Métriques surveillées et seuils d'alerte : ce que Logiserv contrôle sur vos serveurs
Le détail des métriques de performance, de disponibilité et de sécurité surveillées par Logiserv sur vos serveurs Windows, Linux et macOS, avec les seuils d'alerte et les niveaux de gravité appliqués.
Protégez votre infrastructure dès aujourd'hui
Démarrez gratuitement, sans carte bancaire requise
Quand un hôte rejoint votre parc, Logiserv lui applique automatiquement un modèle de supervision adapté à son système : Windows, Linux ou macOS. Ce modèle définit ce qui est collecté et, surtout, à partir de quand une valeur devient une alerte.
Cet article détaille ces règles en trois familles : performance, disponibilité et sécurité. Pour un point de vue plus général sur le choix des métriques, voir quelles métriques surveiller sur un serveur.
Les niveaux de gravité
Chaque alerte porte l'un des cinq niveaux suivants, du moins au plus urgent :
| Niveau | Signification |
|---|---|
| Information | Changement à connaître, sans action immédiate (nom d'hôte modifié, nouvelle version de l'agent…) |
| Avertissement | Dérive à surveiller : la situation se dégrade mais le service fonctionne |
| Moyenne | Problème réel qui demande une intervention dans la journée |
| Haute | Incident en cours ou risque imminent : intervention rapide |
| Désastre | Panne ou attaque probable : intervention immédiate |
La plupart des seuils s'évaluent sur une durée, pas sur une valeur isolée. Une règle comme « processeur au-dessus de 90 % pendant 5 minutes » exige que toutes les mesures de la période dépassent le seuil : un pic de quelques secondes, causé par une sauvegarde ou un antivirus, ne déclenche rien. C'est la principale protection contre les faux positifs.
Performance
Ces alertes signalent un serveur qui fonctionne, mais mal ou de plus en plus difficilement.
Processeur
| Métrique | Système | Seuil | Gravité |
|---|---|---|---|
| Utilisation du processeur | Windows, Linux | > 90 % pendant 5 min | Avertissement |
| Charge moyenne par cœur | Windows, macOS | > 5 en moyenne sur 5 min | Moyenne (Windows), Avertissement (macOS) |
| Load average rapporté au nombre de cœurs | Linux | > 1,5 par cœur pendant 5 min | Moyenne |
| File d'attente processeur | Windows | > 2 × nombre de cœurs + 3 pendant 5 min | Avertissement |
| Temps privilégié (noyau) | Windows | > 30 % pendant 5 min | Avertissement |
| Temps d'interruption | Windows | > 50 % pendant 5 min | Avertissement |
Un temps privilégié ou un temps d'interruption élevé oriente vers un pilote ou un matériel défaillant plutôt que vers une application gourmande : c'est souvent le premier indice d'une carte réseau ou d'un contrôleur disque en difficulté.
Mémoire
| Métrique | Système | Seuil | Gravité |
|---|---|---|---|
| Utilisation de la mémoire | Linux | > 90 % pendant 5 min | Moyenne |
| Utilisation de la mémoire | Windows | > 98 % pendant 5 min | Moyenne |
| Mémoire disponible | Linux, macOS | < 20 Mo | Moyenne |
| Mémoire libre | Windows | < 150 Mo | Moyenne |
| Mémoire virtuelle disponible | Windows | < 10 % pendant 10 min | Moyenne |
| Espace d'échange (swap) libre | Linux | < 50 % | Avertissement |
| Fichier d'échange libre | Windows | < 20 % | Avertissement |
| Pages/s (pagination) | Windows | > 1 000 pendant 5 min | Avertissement |
| Entrées libres de la table des pages système | Windows | < 5 000 | Avertissement |
Le seuil Windows est volontairement plus haut que celui de Linux : Windows utilise la mémoire de façon plus agressive pour son cache, et un serveur Windows sain dépasse régulièrement 90 %. C'est la pagination (Pages/s) qui révèle un vrai manque de mémoire.
Disques
| Métrique | Système | Seuil | Gravité |
|---|---|---|---|
| Temps de réponse en lecture ou écriture | Windows, Linux | > 20 ms pendant 15 min | Avertissement |
| Attente d'entrées/sorties (iowait) | Linux | > 20 % pendant 5 min | Avertissement |
Un disque qui répond lentement pendant un quart d'heure est un signe précoce de saturation ou de défaillance matérielle, souvent avant toute erreur visible. L'espace disque, lui, est traité dans la partie disponibilité : un disque plein arrête les services.
