Comment surveiller Windows Server : métriques et alertes utiles

Superviser un serveur Windows présente une difficulté que Linux n'a pas : le système génère un volume considérable d'événements, dont l'immense majorité est parfaitement normale. Le travail consiste donc autant à choisir ce qu'on surveille qu'à écarter ce qui ne mérite pas d'alerte.

Ce guide couvre Windows Server 2016, 2019, 2022 et 2025.

Les métriques système essentielles

Espace disque

Même priorité que sur Linux, avec une particularité : sous Windows, un disque système saturé empêche le chargement des profils utilisateur, ce qui bloque les connexions bien avant que les services ne s'arrêtent.

Surveillez chaque lettre de lecteur séparément. Un serveur avec C:, D: pour les données et E: pour les sauvegardes a trois points de défaillance distincts.

Seuils : avertissement à 85 %, critique à 95 %, combinés à un plancher d'espace absolu. Voir surveiller l'espace disque.

Mémoire

Windows expose une métrique particulièrement utile : les octets disponibles (Available MBytes). Contrairement à Linux, la lecture est directe — pas de cache à déduire.

Surveillez aussi le fichier d'échange : une utilisation élevée et croissante signale un manque de mémoire physique, avec le même effondrement des temps de réponse que le swap sous Linux.

Processeur

Alerte sur une moyenne soutenue, jamais sur une valeur instantanée. Windows exécute régulièrement des tâches de fond légitimes — indexation, antivirus, mises à jour, sauvegardes — qui saturent le processeur quelques minutes.

Une métrique complémentaire souvent négligée : la longueur de la file d'attente du processeur. Une valeur durablement supérieure au nombre de cœurs indique que des processus attendent, même si l'utilisation n'atteint pas 100 %.

Services Windows

C'est la métrique la plus directement utile. Un serveur qui répond au ping avec son service applicatif arrêté est considéré comme disponible par un contrôle réseau simple, alors que le service rendu est nul.

Surveillez l'état des services critiques et leur mode de démarrage : un service configuré en démarrage automatique mais arrêté est une anomalie, alors qu'un service en démarrage manuel arrêté est normal.

Get-Service | Where-Object { $_.StartType -eq 'Automatic' -and $_.Status -ne 'Running' }

Cette commande liste exactement ce qui devrait tourner et ne tourne pas.

Le journal d'événements : ce qui mérite une alerte

C'est ici que la plupart des supervisions Windows produisent du bruit. Quelques identifiants d'événement méritent réellement une notification :

Et surtout, ceux qu'il ne faut pas transformer en alerte unitaire :

• 4672 — attribution de privilèges spéciaux. Se produit des centaines de fois par heure sur un serveur parfaitement sain : chaque connexion de service, chaque tâche planifiée en génère un. Le compter brut produit un flot d'alertes permanent.
• 4624 — connexion réussie. Même logique : volume très élevé et parfaitement normal.
• 5156 — connexion réseau autorisée par le pare-feu. Des milliers par heure.

Ces événements ne sont exploitables qu'en tendance, rapportés à une base de comparaison : une multiplication par dix du nombre d'échecs d'authentification par rapport à la moyenne des sept derniers jours est un signal ; une valeur absolue n'en est pas un.

Les rôles spécifiques

Active Directory

Sur un contrôleur de domaine, surveillez en plus :

• l'espace disque du volume contenant NTDS.dit et les journaux de transaction
• le service NTDS et le service de réplication de fichiers
• les erreurs de réplication entre contrôleurs (repadmin /replsummary)
• la synchronisation horaire : une dérive supérieure à cinq minutes casse l'authentification Kerberos

Ce dernier point provoque des pannes d'authentification difficiles à diagnostiquer, alors que la cause est triviale.

Serveur de fichiers

Surveillez les quotas, le nombre de sessions ouvertes et l'état du service Serveur. La saturation du volume partagé est ici l'incident le plus visible des utilisateurs.

Hyperviseur Hyper-V

Sur un hôte Hyper-V, la supervision de l'hôte lui-même reste identique à celle d'un serveur Windows standard : disque, mémoire, processeur, services. Le service vmms (Gestion des machines virtuelles Hyper-V) doit être surveillé, car son arrêt affecte tous les systèmes invités.

Notez que les métriques internes des machines virtuelles ne remontent pas depuis l'hôte : chaque invité doit être supervisé séparément, avec son propre agent.

Ce que Windows rend plus simple qu'on ne le croit

Deux points où Windows est mieux servi que Linux :

• Les compteurs de performance exposent nativement des centaines de métriques structurées, sans script à écrire.
• WMI permet d'interroger l'état du matériel, des services et du système de façon uniforme.

L'agent Zabbix exploite les deux directement, ce qui rend la collecte sur Windows particulièrement simple à mettre en place — l'essentiel du travail porte sur le choix des seuils, pas sur la collecte.

Mise en place

L'installation de l'agent est détaillée dans installer Zabbix Agent 2 sur Windows Server : téléchargement du MSI officiel, configuration, chiffrement PSK et vérification.

Le point d'attention principal concerne le mode de fonctionnement : privilégiez le mode actif, dans lequel l'agent se connecte au serveur de supervision. Aucun port entrant n'est alors à ouvrir sur les serveurs, ce qui simplifie considérablement les règles de pare-feu en environnement Windows.

Avec Logiserv

Les templates Windows sont appliqués automatiquement selon le système détecté à l'enrôlement, avec des seuils calibrés sur des données réelles. Les hôtes de virtualisation sont rattachés à un groupe distinct, dont les seuils réseau sont assouplis pour tenir compte du trafic structurellement plus élevé d'un hyperviseur.

Versions supportées

Windows Server 2016 à 2025

Windows 10 et 11 également, via le même agent.

Détection du rôle

Hyperviseur reconnu

La présence du service vmms rattache automatiquement l'hôte au groupe des hyperviseurs.

Événements de sécurité

Rapportés à une base

Les signaux sont évalués en écart à la normale, jamais en comptage brut.

Pour aller plus loin

• Installer Zabbix Agent 2 sur Windows Server — la procédure complète
• Quelles métriques surveiller sur un serveur — le plan de supervision général
• Éviter les faux positifs Zabbix — indispensable sur Windows vu le volume d'événements
• Surveiller l'espace disque d'un serveur — seuils et prévision de saturation
• Supervision serveur Windows et Linux : le guide — la démarche complète