Guide technique ANYSYS · vérifié le 26 octobre 2026
Veeam ONE 13 : alarmes, notifications et réduction du bruit
Les alarmes Veeam ONE qui comptent pour la santé des sauvegardes et la détection de malware, la façon de les rendre exploitables (suppression, modélisation, exclusions, politiques de notification) et les canaux d’envoi e-mail, SNMP, Syslog et ServiceNow, pour Veeam ONE 13.1.
01 / Périmètre
Périmètre et fonctionnement
Version ciblée : Veeam ONE 13.1 (build 13.1.0.7034, correctif P0 13.1.0.7233). Les alarmes se configurent dans Veeam ONE Client, vue Alarm Management. Les noms d’alarmes sont cités en anglais, tels qu’ils apparaissent dans la console.
Principe : après connexion des serveurs, Veeam ONE compare en continu l’état des objets à la configuration des alarmes. Quand un critère est rempli, l’alarme se déclenche avec sa sévérité et peut lancer une action (e-mail, trap SNMP, script). Quand la condition disparaît, Veeam ONE met à jour son statut.
02 / Modèle
Le modèle d’alarme
- Type : chaque alarme s’applique à un type d’objet (serveur de sauvegarde, dépôt, VM, hôte...). Le type ne peut plus être changé après création : dupliquez plutôt que de modifier.
- Règles : jusqu’à 8 par alarme, de nature différente (état, événement, autre alarme, compteur de ressources), liables entre elles.
- Sévérité : quatre niveaux, Error, Warning, Resolved et Information. Deux règles sur le même compteur (par exemple 70 % en Warning et 75 % en Error) donnent une alerte graduée.
- Affectation : onglet Assignment, avec une liste d’objets inclus et une liste d’exclusions ; un même objet peut être retiré de plusieurs alarmes d’un coup via Define alarms.
Une alarme peut aussi être créée depuis un événement de l’onglet Tasks & Events ou depuis un compteur d’un graphe de performance : Veeam ONE pré-remplit alors la règle correspondante.
03 / Socle
Les alarmes clés de la sauvegarde
Les alarmes prédéfinies suivantes forment le socle que nous activons et faisons arriver chez un humain. Seuils et sévérités sont les valeurs par défaut documentées pour la version 13.
| Alarme | Condition par défaut | Sévérité | Pourquoi la garder |
|---|---|---|---|
| Backup job state (et variantes agent, copie, fichier...) | Session en Warning ou Failed | Warning / Error | Échec de job : premier signal de perte de protection. |
| VM with no backups | Aucun point de restauration depuis 24 h | Warning | Capte les VM sorties d’un job par erreur de périmètre. |
| Computer with no backup | Aucune sauvegarde depuis plus de 24 h | Warning | Même logique pour les agents. |
| Backup Copy RPO | Copie manquante selon le planning | Error | Contrôle la deuxième copie de la règle 3-2-1. |
| Backup repository free space | Moins de 10 % libre / moins de 5 % | Warning / Error | Un dépôt plein fait échouer tous les jobs. |
| Immutability state | Immutabilité désactivée | Warning | Une immutabilité coupée est un signal d’attaque ou d’erreur. |
| Immutability change tracking | Période d’immutabilité modifiée | Warning | Trace des changements de rétention immuable. |
| Job disabled | Désactivé depuis plus de 12 h | Warning | Les jobs oubliés désactivés après maintenance. |
| Unusual job duration | Plus de 150 % de la durée moyenne | Warning | Fenêtre de sauvegarde qui dérive. |
| Backup Server security & compliance state | Bonnes pratiques non implémentées | Error | Durcissement VBR qui régresse. |
| Veeam Backup & Replication server data collection delay | Seuils de la règle Data collection consistency | Warning / Error | Sans collecte, les autres alarmes se taisent. |
04 / Malware
Signaux malware et ransomware
Veeam ONE 13 remonte plusieurs signaux liés aux malwares. Ils n’ont pas la même nature et ne doivent pas être traités de la même manière.
| Alarme | Ce qu’elle mesure | Sévérité |
|---|---|---|
| Potential malware in backups | Fichiers détectés infectés (Error) ou suspects (Warning) dans les sauvegardes | Error / Warning |
| Potential infrastructure malware activity | Activité malveillante détectée par le serveur VBR | Error / Warning |
| Suspicious incremental backup size | Un des 3 derniers incréments au-dessus de 150 % du seuil configuré | Warning |
| Veeam malware detection activity state | Analyse d’entropie en ligne ou d’activité du système de fichiers désactivée | Error |
| Veeam malware detection change tracking | Modification des réglages de détection (sensibilité, extensions, mises à jour de définitions) | Warning |
| Veeam malware detection exclusions change tracking | Workload ajouté ou retiré des exclusions | Error |
| Possible ransomware activity (vSphere) | CPU moyen > 70 % et écriture datastore ou émission réseau > 40 Mo/s pendant 5 minutes | Warning |
| Possible ransomware activity (Hyper-V) | Total Run Time > 70 % et écriture disque virtuel ou envoi réseau > 40 Mo/s pendant 5 minutes | Warning |
Les trois alarmes de change tracking et activity state sont les plus utiles en cas de compromission : un attaquant qui prépare un chiffrement commence souvent par baisser les défenses. Elles doivent partir vers un canal surveillé hors des heures de bureau. Possible ransomware activity est une heuristique de performance : elle se déclenche aussi sur une VM de base de données chargée ou un serveur de fichiers en copie massive. Modélisez-la avant de l’envoyer en astreinte.
