Odpověď hned: Monitoring IT infrastruktury má hlídat pracovní stanice, servery, síť, zálohy, firemní služby a bezpečnostní události. Nestačí sbírat zelené grafy: každý alarm musí říkat, co přestalo fungovat, koho se to týká a kdo má reagovat.
Monitoring má odpovědět na čtyři otázky
Fungují lidem nástroje, které potřebují k práci? Má firma obnovitelná data? Blíží se problém s kapacitou, podporou zařízení nebo platností certifikátu? A kdo převezme alarm, když se něco pokazí?
Praktický monitoring upozorní například na to, že:
- záloha se několik plánovaných běhů neprovedla;
- systémový disk se rychle plní;
- antivirus nebo EDR přestal hlásit stav;
- NAS má degradované diskové pole;
- pobočka ztrácí spojení s centrálou;
- web odpovídá, ale přihlášení do aplikace nefunguje;
- TLS certifikát se neobnovil;
- vznikl nový účet s administrátorským oprávněním.
Než firma začne instalovat monitorovací nástroje, potřebuje znát svá zařízení, služby a jejich závislosti. Chybějící inventuru pomůže odhalit IT audit malé firmy. Bez něj se snadno sleduje server v technické místnosti, zatímco klíčová databáze, cloudový účet nebo záložní úložiště zůstane mimo dohled.
Co hlídat na stanicích, serverech a síti
Každá kontrola má mít vazbu na skutečný provoz. Krátká špička vytížení procesoru nemusí znamenat problém a odpověď na ping nedokazuje, že aplikace přijímá přihlášení nebo zapisuje do databáze.
| Oblast | Co sledovat | Co má vyvolat reakci |
|---|---|---|
| Stanice a notebooky | dostupnost správního agenta, verzi systému, aktualizace, antivirus nebo EDR, šifrování a volné místo | vypnutou ochranu, dlouhodobě nekomunikující zařízení, selhání aktualizací, nepodporovaný systém nebo nedostatek prostoru |
| Servery | služby, procesor a paměť v čase, diskovou odezvu, kapacitu, logy, RAID, UPS a virtuální stroje | zastavenou službu, rostoucí odezvu, degradované pole, nečekaný restart nebo nefunkční záložní napájení |
| Síť | internetové přípojky, firewall, VPN, switche, přístupové body, ztrátovost, chyby portů a změny konfigurace | nedostupnou pobočku, opakované rozpady VPN, chybnou linku, výpadek napájení nebo neplánovanou změnu |
| Firemní služby | DNS, web, e-mail, databáze, účetní či ERP systém a sdílené soubory | chybnou odpověď, nefunkční přihlášení, odmítnuté spojení, zastavené zpracování nebo úložiště pouze pro čtení |
| Identity | stav synchronizace, vícefaktorové ověřování, privilegované účty a riziková přihlášení | chybu synchronizace, nového správce, vypnutí ochrany nebo podezřelé použití privilegovaného účtu |
Pevný alarm založený jen na okamžité hodnotě bývá hlučný. Důležitá je délka problému, vývoj v čase a souvislost s provozem. Jinak se má vyhodnotit krátké zatížení během aktualizace a jinak zatížení, které každé ráno roste, zpomaluje aplikaci a po restartu dočasně zmizí.
Pro dohled lze použít například Zabbix, Checkmk nebo PRTG. Jednodušší kontroly HTTP, TCP a expirace certifikátů zvládne také Uptime Kuma. Výběr nástroje je ale až druhý krok. Nejdřív musí být jasné, které poruchy má odhalit a kdo jeho hlášení převezme.
Inventura musí poznat nepodporované zařízení
Monitoring nemá evidovat pouze to, zda je počítač zapnutý. Musí rozlišovat podporovaný systém, zařízení v prodlouženém režimu podpory a počítač bez běžných bezpečnostních aktualizací.
Běžná podpora většiny edic Windows 10 skončila 14. října 2025. Výjimkou mohou být například edice s jiným životním cyklem nebo zařízení zapojená do programu Extended Security Updates. Rozhodující je proto konkrétní edice, verze a způsob správy, nikoli pouze nápis „Windows 10“. Aktuální termíny uvádí přehled vydání Windows od Microsoftu.
