Większość MŚP odkrywa, że ich infrastruktura IT nie działa, gdy ktoś w księgowości próbuje wystawić fakturę o 9 rano. Nie wcześniej. Monitoring infrastruktury to nie zabawka dla działów IT z dużych korporacji — to znacznie tańsza wersja telefonów w sobotni wieczór.
U jednego z naszych klientów — 28-osobowej firmy produkcyjnej z branży meblarskiej — w sobotę po południu dysk z bazą Comarch Optima zapełnił się logami transakcyjnymi. Nikt tego nie zauważył. W poniedziałek o 7:30 zaczęły się telefony, bo produkcja stała — nie dało się wystawić WZ ani odebrać zamówień z B2B. Stracili około pół dnia produkcji, do tego kilka pilnych wysyłek poszło z opóźnieniem. Łączny koszt incydentu, łapaniny i nadgodzin: w okolicach 14 tysięcy złotych. Alert mailowy o przekroczeniu 80% zapełnienia dysku kosztowałby ich zero złotych miesięcznie — bo postawiliśmy go na darmowym narzędziu, którym i tak już mieli na innym serwerze.
Monitoring nie chroni przed awarią. Skraca czas między „coś się dzieje" a „ktoś wie, że coś się dzieje". To często różnica między incydentem na pół godziny a postojem na pół dnia.
Po pierwsze: dyski, RAM, CPU
Lista rzeczy, które trzeba mierzyć na serwerze ERP-owym, na serwerze plików i na firewallu jest krótka. Zapełnienie dysków (z osobna na każdym wolumenie — system, baza, logi transakcyjne, kopie). Wykorzystanie pamięci. Średnie obciążenie procesora. Czas pracy maszyny (nagłe restarty zwykle coś znaczą). I podstawowe „czy maszyna w ogóle żyje" — czyli ping co minutę.
To są rzeczy, które masz za darmo w każdym narzędziu monitoringowym z ostatnich 15 lat. Zabbix, Prometheus, Uptime Kuma, Checkmk Raw — wszystkie pokażą Ci kropkę nad „i" w 2 godziny pracy. Problem MŚP polega na tym, że nikt tego po prostu nie ustawia. Serwer kupiony 4 lata temu pracuje „dopóki nie padnie", a wnioski wyciąga się po fakcie.
- Zapełnienie dysków — alert na 80%, krytyczny na 90%.
- Wolne miejsce na partycji z bazą danych — oddzielny próg, niższy niż dla systemu.
- Czas pracy maszyny — jeśli serwer zrestartował się sam, ktoś powinien o tym wiedzieć tego samego dnia.
- Temperatury i stan macierzy RAID — kontroler sam Ci nie napisze maila, jeśli nikt go nie skonfiguruje.
Backupy, które naprawdę się robią
Najczęstsza wpadka, jaką widzimy: backupy „są", ale nikt nie sprawdza, czy ostatni faktycznie się wykonał. Polityka 3-2-1 nie pomoże, jeśli zadanie kopii padło z błędem 6 miesięcy temu i nikt nie zauważył, bo nikt nie czyta logów Veeam.
Monitoring backupu to dosłownie trzy rzeczy: czy zadanie się uruchomiło, czy zakończyło sukcesem, i ile zajmuje (nagły skok czasu albo objętości to sygnał, że coś się dzieje — np. ransomware szyfrujący pliki). Większość narzędzi backupowych ma webhooka albo wysyła maile statusowe. Wystarczy je przekierować do kogoś, kto czyta skrzynkę co rano, albo do prostego dashboardu, który świeci na czerwono, gdy coś nie zaszło.
- Każde zadanie kopii ma wpis w „kalendarzu monitoringu" — wiadomo, kiedy się robi i kiedy ma być gotowe.
- Brak raportu sukcesu = alarm, nie cisza.
- Raz na kwartał ktoś odtwarza losowy plik z kopii. Bez tego nie wiesz, czy backup działa, wiesz tylko, że zadanie się kończy.
Usługi widoczne dla zespołu
Druga warstwa monitoringu to rzeczy, które ludzie w firmie zauważają jako pierwsi: ERP, poczta, drukarki sieciowe, VPN, dostęp do plików. Sztuka polega na tym, żeby IT (wewnętrzne albo outsourcing) wiedziało o problemie zanim zadzwoni pierwszy użytkownik.