05 / Bruit
Réduire le bruit sans perdre le signal
Supprimer pendant les opérations attendues
- Veeam Backup activity : suspend l’alarme pour les VM en cours de sauvegarde ou de réplication, et leurs hôtes et datastores. Valable pour les alarmes vSphere et Hyper-V, avec un serveur VBR connecté. Attention : sur Host CPU Usage, c’est tout l’hôte qui est suspendu dès qu’une VM est traitée.
- Snapshot creation et Snapshot deletion : vSphere uniquement.
- Planning hebdomadaire : plusieurs plages par jour possibles, sans chevauchement.
Une alarme supprimée n’envoie rien et n’exécute aucune action ; si l’objet est toujours en défaut à la fin de la période, l’alarme se déclenche à ce moment.
Modéliser avant d’activer
Le menu Modeling de Veeam ONE Client applique les réglages courants à l’historique (semaine, mois ou année) et estime le nombre d’alarmes par sévérité, pour les objets VBR, l’infrastructure virtuelle et Cloud Director. Nous l’utilisons systématiquement après un changement de seuil.
Regrouper les e-mails
- Par défaut, toutes les alarmes prédéfinies envoient un e-mail au groupe par défaut à chaque changement de sévérité, et la politique Mission Critical (un e-mail par événement) s’applique à tous les objets.
- La politique Other envoie un résumé périodique (30 minutes par défaut). Il faut retirer l’objet de Mission Critical avant de lui appliquer Other.
- Pour couper les e-mails de retour à la normale : Server Settings, onglet Notification Policy, décocher Send notification when alarm metrics are back to normal.
06 / Canaux
E-mail, SNMP, Syslog et ServiceNow
| Canal | Mise en place | Point d’attention |
|---|---|---|
| SMTP, fréquence (politique), modèle, destinataires, puis option alarmes résolues | Avec OAuth et un alias, l’expéditeur affiché est l’ID utilisateur. | |
| SNMP | Traps vers une console tierce, condition définie dans l’alarme | Voir la page Configuring SNMP Traps de votre version. |
| Syslog | Action Send Syslog message ajoutée alarme par alarme, condition Any state, Errors and warnings, Resolved ou Errors only | Avant 13.1 : envois perdus après inactivité et alarmes non transmises, corrigé en 13.1. |
| ServiceNow | Action Create ServiceNow incident ajoutée alarme par alarme | Délai jusqu’à 40 minutes avec beaucoup d’alarmes non résolues ; échec au-delà de 100 caractères corrigé en 13.1. |
Syslog et ServiceNow ne s’activent pas globalement : prévoyez la liste des alarmes à câbler et vérifiez-la après chaque import de configuration. Pour un SIEM, Syslog sur les alarmes de malware, d’immutabilité et de conformité est le minimum.
07 / Remédiation
Remédiation et acquittement
Veeam ONE peut exécuter des actions de remédiation prédéfinies sur certaines alarmes, ou des scripts personnalisés. Les actions sur l’infrastructure de sauvegarde exigent Analytics service sur les serveurs VBR.
- Une seule action prédéfinie par niveau de sévérité ; un ou plusieurs scripts personnalisés possibles.
- Mode Manual par défaut pour les actions prédéfinies : un opérateur approuve. Le mode Automatic exécute sans validation.
- Trois tentatives ; en cas de succès l’alarme passe en Acknowledged, sinon elle reste active.
L’acquittement d’une alarme Error ou Warning la passe en Acknowledged et arrête ses actions : c’est le geste qui signale aux collègues que le sujet est pris. Les alarmes Intelligent Diagnostics proviennent de l’analyse des journaux VBR par signatures (module PowerShell Veeam requis sur VBR).
08 / Vérification
Vérifier le dispositif
- 01
Après installation ou mise à niveau en 13.1 : contrôler dans Alarm Management que les alarmes du tableau de la section 03 sont actives et affectées. La 13.1 corrige des alarmes qui cessaient de se déclencher après un export/import ou après la tâche de rétention de la base.
- 02
Lancer une modélisation sur un mois pour les alarmes modifiées et comparer au volume que l’équipe peut traiter.
- 03
Vérifier la chaîne e-mail (SMTP, destinataires) et, pour Syslog ou ServiceNow, qu’un événement de test arrive dans l’outil cible.
- 04
Vérifier que Veeam Backup & Replication server data collection delay est actif : une collecte arrêtée rend toutes les autres alarmes muettes. Sur les installations encore en collecte master-agent, Veeam signale de fausses alarmes d’état de connexion et recommande Analytics service.
- 05
Automatiser un relevé quotidien des alarmes Error et Warning via l’API REST : voir API REST Veeam ONE et PowerShell.
09 / Références
Sources
- Veeam ONE : How Alarms Work
- Veeam ONE : Alarm Severity
- Veeam ONE : Specify Alarm Rules
- Veeam ONE : Alarm Assignment Scope
- Veeam ONE : Veeam Backup & Replication Alarms (liste)
- Veeam ONE : Alarm Rules for Veeam Backup & Replication
- Veeam ONE : VMware vSphere Alarms
- Veeam ONE : Microsoft Hyper-V Alarms
- Veeam ONE : Configure Alarm Suppression Settings
- Veeam ONE : Modeling Alarm Number
- Veeam ONE : Alarm Notification Options
- Veeam ONE : Configure Notification Frequency
- Veeam ONE : Configuring Syslog Alarms
- Veeam ONE : Configuring ServiceNow Incidents
- Veeam ONE : Alarm Remediation Actions
- Veeam ONE 13.1 Release Notes