Alertes et détection de dérive

Principe directeur tout au long de cette section : une liste d’alertes à laquelle personne ne fait confiance est pire que de ne pas avoir d’alertes du tout. Le nombre de règles reste donc faible, et les événements ne se produisent que lorsque l’état change — un disque bloqué à 91 % pendant une semaine est un événement, pas dix mille.

Trois types d’événements

Type	Quand il se déclenche
threshold	Une métrique de ressource dépasse un seuil que vous avez défini.
drift	Une configuration liée à la sécurité a changé depuis le sondage précédent.
reachability	La VM a cessé de répondre, ou a recommencé à répondre.

Chaque événement a un niveau info, avertissement ou critique, plus un titre court et une description détaillée.

Seuils de ressources

Définis dans Paramètres. Quatre seuils : avertissement disque, critique disque, RAM et CPU.

Le disque alerte immédiatement en cas de dépassement. La RAM et le CPU doivent dépasser le seuil sur plusieurs sondages avant d’alerter — un pic de CPU d’une minute pendant une sauvegarde ne justifie pas de réveiller quelqu’un.

Prévision de saturation du disque

Des seuils statiques n’indiquent pas grand-chose sur l’urgence. 80 % qui n’a pas bougé depuis un an ne nécessite l’attention de personne ; 60 % qui a grimpé de dix points cette semaine nécessite une action aujourd’hui même.

L’application ajuste une régression linéaire sur les sept derniers jours de données pour chaque point de montage et extrapole jusqu’à sa saturation. Le résultat s’affiche comme « environ N jours restants ».

Cette extrapolation refuse de répondre plutôt que de deviner, lorsque :

• il y a moins de 6 échantillons ou les données couvrent moins de 6 heures ;
• la tendance est plate ou décroissante (le point de montage se libère) ;
• le résultat est à plus de 365 jours — « ça finira par se remplir » n’est pas une information.

Les prévisions sont recalculées au maximum une fois par heure par VM, car elles doivent lire une semaine d’historique.

Le modèle suppose que le taux de croissance reste constant. Il est faux pour la rotation des journaux et faux pour les bases de données qui doublent du jour au lendemain. Lisez-le comme un indicateur de priorité, pas une promesse.

Détection de dérive

Quatre éléments sont comparés au sondage précédent. Ce sont les véritables traces qu’un attaquant laisse :

Élément	Changements détectés
keys	authorized_keys — clés SSH ajoutées ou supprimées
users	/etc/passwd — nouveaux comptes, changements de shell
ports	Ports en écoute — nouveaux services exposés vers l’extérieur
sudoers	/etc/sudoers et /etc/sudoers.d/*

La plupart des changements sont légitimes : un collègue ajoute sa clé, un nouveau service est déployé. La valeur réside dans le fait de savoir que cela s’est produit et quand — plutôt que de le découvrir six mois plus tard.

Revue des connexions SSH

Lorsque le compte de sondage peut lire le journal d’authentification, l’application résume :

• Connexions réussies — utilisateur, IP, méthode, horodatage.
• Échecs par IP — classés par nombre, les plus nombreux en premier.
• IP bloquées — lues depuis fail2ban si présent.
• Réseaux familiers — sous-réseaux depuis lesquels chaque utilisateur se connecte habituellement.

La partie « réseaux familiers » est la plus utile ici : une connexion réussie depuis un sous-réseau inconnu ressort bien plus que des milliers d’échecs venant d’Internet — les échecs sont monnaie courante pour tout serveur exposé au réseau.

Les connexions en dehors des heures de bureau sont signalées, mais pas transformées en alertes à elles seules. Beaucoup de travail légitime a lieu la nuit.

Acquitter les alertes

Le centre d’alertes liste les événements du plus récent au plus ancien. Marquez-les acquittés un par un ou tous à la fois ; le compteur de la barre de statut n’affiche que les non acquittés.

Les événements ne sont jamais supprimés lorsque vous les acquittez, et ne sont pas nettoyés par la rétention de 14 jours des données métriques — ils sont conservés à long terme et alimentent les rapports mensuels.

Notifications système

Les événements de niveau critique déclenchent une notification de l’OS afin que vous les voyiez même si la fenêtre de l’application est masquée. Activez/désactivez dans les paramètres de notification de votre OS lui-même.