Giriş

Üretimde bir sorun çıktığında üç soru öne çıkar: Ne oldu? Ne zaman oldu? Neden oldu?

Cevaplar çoğu zaman dağınıktır. Çünkü metrikler ayrı, trafik logları ayrı, değişiklik kayıtları ayrı yerlerde durur.

Bir diğer gerçek de şudur: Dış sistemlere genellikle sadece seçilen veriler gönderilir. Olay anında ihtiyaç duyduğunuz sinyal daha önce seçilmediyse, elinizde yoktur.

TR7’nin yaklaşımı net: Export entegrasyonları önemlidir, ama investigation tek başına onlara bağlı kalmamalı. Bu yüzden TR7, kritik sinyalleri cihaz üzerinde aynı zaman çizgisinde toplar.

Gönderilmeyen sinyal, görünmeyen risktir.

Neden sadece dışa export yeterli olmaz?

SIEM, log sunucuları, Prometheus/Grafana gibi platformlar kurumsal görünürlük için değerlidir. Ancak olay incelemesinin başarısı, doğru verinin o anda mevcut olmasına bağlıdır.

Seçici toplama kaçınılmazdır

Maliyet ve gürültü nedeniyle her metrik/log gönderilmez. Olay anında kritik sinyal yoksa inceleme yavaşlar.

Veri dağıldıkça korelasyon zorlaşır

Metrik, event, audit ve trafik logları farklı yerlerdeyse tek bir zaman çizelgesi kurmak daha uzun sürer.

Pipeline ek bir risk alanıdır

Agent, network, kota/limit veya indeksleme sorunları nedeniyle olay sırasında veri kaçabilir.

Investigation-Ready

Veri toplamak için değil, çözmek için zaman harca. TR7, kritik sinyalleri cihaz üzerinde hazır tutar.

Dynamic Flow Panel: runtime görünürlük ve hızlı başlangıç noktası

TR7 arayüzünde servis topolojisi Dynamic Flow Panel üzerinden canlı (runtime) izlenebilir. Complete Control →

Panel, servislerin anlık durumunu renklerle gösterir. Örneğin servisin dinlediği IP’nin bağlı olduğu interface link’i düşerse sistem uyarı üretir ve servis adı yeşilden sarıya döner.

Bu sayede operatör neyi inceleyeceğini hemen görür. Triage daha hızlı başlar ve inceleme süresi kısalır.

Durum Renkleri

Flow Panel’deki renkler servis durumunu hızlı okumanız için kullanılır:

Yeşil: Normal

Servis bağlantıları ve sağlık kontrolleri beklenen şekilde çalışıyor.

  • Tüm backend’ler healthy
  • Interface link’leri up
  • Health-check’ler geçiyor
Rutin izleme
Sarı: Dikkat

Takip edilmesi gereken bir durum var.

  • Interface link down (servis çalışıyor olabilir)
  • Bir backend health-check başarısız
  • Kaynak eşiğine yaklaşma
Metrikler + notification + audit ile hızlı kontrol
Kırmızı: Kritik

Hizmeti etkileyen problem var.

  • Backend’ler down
  • vService erişilemiyor
  • Kritik konfig hatası
Hızlı triage: metrik + event + audit

Örnek Investigation Senaryoları

Aşağıdaki örnekler, TR7 üzerinde tipik bir incelemenin nasıl ilerlediğini gösterir.

Senaryo A: Gecikme (latency) artışı

  • Şikayet: 'Uygulama yavaşladı'
  • vService yanıt süresi trendine bak → spike var mı?
  • Backend yanıt süresi dağılımını kontrol et → yavaş backend hangisi?
  • Health-check ve bağlantı dağılımlarıyla doğrula
  • Notification kayıtlarında aynı zaman aralığında kaynak uyarısı var mı?
  • Audit trail: yakın zamanda değişiklik olmuş mu?
  • Sonuç: LB katmanı mı, belirli backend mi — hızlı netleşir

Senaryo B: WAF engellemeleri arttı

  • Şikayet: 'Form gönderilemiyor'
  • WAF blocked metriğine bak → spike var mı?
  • HTTP/WAF loglarından tetiklenen kuralı bul
  • İstek detayından false positive mi gerçek saldırı mı ayrıştır
  • Audit trail: kural/policy değişikliği var mı?
  • Gerekirse hedefli debug ile sadece ilgili trafiği incele
  • Sonuç: Kural tuning veya güvenlik aksiyonu — veriyle karar

Cihaz Genel Bakış: Investigation başlangıç noktası

Olay incelemesi her zaman cihaz genelinden başlar. CPU, bellek, disk kullanımı ve sistem sağlığı — ilk bakışta cihazın genel durumunu değerlendirin. Geriye dönük forensics için zaman aralığı seçilebilir.