Stejně se eviduje firmware firewallů, NASů, switchů, přístupových bodů a UPS. Dostupné zařízení může být provozním rizikem, pokud už výrobce nevydává bezpečnostní opravy nebo firma nemá postup jeho výměny.
Kapacita disků: nečekat na úplné zaplnění
Plný disk nemusí jen zabránit uložení dokumentu. Může zastavit databázi, aktualizace, zápis logů, vytváření snapshotů nebo zálohovací úlohu.
Dohled proto sleduje:
- aktuální volnou kapacitu;
- rychlost, jakou se prostor spotřebovává;
- místo potřebné pro aktualizace, dočasné soubory a snapshoty;
- neobvykle rychlý nárůst logů nebo databáze;
- souborové systémy přepnuté pouze pro čtení;
- stav storage poolu, svazku a RAID skupiny.
Alarm je vhodné nastavit podle způsobu použití. Stejný volný prostor představuje jinou situaci na systémovém disku databázového serveru a jinou na archivním svazku, který se mění jen pomalu.
U Synology DSM a QNAP QTS nestačí kontrolovat pouze dostupnost webové administrace. Monitoring má rozlišit stav storage poolu, RAID skupiny, svazku, jednotlivých disků, SSD cache, snapshotů a připojené UPS. NAS může odpovídat přes síť, i když už je pole degradované nebo svazek přešel do omezeného režimu.
U disků evidujte přesný model a sériové číslo
Označení „WD Red“, „Seagate“ nebo „osmiterabajtový disk“ není pro diagnostiku dostatečné. Potřebujete přesný model, sériové číslo, firmware, pozici v šachtě a historii výměn.
Důvodem jsou rozdíly i uvnitř jedné obchodní řady. Modelové označení může odlišovat kapacitu, použitou technologii zápisu, firmware i určení disku. Například modely WD40EFAX a ST8000DM004 používají záznam SMR. Při dlouhém náhodném zápisu a obnově pole může vnitřní přeuspořádání překrývajících se stop výrazně prodloužit odezvu. Řadič pak může pomalý disk vyhodnotit jako neodpovídající a odpojit jej z pole. Podrobněji problém vysvětluje článek o tom, proč může SMR disk vypadnout z NAS.
SMART je užitečný zdroj, ale není potvrzením, že disk neselže. Sledujte také vývoj chyb čtení, vadných či čekajících sektorů, chyby rozhraní, teplotu, stav média SSD a změny doby odezvy. Význam jednotlivých SMART atributů se navíc liší podle výrobce; normalizované hodnoty nelze bez kontextu mechanicky porovnávat mezi různými řadami disků.
Prudký nárůst chyb rozhraní může ukazovat na kabel, backplane nebo napájení, zatímco rostoucí počet nestabilních sektorů směřuje pozornost k samotnému médiu. Jeden souhrnný stav „Good“ tyto rozdíly zakryje.
Jak poznat, že záloha opravdu funguje
Zelený výsledek zálohovací úlohy potvrzuje pouze to, že program dokončil naplánovaný krok. Nedokazuje, že vybral správná data, že kopie zůstala neporušená ani že ji firma dokáže v požadovaném čase obnovit.
Monitoring záloh má ověřovat alespoň:
- výsledek posledního plánovaného běhu;
- stáří poslední úspěšné kopie;
- neobvyklou změnu objemu zálohovaných dat;
- dostupnost a volnou kapacitu cílového úložiště;
- dodržení retenční politiky;
- stav oddělené nebo neměnné kopie;
- výsledek posledního testu obnovy.
Náhlé zmenšení zálohy může znamenat smazání dat, změnu výběru nebo nedostupný zdroj. Prudký růst může způsobit změna dat, chyba deduplikace, nový rozsah zálohy nebo hromadné přepisování souborů. Alarm nemá automaticky určit příčinu, ale musí změnu předat člověku s dostatečným kontextem.
Neprovedenou zálohu odhalí automatická kontrola. Neobnovitelnou zálohu spolehlivě odhalí až obnova. Proto musí být vedle denního dohledu naplánovaný také test obnovy zálohy s doloženým výsledkem.
Web a služby kontrolujte také zvenku
Monitor umístěný pouze ve stejné kanceláři jako sledovaný router má slepé místo. Při výpadku elektřiny nebo internetové přípojky se může odmlčet současně s celou pobočkou. Alespoň část kontrol proto musí přicházet z nezávislé sítě.
