Supervision réseau et logs : le guide pour une mairie, une école ou une PME

Collecter des logs ne sert à rien si personne ne sait quoi regarder. Une bonne supervision sélectionne les signaux utiles : coupures, authentifications, saturation, erreurs et changements. Et un réseau fermé n’est pas automatiquement un réseau sécurisé : s’il n’est pas documenté, segmenté, supervisé et journalisé, il devient même parfois plus difficile à dépanner qu’un réseau classique.

Guiltek accompagne des environnements publics locaux et des PME où cohabitent postes agents, équipements spécialisés, Wi-Fi, imprimantes, accès distants et parfois réseaux isolés. Le but est simple : rendre le réseau compréhensible, maintenable et traçable.

Quels logs regarder ?

Pourquoi les logs changent le diagnostic

Sans logs, un incident réseau se résume à « ça ne marche pas ». Avec des logs, on peut savoir si un port est tombé, si une borne a redémarré, si le DHCP n’a pas répondu, si un flux est bloqué ou si un équipement perd régulièrement la connexion. Ils donnent une chronologie : qui s’est connecté, quel service a répondu, quel équipement a refusé.

Sans logs, le support dépend de souvenirs et de symptômes. Avec des logs, on peut voir si une panne est isolée, répétitive, liée à un équipement ou à un comportement utilisateur. C’est plus rapide et plus juste.

C’est particulièrement utile lorsque l’on intervient à distance entre deux passages sur site : les journaux gardent la mémoire de ce qui s’est produit. Pour qualifier un incident avant de le transmettre, voir notre tuto : lire les logs avant d’escalader un incident.

Le bon niveau pour une petite organisation

Une mairie, une école ou une PME n’a pas forcément besoin d’un centre de supervision complexe pour commencer. Elle a besoin d’alertes fiables, de comptes rendus lisibles et d’une personne qui agit. Le plus important est de transformer les signaux en décisions : remplacer un équipement, corriger une règle, isoler un poste, documenter un incident.

Commencer par trois alertes, pas trente

La supervision échoue presque toujours de la même façon : trop d’alertes dès le départ, plus personne ne les lit au bout d’un mois, et la panne réelle passe inaperçue au milieu du bruit. Mieux vaut trois alertes fiables que trente approximatives.

• La sauvegarde n’a pas fonctionné cette nuit. C’est l’alerte la plus rentable, parce que le problème reste invisible jusqu’au jour où l’on en a besoin.
• Un équipement critique ne répond plus : serveur, lien internet, commutateur principal.
• Un espace disque approche de la saturation, seule panne annoncée à l’avance.

Une alerte n’a de valeur que si quelqu’un est désigné pour la traiter et sait quoi faire. Sans destinataire clair, on ajoute du bruit, pas de la sécurité.

Inutile de superviser tous les équipements dès le départ. On commence par les équipements critiques : routeur, pare-feu, switchs principaux, bornes Wi-Fi, serveurs, NAS ou équipements spécialisés.

Conserver les logs assez longtemps

Une semaine de rétention suffit pour diagnostiquer une panne survenue le matin même. Elle ne suffit pas à répondre aux deux questions qui comptent après coup : depuis quand cela se dégradait-il, et que s’est-il passé la nuit de l’incident ?

Trois à six mois donnent une capacité d’analyse très supérieure pour un coût de stockage marginal. C’est ce qui permet de distinguer une panne isolée d’une dérive progressive : un disque qui ralentit, une saturation qui revient chaque fin de mois.

Réseau fermé : « fermé » ne veut pas dire « maîtrisé »

Un réseau peut être isolé du reste et pourtant mal maîtrisé : mot de passe Wi-Fi ancien, switch non documenté, équipement inconnu, accès administrateur partagé, logs inexistants. Le jour où une panne arrive, personne ne sait précisément ce qui dépend de quoi.

Un réseau fermé finit parfois par dépendre d’une seule personne ou d’un seul plan non mis à jour. Personne ne sait alors si le problème vient du pare-feu, du switch, du serveur, du poste ou de la ligne. La sécurité vient donc autant de la documentation et de l’exploitation que de l’isolement.