Réseau
| Métrique | Système | Seuil | Gravité |
|---|---|---|---|
| Utilisation de la bande passante | Windows, Linux | > 90 % du débit de l'interface pendant 15 min | Avertissement |
| Erreurs sur l'interface | Windows, Linux | > 2 erreurs pendant 5 min | Avertissement |
| Vitesse de lien inférieure à la précédente | Windows, Linux | Toute baisse (ex. 1 Gb/s → 100 Mb/s) | Information |
Une baisse de vitesse de lien est un symptôme classique de câble abîmé ou de port de commutateur défectueux.
Processus
| Métrique | Système | Seuil | Gravité |
|---|---|---|---|
| Nombre total de processus | Linux | > 300 en moyenne sur 5 min | Avertissement |
| Processus en cours d'exécution | Linux | > 30 en moyenne sur 5 min | Avertissement |
| Proximité de la limite du noyau | Linux | > 80 % du nombre maximal de processus | Avertissement |
Disponibilité
Ces alertes signalent un serveur, un volume ou une interface qui ne rend plus le service attendu, ou qui est sur le point de ne plus le rendre.
Le serveur et l'agent
| Métrique | Système | Seuil | Gravité |
|---|---|---|---|
| Agent de supervision injoignable | Windows | Aucune donnée depuis 5 min | Haute |
| Agent de supervision injoignable | Linux, macOS | Aucune donnée depuis 5 min | Moyenne |
| Vérifications actives indisponibles | Linux, macOS | Pendant 5 min | Haute |
| Redémarrage du serveur | Windows | Uptime < 10 min | Haute |
| Redémarrage du serveur | Linux | Uptime < 10 min | Avertissement |
Un agent muet signifie l'une de trois choses : le serveur est arrêté, le réseau est coupé, ou l'agent lui-même a été arrêté. Dans les trois cas, vous ne voyez plus rien de ce serveur, ce qui justifie une alerte dédiée.
Un redémarrage est signalé même s'il est planifié. S'il ne l'était pas, c'est souvent la seule trace d'un plantage ou d'une coupure électrique survenue la nuit.
Espace disque
| Métrique | Système | Seuil | Gravité |
|---|---|---|---|
| Espace utilisé | Linux, macOS | > 80 % pendant 5 min | Avertissement |
| Espace utilisé | Linux, macOS | > 90 % pendant 5 min | Moyenne |
| Espace libre | Windows | < 5 % | Avertissement |
| Inodes libres | Linux, macOS | < 20 % pendant 5 min | Avertissement |
| Inodes libres | Linux, macOS | < 10 % pendant 5 min | Moyenne |
| Système de fichiers passé en lecture seule | Linux | Dès le basculement | Moyenne |
Les volumes sont découverts automatiquement : un disque ajouté au serveur est surveillé sans aucune déclaration. Les inodes méritent leur propre alerte : un volume peut refuser toute nouvelle écriture alors qu'il affiche encore de l'espace libre, si des millions de petits fichiers ont épuisé ses inodes. Le passage en lecture seule, lui, est le réflexe de Linux face à des erreurs disque : c'est un signal de défaillance matérielle à ne jamais ignorer. Voir aussi surveiller l'espace disque d'un serveur.
Réseau et services
| Métrique | Système | Seuil | Gravité |
|---|---|---|---|
| Interface réseau déconnectée | Windows, Linux | Passage à l'état « down » | Moyenne |
| Collecte réseau interrompue | Tous | Aucune donnée d'interface depuis 30 min | Avertissement |
| Échecs de démarrage de services | Linux | > 5 en 30 min | Moyenne |
| Erreurs noyau (segfault, manque de mémoire, processus tués) | Linux | > 5 en 10 min | Moyenne |
Changements d'inventaire
Certains changements ne sont pas des pannes, mais vous devez les connaître. Ils sont remontés au niveau Information :
- modification du nom d'hôte ou de la description du système d'exploitation ;
- mise à jour de l'agent de supervision ;
- installation ou suppression de paquets sous Linux (niveau Avertissement) ;
- limites du noyau Linux (fichiers ouverts, processus) configurées trop bas.