U webu nestačí ping. Kontrola má podle významu služby ověřit:
- překlad DNS;
- navázání TLS spojení;
- správný název v certifikátu a důvěryhodný řetězec;
- očekávaný návratový kód;
- přítomnost konkrétního obsahu;
- případně přihlášení nebo odpověď vybraného API.
Testovací účet má mít jen oprávnění nezbytná pro danou kontrolu. Jeho přihlašovací údaje nepatří do veřejného skriptu ani do běžného textového konfiguračního souboru.
Od 15. března 2026 mohou mít nově vydané veřejně důvěryhodné TLS certifikáty maximální platnost 200 dní. Schválený harmonogram CA/Browser Forum počítá s dalším zkracováním, takže ruční připomínka v kalendáři není dlouhodobé řešení. Monitoring má kontrolovat nejen expiraci, ale i to, zda automatická obnova nový certifikát skutečně nasadila. Termíny stanovuje Ballot SC-081v3 CA/Browser Forum.
Bezpečnostní události, které vedou k reakci
Sbírat všechny dostupné logy bez pravidel vyhodnocení vytváří hluk a náklady. Pro malou firmu mají nejvyšší hodnotu události, které lze přiřadit konkrétnímu zařízení, uživateli a postupu:
- vypnutí antiviru nebo EDR;
- dlouhodobé odpojení bezpečnostního agenta;
- vytvoření nebo povýšení administrátorského účtu;
- změna firewallu, VPN nebo konfigurace záloh;
- opakované neúspěšné přihlášení;
- neobvyklé použití privilegovaného účtu;
- hromadné přejmenování, změny či mazání souborů;
- zastavení sběru logů;
- vyřazení oddělené zálohy nebo změna její retence.
Zdrojem může být Microsoft Defender for Business, Wazuh, centrální syslog nebo nástroje přímo od výrobce firewallu a zálohovacího systému. Každý z nich však vidí jen zařízení a služby, které jsou správně připojené. Soukromý notebook, nová cloudová aplikace nebo odinstalovaný agent mohou zůstat mimo dohled.
Monitoring nenahrazuje vícefaktorové ověřování, aktualizace, segmentaci sítě ani oddělené zálohy. U šifrovaného provozu navíc často sleduje spojení a metadata, nikoli obsah komunikace. Rozsah sběru, přístup k záznamům a dobu jejich uchování je nutné zdokumentovat.
Monitorovací mapa podle skutečného provozu
Počet zaměstnanců sám o sobě neurčuje složitost. Malá projekční kancelář s lokálním serverem, velkými daty a vzdáleným přístupem může vyžadovat širší dohled než větší firma pracující téměř výhradně v několika cloudových službách.
| Typ prostředí | Minimální monitorovací mapa |
|---|---|
| Převážně cloudová firma | pracovní stanice, správní agenti, identity, vícefaktorové ověřování, firewall, Wi-Fi, internet, zálohy cloudových dat, web, doména a TLS certifikáty |
| Firma s NAS nebo lokálním serverem | předchozí rozsah plus storage pooly, RAID, svazky, disky, UPS, virtuální stroje, databáze, DNS, DHCP a zálohovací úložiště |
| Více poboček | předchozí rozsah plus jednotlivé přípojky, VPN, VLAN, switche, přístupové body, závislosti mezi lokalitami a samostatné eskalační kontakty |
| Provoz s kritickou aplikací | předchozí rozsah plus aplikační kontrola, test přihlášení, databázové spojení, fronty úloh, integrace a dostupnost závislých služeb |
U každé položky zapište:
- vlastníka zařízení nebo služby;
- provozní význam;
- zdroj monitorovaných dat;
- hranici pro varování a incident;
- dobu, kdy se alarm přijímá;
- osobu nebo tým, který reaguje;
- první diagnostický krok;
- způsob eskalace.
Mapa má obsahovat také závislosti. Když vypadne internetová přípojka pobočky, nemá služba zahltit správce samostatnými incidenty za každý nedostupný switch, NAS a přístupový bod. Alarm hlavní příčiny má související události seskupit nebo dočasně potlačit.
Alarm bez příjemce není dohled
Nepřetržité měření není totéž jako podpora dostupná nepřetržitě. Nástroj může kontrolovat službu stále, ale člověk může alarmy přebírat jen ve smluvené době.