Les piliers d’un réseau spécialisé fiable

Droits, segmentation, supervision : trois questions à trancher

Segmenter selon les usages, pas selon les étages

La segmentation n’a d’intérêt que si elle suit les usages réels. Découper par étage ou par bâtiment produit des règles ingérables ; découper par population et par niveau de confiance produit des règles qu’on peut expliquer et maintenir.

• Les postes des agents, qui accèdent aux applications métier et aux données de la collectivité.
• Les postes pédagogiques et les tablettes, qui accèdent à internet et aux ressources scolaires, mais jamais aux données administratives.
• Le Wi-Fi invité, totalement isolé du reste, y compris des imprimantes.
• Les équipements techniques (caméras, contrôle d’accès, chauffage), qui ne doivent parler qu’à leur serveur de gestion.

Ce dernier point est régulièrement négligé. Les objets connectés sont rarement mis à jour et constituent une porte d’entrée durable : les isoler coûte peu et retire beaucoup de risque.

Un réseau invité aide, mais ne suffit pas : il doit être associé à des règles, des logs, des mots de passe renouvelés et une séparation réelle des usages. Voir aussi le Wi-Fi invité en mairie ou école.

Documenter ce qui sert vraiment

Un plan réseau exhaustif jamais mis à jour est moins utile qu’une page tenue à jour. Le minimum exploitable : le plan d’adressage, la liste des VLAN et de leur usage, l’emplacement physique des équipements, les identifiants d’administration dans un gestionnaire, et le nom de la personne à joindre chez le prestataire.

Le test est simple : quelqu’un d’extérieur pourrait-il, avec cette documentation, comprendre le réseau en une heure ? Si la réponse est non, le réseau dépend encore d’une mémoire individuelle.

Le réseau fermé n’est pas un réseau figé

Fermé ne signifie pas immuable. Les règles de filtrage doivent être relues au moins une fois par an : un flux ouvert pour un projet terminé reste souvent ouvert des années, et chaque exception oubliée réduit l’intérêt de la segmentation d’origine.

Ce que la supervision apporte au budget

Au-delà du dépannage, les logs objectivent les décisions d’investissement. Ils montrent quel équipement tombe le plus souvent, quel lien sature réellement et à quelle heure, et si un ralentissement vient du réseau ou du poste.

Pour une mairie ou une PME, c’est souvent l’argument qui transforme une demande de budget en dossier défendable : on ne remplace plus un équipement parce qu’il est ancien, mais parce qu’on peut montrer ce qu’il coûte en interruptions.

Checklist réseau mairie, école ou PME

• Le schéma réseau est-il à jour ?
• Les équipements critiques sont-ils nommés et localisés ?
• Les réseaux invités sont-ils séparés ?
• Les logs sont-ils consultables ?
• Les configurations sont-elles sauvegardées ?
• Les accès administrateurs sont-ils limités ?
• Les incidents récurrents sont-ils reliés à des tickets ?

Le rôle de Guiltek

Guiltek peut auditer le réseau, documenter les équipements, mettre en place une logique de logs et de supervision, gérer les tickets et prévoir des passages réguliers sur site. Ce sujet complète l’externalisation maintenance/support pour collectivités. Voir aussi notre pôle maintenance.

FAQ

Faut-il superviser tous les équipements ?

Non. Il faut commencer par les équipements critiques : routeur, pare-feu, switchs principaux, bornes Wi-Fi, serveurs, NAS ou équipements spécialisés.

Combien de temps conserver les logs ?

Une semaine suffit pour une panne du jour, pas pour comprendre une dérive. Trois à six mois de rétention permettent de distinguer une panne isolée d’un problème qui s’installe, pour un coût de stockage marginal.

Un réseau invité suffit-il à sécuriser ?

Non. Il aide, mais doit être associé à des règles, des logs, des mots de passe et une séparation réelle des usages.

Guiltek peut-il maintenir ce type de réseau ?

Oui, avec support, documentation, tickets, logs et passages sur site.

Votre réseau est-il vraiment documenté ? Demandez un audit réseau Guiltek.