Najprostszy mechanizm: syntetyczne sprawdzanie. Co 2 minuty skrypt loguje się do ERP-a kontem testowym i wystawia próbny dokument na koncie sandbox. Co 5 minut sprawdza, czy serwer pocztowy odpowiada na port 25 i 993. Co minutę sprawdza, czy strona logowania do firmowego portalu zwraca HTTP 200. Każde z tych „pingów" kosztuje minuty pracy do skonfigurowania, a oszczędza godziny telefonów typu „nie mogę się zalogować".
U klienta z branży dystrybucji (52 osoby, enova365 + WMS) wprowadziliśmy syntetyczny test logowania do WMS. Pierwsze 4 alerty wykryły, że licencja do bazy SQL Server Express dobiega limitu 10 GB — co kiedyś by skończyło się jednodniowym postojem magazynu, a tym razem zostało rozwiązane w piątek wieczorem, zanim ktokolwiek to zauważył.
Bezpieczeństwo: tylko sensowne sygnały
Monitoring bezpieczeństwa to obszar, w którym najłatwiej przepłacić i najłatwiej zalać się szumem. Jeśli zaczniesz słuchać każdego zdarzenia, jakie generuje Windows Defender albo firewall, w tydzień nikt nie będzie już czytał maili z alertami.
W skali MŚP w pierwszej kolejności warto pilnować trzech sygnałów: nieudanych prób logowania na konta uprzywilejowane (admin domeny, admin ERP), nowych adresów logowania do Microsoft 365 (kraj inny niż Polska to czerwone światło) i statusu antywirusa na końcówkach (czy w ogóle działa i czy bazy są aktualne). To są sygnały, które realnie ratują firmy przed phishingiem i ransomware. Reszta — analiza pakietów, korelacja zdarzeń SIEM, threat intelligence — ma sens, ale dopiero w firmach z osobnym etatem na bezpieczeństwo.
Kto odbiera alarmy i kiedy
Najlepiej skonfigurowany monitoring nic nie da, jeśli alerty trafiają do skrzynki ogólnej, do której nikt nie zagląda. Tak samo — alerty wysyłane do całego zespołu o 2 w nocy bardzo szybko trafiają na regułę „odsiej do folderu". Trzeba ustalić zasady, nawet jeśli to tylko jedna strona dokumentu.
- Lista alertów krytycznych, które wybudzają w nocy (zwykle: padł serwer ERP, padł firewall, podejrzenie ransomware). Wszystko inne czeka do rana.
- Imię i nazwisko osoby pierwszego kontaktu — i osoby zastępczej na urlop.
- Kanał alertu — najlepiej SMS lub push (Slack, Teams, dedykowana aplikacja). Mail jako kanał alertu krytycznego nie działa.
- Co robić, gdy alert się powtarza co 5 minut — kto go potwierdza i kto eskaluje.
Czym monitorować bez przepłacania
Stała opłata 800–1500 zł miesięcznie za narzędzie SaaS do monitoringu w 20-osobowej firmie zwykle nie ma sensu. Te same funkcje dostaniesz w darmowych narzędziach, jeśli ktoś poświęci 2–3 dni na konfigurację i potem ma plan, jak je aktualizować.
Dla większości MŚP wystarcza zestaw: Uptime Kuma do syntetycznych testów dostępności, Zabbix lub Checkmk Raw na serwerach Windows/Linux, wbudowane raporty z Veeam/Acronis na backup, i jedna lub dwie reguły w Microsoft 365 Defender na podejrzane logowania. Razem: kilkaset złotych jednorazowo na konfigurację, zero stałych opłat licencyjnych. Cały sens jest w tym, żeby to pilnowała jedna osoba — własna albo dostawca usług IT — która wie, co znaczą poszczególne wskaźniki.
Jeśli czujesz, że Twoja firma jest „za mała", żeby się tym zajmować, ale jednocześnie awaria ERP na pół dnia kosztowałaby Cię tyle, ile cała infrastruktura miesięcznie — to znaczy, że to dokładnie ten moment. Zacznij od jednego serwera i jednego backupu, a w pół roku dojdziesz do reszty.
Monitoring nie chroni przed awarią. Skraca czas między „coś się dzieje" a „ktoś o tym wie" — i to zwykle decyduje o kosztach incydentu.