Bir SIEM platformunun başarısı yalnızca ürettiği alarmlarla değil, o alarmları oluşturacak veriyi ne kadar hızlı ve güvenilir işleyebildiğiyle ölçülür. Güvenlik duvarlarından, Syslog sunucularından, Active Directory'den, DNS servislerinden, EDR çözümlerinden ve daha onlarca farklı kaynaktan gelen loglar, saniyeler içinde işlenmeli ve analiz edilmelidir. Bu sürecin merkezinde ise çoğu zaman görünmeyen ama tüm mimariyi ayakta tutan kritik bir bileşen bulunur: mesaj broker'ı.

Bugün sizlerle Logalarm ekibi olarak geliştirdiğimiz yeni ürünümüzü paylaşmanın heyecanını yaşıyoruz.

Logalarm Dispatcher, gerçek zamanlı log işleme ihtiyaçları için tasarlanmış, tamamen Go ile geliştirilen, hafızada çalışan (in-memory), yüksek performanslı bir mesaj broker'ıdır. Yaklaşık 10 MB boyutundaki tek bir binary dosyasıyla çalışan Dispatcher, Logalarm SIEM platformunun yeni nesil mesajlaşma altyapısını oluşturuyor.

Ancak bu yalnızca yeni bir mesaj broker'ı değil. Aynı zamanda daha sade kurulum, daha düşük kaynak tüketimi ve daha kolay yönetim anlayışının da bir parçası.

---

Gerçek Zamanlı Veri Akışları İçin Tasarlandı

Logalarm Dispatcher, klasik mesajlaşma senaryolarından farklı olarak yüksek hacimli güvenlik loglarının sürekli aktığı ortamlara odaklanır.

Bir SIEM sisteminde loglar yalnızca birkaç milisaniye içerisinde;

• alınır,

• normalize edilir,

• zenginleştirilir,

• korelasyon kurallarından geçirilir,

• analitik veritabanına yazılır.

Bu süreçte mesaj broker'ının görevi veriyi uzun süre saklamak değil, mümkün olan en düşük gecikmeyle doğru bileşene ulaştırmaktır.

Dispatcher'ın mimarisi de tam olarak bu yaklaşım üzerine inşa edildi.

Bellek üzerinde çalışan yapısı sayesinde gereksiz disk işlemlerini ortadan kaldırırken, yüksek eş zamanlılık desteği sayesinde yoğun log trafiğinde dahi veri akışının kesintisiz devam etmesini sağlar.

---

Mevcut Sistemlerle Uyumlu

Yeni bir altyapıya geçiş yaparken en büyük endişelerden biri mevcut uygulamaların yeniden geliştirilmesi ihtiyacıdır.

Logalarm Dispatcher bu süreci mümkün olduğunca kolaylaştırmak amacıyla RabbitMQ istemci arayüzüyle uyumlu bir SDK ile birlikte geliyor.

Bağlantılar, kanallar, queue işlemleri, publish ve consume mekanizmaları mevcut uygulamalarla aynı çalışma mantığını koruyor. Böylece mevcut servisler, kaynak kodlarında değişiklik yapılmadan Dispatcher ile çalışabilecek şekilde tasarlandı.

Bu yaklaşım yalnızca geçiş süresini kısaltmakla kalmıyor, aynı zamanda bakım ve güncelleme süreçlerini de önemli ölçüde kolaylaştırıyor.

---

Alışık Olduğunuz Mesajlaşma Yapısı

Dispatcher, geliştiricilerin zaten bildiği mesajlaşma modelini koruyor.

• Virtual Host desteği

• Multi Channel bağlantıları

• Direct Exchange

• Fanout Exchange

• Topic Exchange

• Auto Ack

• Manual Ack

• Requeue mekanizması

gibi temel özellikler yerleşik olarak sunuluyor.

Bu sayede mevcut mesajlaşma topolojisini yeniden tasarlamaya gerek kalmadan Dispatcher kullanılabiliyor.

---

Daha Basit Bir Protokol

Dispatcher, karmaşık ikili (binary) mesaj çerçeveleri yerine daha sade bir iletişim modeli kullanıyor.

TCP üzerinden iletilen her mesaj; uzunluk bilgisi ve JSON tabanlı bir veri paketi içeriyor.

