Mise en place d’une solution de supervision, d’une architecture de site web en haute disponibilité du STEG

Ce mémoire porte sur la mise en place d’une solution de supervision et d’une architecture de site web en haute disponibilité pour la Société Tunisienne de l’Électricité et du Gaz (STEG). Il s’adresse aux étudiants et professionnels en informatique, réseaux et administration système, ainsi qu’à toute personne intéressée par la gestion de la disponibilité et de la sécurité des infrastructures web critiques.

La question

Le travail s’intéresse à un problème crucial rencontré par la STEG : comment garantir la disponibilité continue et la sécurité de son site web face à des risques tels que la surcharge des serveurs et les attaques potentielles. L’architecture existante du site web était non sécurisée, non supervisée et sujette à des indisponibilités. La question posée est donc : comment répartir efficacement les charges pour assurer une haute disponibilité et comment mettre en place une supervision fiable pour garantir la sécurité et la performance du site ?

Concepts de base

Pour comprendre la problématique, il faut d’abord saisir plusieurs notions clés :

• Haute disponibilité : capacité d’un système à rester accessible et fonctionnel sans interruption, même en cas de panne d’un composant.
• Supervision : technique de surveillance continue des systèmes informatiques, notamment des réseaux et serveurs, pour détecter et anticiper les problèmes. Elle inclut la surveillance de la disponibilité des services, des débits, de la sécurité et du contrôle des flux.
• Load balancing (répartition de charge) : mécanisme qui distribue le trafic réseau entre plusieurs serveurs afin d’éviter la surcharge d’un seul serveur et d’optimiser les performances.
• PFsense : distribution personnalisée de FreeBSD utilisée comme routeur et pare-feu. Elle offre des services essentiels comme le load balancing via HAproxy et la sécurité via Snort.
• HAproxy : service intégré à PFsense qui permet l’équilibrage de charge et assure la haute disponibilité en maximisant le débit réseau.
• Snort : système de détection d’intrusion capable d’analyser le trafic réseau en temps réel pour identifier des comportements suspects ou malveillants.
• Cacti : logiciel de supervision réseau qui collecte, stocke et représente graphiquement des données sur la performance et la disponibilité des équipements et services réseau. Il utilise des protocoles comme SNMP et des outils comme RRDTool pour la gestion des données.

Approche

La démarche adoptée dans ce mémoire comprend plusieurs étapes :

• Analyse de l’existant : identification des faiblesses de l’architecture actuelle du site web STEG, notamment son manque de sécurité, de supervision et de disponibilité.
• Choix des outils : sélection de PFsense pour la gestion du pare-feu et du load balancing, avec HAproxy pour la répartition de charge et Snort pour la sécurité, ainsi que Cacti pour la supervision réseau.
• Installation et configuration : mise en place de PFsense sur les serveurs, installation des packages HAproxy et Snort, et configuration pour assurer la répartition de charge entre deux serveurs web. Installation de Cacti sur une plateforme Ubuntu avec configuration des protocoles SNMP et RRDTool pour la collecte et la représentation des données.
• Tests : vérification du bon fonctionnement de PFsense avec HAproxy, notamment la répartition effective des charges entre les serveurs, et validation des capacités de supervision de Cacti par le suivi du trafic réseau, de l’utilisation CPU, du nombre de processus, et par l’usage de plugins comme Ntop, Weathermap et Thold.

Résultats

Le mémoire montre que la solution mise en place permet :

• Une répartition efficace des charges entre les deux serveurs web grâce à HAproxy, garantissant ainsi une meilleure disponibilité du site web STEG.
• Une sécurité renforcée par l’intégration de Snort dans PFsense, capable d’analyser le trafic en temps réel et de détecter des intrusions potentielles.
• Une supervision complète et dynamique du réseau et des serveurs via Cacti, avec des représentations graphiques détaillées du trafic, de la charge CPU, et des processus en cours, ainsi que des alertes par email en cas de panne d’équipement grâce au plugin Thold.
• La possibilité de visualiser la charge du réseau sur plusieurs liens grâce au plugin Weathermap, facilitant ainsi la gestion proactive du réseau.

Limites et questions ouvertes

Le mémoire ne détaille pas certaines limites potentielles, mais on peut noter que :

• La solution repose sur deux serveurs web ; la montée en charge au-delà de cette configuration n’est pas abordée.
• Les aspects de maintenance à long terme, de mises à jour et de gestion des incidents ne sont pas développés.
• La gestion des attaques complexes ou ciblées au-delà de la détection basique par Snort n’est pas explorée.
• La supervision est centrée sur les équipements et le trafic, mais l’analyse approfondie des logs applicatifs ou des performances spécifiques du site web n’est pas mentionnée.

Glossaire

• PFsense : distribution FreeBSD utilisée comme routeur et pare-feu, offrant des services de sécurité et de gestion du trafic.
• HAproxy : service d’équilibrage de charge intégré à PFsense pour assurer la haute disponibilité.
• Snort : système de détection d’intrusion analysant le trafic réseau en temps réel.
• Cacti : logiciel de supervision réseau permettant la collecte et la visualisation graphique des données de performance.
• Supervision : surveillance continue des systèmes et réseaux pour garantir leur disponibilité et sécurité.
• Load balancing : répartition du trafic réseau entre plusieurs serveurs pour éviter la surcharge.
• SNMP : protocole de gestion de réseau utilisé pour collecter des informations sur les équipements.
• RRDTool : outil de stockage et de représentation graphique des données de performance.