Configurer des alertes utiles : e-mail, webhooks et moins de bruit

Une alerte n’est utile que si vous la lisez encore le mois prochain. NetBlade vous laisse décider de quoi vous êtes informé, pour quels appareils, sur quel site, qui est prévenu et quand, et il garde volontairement une liste de sujets courte. Cet article configure une fois pour toutes la partie envoi, puis construit un petit ensemble d’alertes qui attrapent ce qui compte sans vous submerger.

Avant de commencer

L’agent en fonctionnement, avec un abonnement ou un essai actif, et une session Windows ouverte sur le PC NetBlade (Bien démarrer).
Pour l’e-mail : le nom du serveur SMTP, le port, le chiffrement et un compte autorisé à envoyer. Pour un webhook : l’URL que vous fournit votre outil de messagerie instantanée ou d’automatisation.
Au moins un site avec des appareils, et idéalement des PC lus en profondeur.

1. Comprendre quand partent les alertes

Les alertes sont envoyées par l’agent, qui fonctionne tant que votre session Windows est ouverte. Si le PC est éteint ou qu’aucune session n’est ouverte, les alertes attendent et partent à son retour. Deux autres règles :

Une nouvelle alerte part de maintenant. Ce qui s’est passé avant sa création n’est pas envoyé.
« Défenses désactivées » ne se déclenche que sur de vraies transitions : quand une lecture voit réellement l’antivirus, le pare-feu ou BitLocker passer d’activé à désactivé, jamais pour « nous n’avons pas pu le savoir ».

Chaque e-mail le dit clairement dans son pied de page : il rapporte ce qui s’est passé, et un trou signifie que personne n’a regardé.

2. Ajouter un serveur de messagerie ou un webhook

Les serveurs se configurent une seule fois, dans les Paramètres ; la page Alertes et les rapports planifiés les utilisent ensuite.

Ouvrez Paramètres, section Serveurs de messagerie et webhooks, et appuyez sur Ajouter un serveur.
Choisissez le Type : E-mail ou Webhook, et donnez-lui un Nom.
Pour E-mail, renseignez :
- Serveur SMTP et Port ;
- Chiffrement : Automatique, STARTTLS, TLS dès le début (465) ou Aucun ;
- Utilisateur et Mot de passe ;
- De (laissez vide pour utiliser l’utilisateur) ;
- À : une adresse, ou plusieurs séparées par une virgule.
Pour Webhook, renseignez l’URL. NetBlade y publie un document JSON. La même phrase figure sous text, content et message, si bien que Slack, Discord et la plupart des plateformes d’automatisation affichent quelque chose sans aucune transformation ; les éléments individuels se trouvent sous items.
Appuyez sur Ajouter, puis sur Envoyer un test sur la ligne du nouveau serveur. Vérifiez que le message arrive.

Le mot de passe est chiffré avec DPAPI de Windows pour votre compte, comme tous les autres secrets de NetBlade.

Astuce : Conseil SMTP général : le port 587 va généralement avec STARTTLS et le port 465 avec TLS dès le début. Beaucoup de fournisseurs de messagerie exigent que l’authentification SMTP soit activée pour la boîte aux lettres, ou un mot de passe d’application, avant qu’une application puisse envoyer. Une boîte aux lettres dédiée aux alertes facilite le filtrage et l’audit.

Attention : Ne comptez jamais sur un serveur que vous n’avez pas testé. L’application le dit aussi : un canal que personne n’a vérifié ressemble exactement à un canal qui fonctionne.

3. Connaître les sept sujets

Sujet	Ce qui le déclenche
Nouveaux appareils	Un appareil jamais vu a répondu sur un réseau que vous surveillez
Appareils qui ne répondent plus	Quelque chose qui répondait ne répond plus
Ports nouvellement ouverts	Un port s’est ouvert sur un appareil qui existait déjà
Cibles surveillées hors ligne	Une cible de la page Surveillance a cessé de répondre
Défenses désactivées	L’antivirus, le pare-feu ou BitLocker est passé d’activé à désactivé sur une machine lue
Changements de logiciels	Un programme est apparu, a disparu ou a changé de version sur une machine lue
Nouveaux points à corriger	Une nouvelle entrée dans la liste À corriger, avec un seuil

Nouveaux points à corriger est le seul sujet avec un seuil : Seulement ce qui est exploité, Cela, et ce qui est probable ou Tout ce qui est trouvé. La première lecture d’un bureau ordinaire produit une centaine de constats, et un canal qui les transmet tous est un canal que quelqu’un finit par couper.

4. Créer une alerte

Dans le menu, ouvrez Alertes et appuyez sur Nouvelle alerte.
Dans Quoi, choisissez le sujet. Pour Nouveaux points à corriger, choisissez le seuil dans Lesquelles.
Dans Quels appareils, cochez les types d’appareils qui vous intéressent, par exemple Caméra et NVR. Aucune case cochée signifie tous.
Dans Où, choisissez le site.
Dans À, choisissez le serveur qui l’enverra.
Dans Quand, choisissez Me prévenir tout de suite ou Dans le résumé quotidien.
Appuyez sur Enregistrer. Le tableau affiche ACTIVE, QUOI, QUELS APPAREILS, OÙ, À et QUAND ; utilisez Modifier pour changer une règle.