Bu yaklaşımın önemli avantajları bulunuyor.

Ağ trafiği çok daha kolay analiz edilebiliyor, hata ayıklama süreçleri sadeleşiyor ve farklı platformlar için istemci geliştirmek önemli ölçüde kolaylaşıyor.

Basitlik, yalnızca geliştirme aşamasında değil, sistemin uzun yıllar boyunca bakımını yaparken de ciddi avantaj sağlıyor.

---

Operasyonu Kolaylaştıran Araçlar

Bir mesaj broker'ı yalnızca hızlı olmakla kalmamalı, aynı zamanda kolay yönetilebilmelidir.

Bu nedenle Dispatcher'ın içerisine günlük operasyonları kolaylaştıracak araçlar da dahil edildi.

Yerleşik Terminal İzleme Aracı

Linux sunucularında çalışan sistem yöneticileri için geliştirilen yerleşik terminal ekranı, htop benzeri bir kullanım deneyimi sunuyor.

Tek bir komutla;

• aktif bağlantılar,

• kuyruklar,

• tüketiciler,

• mesaj hızları,

• throughput değerleri

gerçek zamanlı olarak izlenebiliyor.

Sunucuya SSH ile bağlanmanız yeterli. Ayrı bir izleme uygulaması açmanıza gerek kalmadan sistemin anlık durumunu görebiliyorsunuz.

---

Gömülü Web Yönetim Arayüzü

Dispatcher'ın bir diğer önemli özelliği ise dahili web yönetim paneli.

Bağlantılar, kullanıcılar, kuyruklar, mesaj istatistikleri ve sistem durumu modern bir web arayüzü üzerinden görüntülenebiliyor.

Üstelik bu panel ayrı bir web sunucusu gerektirmiyor.

Yönetim arayüzü doğrudan Dispatcher'ın içerisinde yer alıyor. Kurulum sırasında ek servisler, ek paketler veya ilave yapılandırmalarla uğraşmanıza gerek kalmıyor.

---

Hafif Yapı, Kolay Dağıtım

Dispatcher yaklaşık 10 MB boyutunda tek bir Go binary'si olarak dağıtılıyor.

Harici çalışma zamanı gerektirmediği için kurulumu oldukça basit.

Yapılandırma dosyalarını ekleyip uygulamayı çalıştırmanız yeterli.

Bu yaklaşım özellikle Docker ve Kubernetes ortamlarında önemli avantaj sağlıyor. Daha küçük container imajları, daha hızlı dağıtım süreçleri ve daha düşük saldırı yüzeyi elde ediliyor.

Kaynak tüketiminin düşük olması ise Dispatcher'ı yalnızca büyük veri merkezleri için değil, edge kurulumları ve sınırlı donanım kaynaklarına sahip sistemler için de uygun hale getiriyor.

---

Performansın Ötesinde Bir Yaklaşım

Logalarm Dispatcher geliştirilirken hedef yalnızca daha yüksek performans elde etmek değildi.

Asıl hedef, gerçek zamanlı log işleme altyapısını daha sade, daha kolay yönetilebilir ve daha az bağımlılıkla çalışabilecek hale getirmekti.

Tek binary mimarisi, yerleşik yönetim araçları, düşük kaynak tüketimi ve mevcut sistemlerle uyumlu yapısı sayesinde Dispatcher, Logalarm SIEM platformunun önemli bileşenlerinden biri haline geldi.

Bu yaklaşım sayesinde hem geliştiriciler hem de sistem yöneticileri için daha öngörülebilir, daha kolay yönetilebilir ve daha verimli bir mesajlaşma altyapısı sunuyoruz.

---

Bu Daha Başlangıç

Logalarm Dispatcher, Logalarm ekosisteminde geliştirdiğimiz yeni nesil altyapı bileşenlerinin ilk adımlarından biri.

Önümüzdeki dönemde Dispatcher'ın mimarisini, yüksek eş zamanlılık yaklaşımını, yönetim araçlarını ve farklı senaryolardaki kullanım örneklerini daha ayrıntılı ele alan teknik yazılar paylaşmaya devam edeceğiz.

Çünkü inanıyoruz ki güçlü SIEM platformları yalnızca doğru analiz motorlarından değil, onları besleyen sağlam altyapılardan doğar.