Infrastructure de logs distribuée avec Raspberry Pi et OpenWRT

Le problème

Centraliser les logs est une bonne pratique universelle. Mais dans certains environnements — sites industriels isolés, réseaux OT, edge computing — cela devient rapidement une contrainte structurelle.

Les architectures classiques présentent plusieurs limites :

•Dépendance réseau forte — si le lien WAN tombe, les logs disparaissent

•Point de défaillance unique — un collecteur central compromis, c'est l'ensemble des logs qui est perdu

•Coûts d'infrastructure élevés — bande passante, serveurs centraux, licences

Notre approche : distribuer l'intelligence au terrain

Plutôt que de rapatrier tous les logs vers un centre, nous avons conçu une architecture où chaque site traite localement ce qu'il peut traiter.

La stack retenue :

•Raspberry Pi — faible consommation (5W), coût réduit (< 100 €), robuste

•OpenWRT — OS réseau léger, flexible, adapté aux environnements contraints

•Agents de collecte — Fluent Bit (très léger) ou Vector selon le volume

Chaque nœud de site est capable de :

•Collecter localement les logs (syslog, journald, agents applicatifs)

•Bufferiser jusqu'à plusieurs heures de logs en cas de coupure réseau

•Appliquer des règles de filtrage et d'enrichissement localement

•Remonter les données de manière sécurisée (TLS mutuel) dès que la connectivité est rétablie

Une interface de management centralisée

Malgré la distribution, la supervision reste centralisée. Une interface web permet de :

•Superviser l'état de chaque nœud en temps réel

•Gérer les configurations à distance (push de config via SSH ou API)

•Visualiser les flux et détecter les anomalies

•Déclencher des alertes en cas de silence prolongé d'un site

Cas d'usage validés

•Sites industriels isolés — usines avec connectivité WAN intermittente

•Environnements OT — réseau de supervision d'équipements industriels (SCADA, ICS)

•Edge computing sécurisé — traitement de données sensibles qui ne doivent pas quitter le site

Ce que cela change

On ne dépend plus du réseau pour sécuriser les logs. Un site isolé reste un site auditable.

> La cybersécurité commence là où le réseau s'arrête.