Deux pipelines, un seul parc
Votre équipe SRE instrumente chaque service pour la latence, les erreurs et la saturation. Votre équipe sécurité instrumente les mêmes services pour l'authentification, les accès et l'exécution de processus.
Mêmes hôtes. Souvent les mêmes agents. Deux chemins de collecte, deux factures de stockage, et deux réponses à la question de ce qui s'est passé à 14h32.
C'est ce dernier point qui coûte cher. Pas le stockage. Pendant un incident, vous ne voulez pas que deux équipes réconcilient des horodatages venant de deux systèmes avant que quiconque puisse agir.
Ce qu'il faut mutualiser
La collecte et le transport. Un agent sur l'hôte, un schéma sur le fil, un transport. OpenTelemetry pour la collecte, Kafka au milieu, et chaque consommateur prend ensuite ce dont il a besoin.
Les événements sont réellement les mêmes. Une exécution de processus est un signal de performance ou un signal de sécurité selon qui le lit. Le collecter deux fois n'est une décision que personne n'a prise : cela s'est accumulé.
Ce qu'il ne faut pas mutualiser
La rétention et les accès. Les données de sécurité ont des obligations de conservation que les données opérationnelles n'ont pas, et des restrictions d'accès que les données opérationnelles ne devraient pas hériter. Fusionnez le pipeline, pas la politique.
J'ai vu la fusion aller trop loin exactement une fois, et le résultat fut un SRE d'astreinte disposant d'un accès permanent aux journaux d'authentification de tout le parc. Personne ne l'avait voulu. C'est tombé d'une consolidation de stockage.
Le chiffre que je ne vous donnerai pas
Vous trouverez des articles annonçant un pourcentage précis d'économies obtenu en convergeant ces pipelines. Je ne vous en donnerai pas, parce que cela dépend entièrement du recouvrement actuel de vos deux pipelines, et que ce recouvrement varie énormément d'un parc à l'autre.
Mesurez-le. Listez ce que chaque pipeline collecte, par source et par type d'événement. Le recouvrement est votre plafond. La plupart des équipes font cela en une après-midi, et le résultat convainc davantage que n'importe quelle affirmation de ma part.
La difficulté n'est pas technique
Elle tient à ce que ces deux équipes ont des astreintes différentes, des budgets d'outillage différents et des définitions différentes de l'urgence. La fusion des pipelines représente une semaine d'ingénierie. L'accord sur qui possède le schéma prend un trimestre.
Commencez par là. La technique est la moitié facile.