26 lines
1.4 KiB
YAML
26 lines
1.4 KiB
YAML
|
---
|
||
|
|
# Supervision derivee du groupe. Voir docs/supervision-conception.md.
|
||
|
|
#
|
||
|
|
# POURQUOI CETTE SONDE EXISTE, ET CE QU'ELLE NE MESURE PAS.
|
||
|
|
#
|
||
|
|
# `auditd` est le seul service de securite du socle dont la panne soit SILENCIEUSE et
|
||
|
|
# TROMPEUSE a la fois. Le 2026-08-30, sur les quinze machines de Chezlepro, un doublon
|
||
|
|
# dans `rules.d/` faisait echouer `audit-rules.service` — dont le demon depend. Resultat :
|
||
|
|
# onze regles armees dans le noyau, `auditctl -l` les affichant toutes, et personne pour
|
||
|
|
# collecter. Pendant tout ce temps le deploiement rapportait `failed=0`.
|
||
|
|
#
|
||
|
|
# CE QU'ON NE MESURE PAS : le nombre de regles. C'est exactement le chiffre qui restait
|
||
|
|
# bon pendant la panne ; en faire un verdict aurait donne du vert. Il part en perfdata,
|
||
|
|
# pour que le diagnostic distingue « rien d'arme » de « arme mais rien de collecte ».
|
||
|
|
#
|
||
|
|
# CE QU'ON MESURE : le service tourne, ET le journal a bouge recemment. Les deux, parce
|
||
|
|
# qu'un `auditd` vivant qui n'ecrit plus — disque plein, `disk_full_action = SUSPEND` —
|
||
|
|
# laisse la meme trace qu'un audit en bonne sante pour qui ne regarde que `systemctl`.
|
||
|
|
sondes:
|
||
|
|
- nom: audit
|
||
|
|
ttl: 5400
|
||
|
|
raison: >-
|
||
|
|
La piste d'audit s'ecrit-elle vraiment ? Des regles armees dans le noyau ne
|
||
|
|
prouvent pas qu'un demon collecte : le 2026-08-30, quinze machines ont eu les
|
||
|
|
deux apparences de la sante sans qu'une seule ligne soit ecrite.
|