1. Réduire avant d'envoyer #
Le premier argument économique.
Les leviers #
| Levier | Processeur | Gain typique | Risque |
|---|---|---|---|
| Supprimer les niveaux inutiles | Severity Filter | Fort sur les applications verbeuses | Perdre le DEBUG utile en incident : le garder en stockage objet |
| Dédupliquer | Deduplicate Logs | Fort sur les erreurs en boucle | Compter les occurrences (champ de comptage) |
| Supprimer des champs | Delete Fields | Moyen | Retirer un champ utilisé par un tableau de bord |
| Échantillonner | Sampling | Proportionnel au taux | Fausser des comptages : à réserver aux logs de succès |
| Convertir des logs en métriques | Extract Metric / Count | Très fort | Perte du détail : garder un échantillon |
Bonne Pratique : Mesurez avant de couper : le débit par processeur affiché sur le pipeline donne le gain réel de chaque règle, et les recommandations de Bindplane (Pipeline Intelligence) signalent les sources où une réduction est possible.
2. Protéger les données #
Masquer au plus près de la source.
Masquage #
Le processeur Mask Sensitive Data remplace par une valeur masquée les motifs reconnus (adresses e-mail, numéros de carte bancaire, numéros de téléphone, adresses IP, numéros de sécurité sociale) ou vos propres expressions régulières, sur le corps du log et sur les attributs choisis.
{"msg":"paiement refusé","user":"alice@example.com","card":"4111 1111 1111 1111"}
# après masquage
{"msg":"paiement refusé","user":"[fqdn_masked]","card":"[credit_card_masked]"}À savoir : Le format exact des valeurs masquées dépend des règles choisies : vérifiez-le par un snapshot après le processeur.
Erreur Courante : Masquer seulement dans le backend ne suffit pas : la donnée sensible a déjà traversé le réseau et a peut-être été stockée. Placez le masquage dans le collecteur de bordure, avant toute destination.
3. Router #
Une collecte, plusieurs destinations.
Routage #
Une configuration peut envoyer vers plusieurs destinations, chacune avec ses propres processeurs. Le connecteur de routage va plus loin : il aiguille chaque enregistrement selon une condition (attribut, source, contenu) vers une branche différente du pipeline.
- SIEM : seulement les logs de sécurité (authentification, pare-feu), déjà masqués.
- Outil d'observabilité : logs applicatifs filtrés.
- Stockage objet (S3, GCS) : tout, à faible coût, pour réhydrater plus tard en cas d'enquête.
Bonne Pratique : Une migration de backend se fait sans risque en ajoutant la nouvelle destination à côté de l'ancienne, en comparant pendant quelques semaines, puis en retirant l'ancienne par un simple rollout.
