertes masquent la cause. On déclare les dépendances (les serveurs dépendent du routeur) pour ne signaler que la cause racine.
3. Centraliser les journaux
Chaque machine garde ses journaux localement. Quand un incident touche plusieurs machines, on perd du temps à les parcourir une à une, et un attaquant qui prend une machine peut effacer ses traces. D'où la centralisation : les machines envoient leurs journaux à un serveur dédié.
| Élément | Rôle |
|---|---|
| Syslog | Protocole et format standard des messages de journal |
| rsyslog | Service syslog de Debian : sait recevoir (serveur) et envoyer (client) |
| Transport | UDP (simple, sans garantie) ou TCP (fiable) ; TLS pour chiffrer |
| Rétention | Durée de conservation, à fixer avec les contraintes légales |
Warning
Les journaux contiennent des données personnelles (adresses, identifiants). Leur centralisation et leur durée de conservation relèvent du RGPD et de la politique de sécurité : on les protège (accès restreint) et on fixe une durée.
Les journaux centralisés servent à corréler : l'alerte de la supervision indique quand ; le journal indique pourquoi. Pour être corrélables, les machines doivent être à l'heure (NTP).
4. Superviser ses propres scripts
Un script qui échoue sans prévenir est invisible (S09). Deux méthodes :
- Par le code de retour : l'agent exécute le script ; un code non nul déclenche l'alerte ;
- Par le journal : le script écrit
ECHECdans le journal ; la supervision cherche ce mot dans les journaux centralisés.
Ce que tu dois retenir de la séance
- Superviser le service rendu (près de l'utilisateur), pas seulement les ressources.
- Un bon seuil : plusieurs mesures, avertissement puis critique, hystérésis, responsable, dépendances.
- Centraliser les journaux (rsyslog en TCP) et garder les machines à l'heure.
- Superviser aussi ses scripts d'exploitation.