Sécurité
Les règles de sécurité fonctionnent différemment des précédentes. Plutôt qu'un seuil unique valable pour tous les serveurs, la plupart comparent l'activité de l'heure ou des dernières minutes à la moyenne habituelle de ce serveur précis. Un serveur de fichiers très sollicité et un petit serveur applicatif n'ont pas la même activité normale, et un seuil fixe serait soit aveugle sur l'un, soit bruyant sur l'autre.
Pour la même raison, nous ne publions pas les valeurs exactes de ces seuils : elles indiqueraient à un attaquant le rythme à ne pas dépasser.
Les règles relatives ont besoin d'historique pour établir ce qui est normal. Sur un hôte tout juste enrôlé, comptez quelques heures avant qu'elles soient pleinement efficaces, et jusqu'à une semaine pour celles qui s'appuient sur une moyenne hebdomadaire. Les seuils absolus (force brute, pare-feu arrêté…) sont actifs dès la première minute.
Authentification
| Ce qui est détecté | Système | Logique | Gravité |
|---|---|---|---|
| Attaque par force brute | Windows, Linux (SSH) | Volume d'échecs de connexion sur quelques minutes, deux paliers | Haute, puis Désastre |
| Pic d'échecs de connexion | Windows, Linux (SSH) | Plusieurs fois la moyenne habituelle de l'hôte | Moyenne |
| Connexion SSH en tant que root | Linux | Dès la première connexion ; plusieurs dans l'heure | Moyenne, puis Haute |
| Verrouillage de compte | Windows | Dès le premier ; verrouillages multiples rapprochés | Avertissement, puis Haute |
| Pic de connexions réussies | Windows | Plusieurs fois la moyenne habituelle de l'hôte | Moyenne |
Un pic de connexions réussies est un signal souvent négligé : il peut révéler l'utilisation d'identifiants volés ou un déplacement latéral dans le réseau.
Privilèges
| Ce qui est détecté | Système | Logique | Gravité |
|---|---|---|---|
| Élévations de privilèges anormales | Windows | Comparées à la moyenne hebdomadaire de l'hôte | Moyenne |
| Explosion du nombre de processus root | Linux, macOS | Plusieurs fois la moyenne de la journée | Moyenne |
| Nombre anormal de processus root | Linux | Au-delà d'un plafond absolu | Avertissement |
| Activité sudo excessive | Linux | Volume de commandes sudo sur une heure | Avertissement |
Sous Windows, l'événement d'attribution de privilèges spéciaux (ID 4672) se produit des centaines de fois par heure sur un serveur parfaitement sain : chaque connexion d'un compte système ou d'une tâche planifiée en génère un. Le compter tel quel déclencherait une alerte permanente. Logiserv le compare donc à l'activité habituelle du même serveur sur une semaine, ce qui neutralise aussi les effets de calendrier (lundi matin, fin de mois).
Intégrité des fichiers sensibles (Linux)
Toute modification des fichiers suivants est signalée, par comparaison d'empreinte :
| Fichier | Rôle | Gravité |
|---|---|---|
/etc/passwd | Liste des comptes | Haute |
/etc/shadow | Mots de passe chiffrés | Haute |
/etc/ssh/sshd_config | Configuration de l'accès SSH | Moyenne |
/etc/crontab | Tâches planifiées système | Moyenne |
Une modification légitime (création d'un compte, changement de mot de passe) déclenche aussi l'alerte : c'est voulu. Si personne dans l'équipe ne l'a faite, elle mérite une enquête.
Défenses
| Ce qui est détecté | Système | Gravité |
|---|---|---|
| Pare-feu Windows arrêté | Windows | Désastre |
| Pare-feu (ufw, firewalld, nftables ou iptables) inactif | Linux | Haute |
L'arrêt de Windows Defender ne déclenche volontairement pas d'alerte. Lorsqu'un antivirus tiers est installé, Windows met automatiquement Defender en veille : c'est le comportement normal, pas une compromission. Le pare-feu n'a pas cette ambiguïté, un seul pouvant être actif sur la machine.
