Obiettivo
Accorgersi in anticipo del degrado o del guasto di un componente e avere traccia degli eventi di sicurezza, con pochi avvisi ma significativi.
Architettura
Pulse monitora in tempo reale lo stato del cluster Proxmox: nodi, VM, container e storage. Wazuh raccoglie i log e segnala gli eventi di sicurezza, OpenVAS esegue scansioni periodiche delle vulnerabilità e OpenCanary funge da honeypot per rilevare tentativi di accesso non autorizzati. Controlli periodici su aggiornamenti, backup e accessi completano il quadro.
Dettagli
Cosa viene monitorato
- stato di nodi, VM e container, con uso di CPU, memoria e disco (Pulse);
- salute dei pool di storage, stato SMART dei dischi e stato dell'UPS;
- esito dei job di backup;
- eventi di sicurezza e log centralizzati (Wazuh);
- vulnerabilità note sui sistemi esposti (OpenVAS) e tentativi di accesso non autorizzati (OpenCanary).
Principi per gli avvisi
Pochi avvisi, ma sempre utili: ognuno indica che cosa non va, ha una gravità e rimanda a una procedura di verifica. Gli avvisi che non portano ad alcuna azione vengono eliminati o ridotti. Le soglie partono da valori prudenti e vengono riviste dopo i primi risultati.
Stato attuale
- Pulse è attivo e monitora il cluster in tempo reale.
- Wazuh, OpenVAS e OpenCanary sono installati ma restano spenti la maggior parte del tempo: si accendono a rotazione per le verifiche periodiche, coerentemente con la baseline di sicurezza descritta in Hardening di SSH su Debian: checklist pratica.
- Canale di notifica: email per gli avvisi ordinari, un bot Telegram dedicato per quelli critici (così da accorgersene anche lontano da un computer).