U každého typu události proto musí být jasné:
- kdo alarm obdrží;
- jak se potvrdí jeho převzetí;
- kdy se eskaluje další osobě;
- co lze provést automaticky;
- co vyžaduje schválení;
- jak se rozlišuje reakční doba a doba odstranění;
- jak fungují servisní okna.
Servisní okno má potlačit očekávané notifikace během plánované práce, ne zakrýt její výsledek. Po aktualizaci se musí znovu ověřit, že služba běží, přijímá spojení a plní svou funkci.
Pokud firma nemá člověka, který inventuru, dohled a reakce převezme, řešíme je v rámci měsíční správy firemního IT. Součástí zadání ale musí být konkrétní rozsah a reakční režim; samotná instalace monitorovacího serveru problém neřeší.
Jak poznat kvalitní monitoring
Při nabídce se neptejte jen na seznam sledovaných zařízení. Zajímejte se také o to:
- zda se kontroluje skutečná funkce služby, nebo jen její dostupnost;
- kdo alarm vyhodnotí a v jakém režimu;
- jak se odstraňují falešná hlášení;
- kdo vlastní konfiguraci, dokumentaci a historii událostí;
- jak se evidují výjimky a zařízení mimo dohled;
- zda report ukazuje nevyřešená rizika;
- jak často se monitorovací mapa porovnává s reálným prostředím;
- zda je monitorován i samotný monitoring.
Cena se odvíjí od počtu a různorodosti zařízení, licencí, způsobu napojení, režimu příjmu alarmů a sjednané reakce. Nabídka má oddělit úvodní inventuru a nastavení, pravidelný dohled a práci při samotném zásahu.
Měsíční report má pomoci s rozhodováním. Měl by ukázat nevyřešená rizika, stav záloh a testů obnovy, nepodporovaná zařízení, kapacitní trendy, významné incidenty a doporučené kroky s prioritou. Výpis tisíců úspěšných kontrol tuto funkci neplní.
Nejčastější chyby při zavádění dohledu
- Monitorují se jen servery, ale ne identity, zálohy a síťové prvky.
- Dostupnost se zaměňuje za správnou funkci aplikace.
- Alarmy chodí do schránky, kterou nikdo pravidelně nekontroluje.
- Každá krátká špička vytváří incident.
- Není zohledněno servisní okno ani závislost mezi systémy.
- Firma nepozná zařízení s odpojeným agentem.
- Záloha je zelená, ale nikdo neprovedl obnovu.
- Certifikát se obnoví na disku, ale web dál používá starý.
- Monitoring má administrátorská oprávnění, která pro čtení stavu nepotřebuje.
- Po změně infrastruktury se monitorovací mapa neaktualizuje.
FAQ
Potřebuje monitoring i firma bez vlastního serveru?
Ano. Sledují se pracovní stanice, internet, firewall, Wi-Fi, cloudové identity, zálohy, domény, certifikáty a klíčové SaaS služby. Cloud přesouvá část infrastruktury k dodavateli, ale neodpovědnost za účty, konfiguraci, data a návaznosti mezi službami.
Je nepřetržitý monitoring totéž jako podpora 24/7?
Není. Systém může měřit nepřetržitě, zatímco člověk reaguje jen ve sjednaných hodinách. Dohled, převzetí alarmu a režim zásahu musí být popsány odděleně.
Jak často se mají kontroly spouštět?
Podle dopadu a rychlosti, s jakou se problém může rozvinout. Dostupnost kritické služby vyžaduje častější kontrolu než dlouhodobý kapacitní trend. Výsledek zálohy se má vyhodnotit po plánovaném běhu, ne ve stejném intervalu jako web.
Může monitoring zabránit ransomwaru?
Sám ne. Může upozornit na vypnutou ochranu, neobvyklé přihlášení, hromadné změny souborů nebo selhání záloh. Ochranu tvoří kombinace prevence, omezených oprávnění, vícefaktorového ověřování, segmentace, EDR a obnovitelných záloh.
Co má firma dostávat v měsíčním reportu?
Především přehled nevyřešených rizik, stav záloh a testů obnovy, nepodporovaná zařízení, kapacitní trendy, významné incidenty a doporučené kroky s prioritou. Report má podpořit rozhodnutí, ne dokazovat množství nasbíraných dat.