Réseau
| Ce qui est détecté | Logique | Gravité |
|---|---|---|
| Trafic entrant anormal (DDoS) | Plusieurs fois la moyenne de l'interface sur 7 jours et au-dessus d'un débit plancher ; deux paliers | Haute, puis Désastre |
| Trafic sortant anormal (exfiltration) | Même logique sur le trafic sortant | Haute, puis Désastre |
| Erreurs réseau anormales (spoofing) | Plusieurs fois la moyenne habituelle des erreurs | Haute |
| Connexions TCP anormales | Plusieurs fois la moyenne de la journée et au-dessus d'un plancher absolu | Moyenne, puis Haute |
| SYN flood, UDP flood, ICMP flood | Volume de paquets reçus sur 5 minutes (Linux) | Haute à Désastre |
| Scan de ports | Traces de scan dans les journaux système (Linux) | Haute |
| Modification brutale de la table ARP | Variation importante du nombre de voisins réseau (Linux) | Moyenne |
| Changement des ports en écoute | Apparition ou disparition de plusieurs services réseau (Linux) | Avertissement |
| Saturation de la file de connexions | Connexions refusées faute de capacité d'accueil (Linux) | Avertissement |
La double condition des alertes DDoS et exfiltration est essentielle. Un ratio seul alerterait sur un serveur presque inactif qui passe de 10 Ko/s à 200 Ko/s, et un plancher seul ne verrait rien sur un serveur habituellement très chargé. Il faut que le trafic soit à la fois inhabituel pour ce serveur et significatif en volume.
Les hyperviseurs (Hyper-V notamment) font transiter le trafic de toutes leurs machines virtuelles : ils reçoivent des seuils réseau assouplis, appliqués automatiquement.
Le score de sécurité
En complément des alertes individuelles, chaque hôte reçoit un score de sécurité de 0 à 100, recalculé en continu. Il part de 100 et perd des points pour chaque signal observé sur l'heure écoulée : échecs de connexion, verrouillages de comptes, scans, pare-feu désactivé, modification des fichiers sensibles… Linux dispose en plus d'un score réseau distinct.
| Score | Gravité |
|---|---|
| Sous 60 | Haute |
| Sous 30 | Désastre |
Le score n'est pas une alerte de plus : c'est une vue d'ensemble. Un score qui s'érode lentement sur plusieurs jours, sans qu'aucune alerte isolée ne se déclenche, est précisément le type de signal faible qu'une liste d'alertes ne montre pas. Son évolution est visible sur le tableau de bord Sécurité.
Des seuils ajustables
Les seuils décrits ici sont des valeurs par défaut, calibrées sur des données réelles de notre parc plutôt que reprises des modèles d'origine de Zabbix. Plusieurs ont été revus après observation : celui des élévations de privilèges Windows, par exemple, a été relevé quand il s'est avéré confondu avec l'activité normale.
Chaque seuil peut être ajusté hôte par hôte : un serveur de fichiers, une base de données ou un hyperviseur n'ont pas les mêmes valeurs normales. Si une alerte se déclenche régulièrement sans incident réel derrière, contactez-nous depuis votre tableau de bord : un seuil mal adapté est un problème à corriger, pas une fatalité. Voir aussi la fatigue des alertes.
Pour aller plus loin
- Quelles métriques surveiller sur un serveur ? : le plan de supervision essentiel, au-delà de Logiserv
- Éviter les faux positifs Zabbix : calibrer les seuils pour que les alertes restent lues
- Surveiller l'espace disque d'un serveur : la métrique la plus rentable, en détail
- Superviser un serveur Windows et un serveur Linux avec l'agent Zabbix
Protégez votre infrastructure dès aujourd'hui
Démarrez gratuitement, sans carte bancaire requise
Les autres services
Quelles métriques surveiller sur un serveur ? Le plan essentiel
Les métriques indispensables à surveiller sur un serveur Windows ou Linux : disque, mémoire, processeur, services, réseau. Seuils recommandés, pièges de lecture et ordre de priorité.
Comment éviter les faux positifs Zabbix : régler ses seuils
Réduire les fausses alertes Zabbix : hystérésis, durée de dépassement, seuils par volume, dépendances entre déclencheurs et calibrage sur données réelles plutôt que sur les valeurs par défaut.
Fatigue d'alertes Zabbix : comment réduire le bruit sans perdre les incidents critiques
Comprenez pourquoi les alertes Zabbix deviennent difficiles à traiter et comment prioriser, contextualiser et livrer les notifications utiles à votre équipe IT.
Surveiller l'espace disque d'un serveur : seuils, tendances et alertes
Comment surveiller l'espace disque d'un serveur Windows ou Linux : quels seuils choisir, pourquoi la tendance compte plus que le pourcentage, et comment éviter la saturation avant l'incident.