Les alertes réglées sur le résumé quotidien arrivent ensemble une fois par jour. Définissez l’heure de chaque serveur sous Résumé quotidien, sur la même page. Si le PC est éteint à cette heure-là, le résumé part dès son retour.

5. Un ensemble de départ qui reste discret

Pour un petit bureau typique, par site :

Alerte	Quand
Nouveaux points à corriger, Seulement ce qui est exploité	Me prévenir tout de suite
Défenses désactivées, tous types d’appareils	Me prévenir tout de suite
Cibles surveillées hors ligne	Me prévenir tout de suite
Appareils qui ne répondent plus, uniquement serveurs, NAS, caméras, NVR	Me prévenir tout de suite
Nouveaux appareils	Dans le résumé quotidien
Ports nouvellement ouverts	Dans le résumé quotidien
Changements de logiciels	Dans le résumé quotidien

La logique : tout de suite uniquement pour ce qui demande une action aujourd’hui, tout le reste dans un seul e-mail quotidien que vous lisez avec votre café.

Astuce : « Appareils qui ne répondent plus » pour tous les types est l’alerte la plus bruyante que vous puissiez créer : chaque portable qui rentre à la maison compte. Limitez-la avec Quels appareils aux équipements qui devraient toujours être allumés.

6. Surveiller ce qui doit toujours répondre

Les alertes « ne répondent plus » dépendent des scans. Pour les quelques éléments qui ne doivent jamais tomber (la ligne Internet, le serveur de fichiers, la boutique en ligne du client), ajoutez une cible dans Surveillance :

Ouvrez Surveillance.
Saisissez l’Adresse ou nom, choisissez la Méthode (Ping, Port TCP ou HTTP) et, si nécessaire, le Port.
Appuyez sur Surveiller.

Les cibles sont vérifiées environ une fois par minute tant que votre session Windows est ouverte. Une cible HTTP est considérée comme en ligne quand le code de réponse est inférieur à 500. Associez-la à l’alerte Cibles surveillées hors ligne.

7. Faire taire un appareil sans le perdre

Une machine de test qui s’allume et s’éteint toute la journée ne mérite pas une alerte à chaque fois.

Sur sa fiche, appuyez sur Modifier… et activez Silencieux (« Aucune notification pour celui-ci »).
Pour plusieurs appareils à la fois, utilisez Sélectionner sur la liste des appareils, puis Modification groupée, champ Alertes coupées.

Un appareil rendu muet reste dans le tableau et dans la chronologie ; il n’envoie simplement plus d’alertes.

8. Notifications Windows

En plus des alertes, l’agent peut afficher des notifications Windows pour un nouvel appareil, une cible surveillée hors ligne ou de retour, et de nouveaux constats. Activez-les ou désactivez-les dans Paramètres, Comportement, Notifications.

Vérifier que tout a fonctionné

Chaque serveur affiche « Dernière tentative …, envoyé » après Envoyer un test.
Ce qui a été envoyé, sur la page Alertes, liste les messages réellement remis, ainsi que les échecs avec leur raison.
Envoyer ce qui est en attente force l’envoi immédiat des messages en attente ; « Rien à envoyer : chaque règle est à jour avec ce qui s’est passé » signifie que vous êtes à jour.

En cas de problème

« Pour envoyer des alertes, il faut d’abord un serveur de messagerie ou un webhook ». Ajoutez-en un dans Paramètres, Serveurs de messagerie et webhooks.
Le test échoue. Vérifiez ensemble le serveur, le port et le chiffrement (une incohérence entre port et chiffrement est le coupable habituel), puis l’utilisateur et le mot de passe, puis si le fournisseur autorise le SMTP depuis des applications.
« Ce n’est pas une adresse http ou https ». L’URL du webhook doit commencer par http:// ou https://.
« Aucun destinataire ». Le serveur de messagerie a besoin d’au moins une adresse dans À.
Les alertes arrivent avec des heures de retard. Le PC était éteint ou aucune session n’était ouverte. Les alertes partent quand l’agent se remet à fonctionner.
Aucune alerte pour quelque chose qui s’est passé la semaine dernière. Les alertes partent du moment où vous les créez.
Pas de « Défenses désactivées » alors que l’antivirus est désactivé. L’alerte se déclenche sur un changement vu par une lecture. Si la machine n’a jamais été lue avec la défense activée, il n’y avait aucune transition à signaler ; le constat se trouve dans À corriger.

Ensuite

Transformez les mêmes données en quelque chose que vous pouvez remettre : Des rapports pour vos clients.

← Tous les tutoriels Guide des fonctionnalités → Le produit: NetBlade Windows →