TR7 Sistem Dashboard - cihaz geneli özet metrikleri
Sistem Özeti: Uptime, toplam istek, CPU yükü, bellek, bant genişliği — olay anında cihazın genel durumunu hızlıca değerlendirin.
TR7 Disk izleme - kullanım ve I/O metrikleri
Disk & I/O: Doluluk, inode, gecikme, IOPS — log yazımı veya cache performansı etkileniyor mu?

Servis & Backend: Performans ve sağlık metrikleri

Sistem genelinden sonra servis katmanına inmek gerekir. Tüm vService'lerin istek dağılımı, yanıt kodları, backend sağlığı ve Dynamic Flow Panel ile servis topolojisi tek bakışta. Her vService için ayrı dashboard mevcuttur.

TR7 vService'ler genel görünümü
vService Genel Bakış: Tüm servislerin istek dağılımı ve yanıt kodları (2xx/3xx/4xx/5xx) — hangi serviste anomali var?
TR7 vService Dashboard - servis özeti ve akış paneli
vService Özeti: Uptime, frontend istekleri, WAF engelleme sayısı ve Dynamic Flow Panel — servisin anlık durumu.
TR7 vService özelleştirilebilir metrikler
Özelleştirilebilir Metrikler: SSL reuse, sıkıştırma, cache hit oranı — investigation için gerekli metrikleri ekleyin.
TR7 Backend metrikleri - istek dağılımı ve sağlık
Backend Dağılımları: Hangi backend yavaş? Hangi backend daha çok istek alıyor? Yanıt süresi ve bağlantı metrikleri.

Ağ & Interface: Bağlantı durumu ve trafik akışı

Sorun serviste mi yoksa ağda mı? Topoloji, bant genişliği, TCP state dağılımı ve interface metrikleri bu sorunun cevabını verir. Link durumu değişiklikleri ve paket hataları ağ katmanındaki sorunları hızlıca ortaya koyar.

TR7 Ağ izleme - topoloji ve TCP durumları
Ağ Topolojisi: Bant genişliği, TCP state dağılımı — sorun ağda mı, serviste mi ayrımının ilk ipucu.
TR7 Ağ Özet Dashboard - interface bant genişliği ve paketler
Interface Metrikleri: RX/TX bant genişliği, paket sayıları, hatalar — link performansı ve sağlığı.
TR7 vService Ağ metrikleri
vService Ağ: Servis bazında throughput ve bağlantı durumları — trafik paterni normal mi?

HTTP & WAF Logları: İstek bazlı inceleme

HTTP trafiği ve WAF olayları debug açmadan da görülebilir. Gerektiğinde hedefli debug ile sadece belirli host/path/header için tam detay alınır. Üretimi etkilemeden istek bazlı forensics yapılabilir.

TR7 HTTP Logları - istek detayları ve yanıt kodları
HTTP Logları: Kaynak IP, hedef, yanıt kodu, boyut, süre — debug kapalıyken bile temel görünürlük.
TR7 HTTP Debug Logları - tam header bilgileri
Hedefli Debug: Sadece ilgili trafik için tam header ve cookie bilgileri — üretimi etkilemeden detay.
TR7 WAF Logları - AI analizi ile saldırı tespiti
WAF Logları: Tetiklenen kural, istek detayı, AI destekli analiz — false positive değerlendirmesi için veri.

IP Intelligence & WAF: Tehdit profili

IP itibar skorları ve WAF metrikleri saldırgan profilini hızlıca ortaya koyar. False positive mi gerçek saldırı mı sorusunun ilk cevabı burada. Tehdit kategorileri (botnet, proxy, VPN, Tor) kaynak IP'nin niteliğini gösterir.

TR7 IP Intelligence - IP itibar skorları ve tehdit kategorileri
IP Intelligence: İtibar skoru, tehdit kategorileri — saldırgan profili hızlı netleşir.
TR7 WAF Dashboard - engellenen istekler ve inceleme dağılımı
WAF Metrikleri: Engelleme trendi, inceleme dağılımı — güvenlik olaylarının genel görünümü.

Olay Zaman Çizelgesi: Bildirimler ve audit trail

Metrikler tek başına yetmez. Hangi alarmlar tetiklendi? Kim ne zaman değişiklik yaptı? Olay incelemesinde 'hangi değişiklik neyi etkiledi?' sorusu kritiktir. TR7, notification/event kayıtlarını ve audit trail'i birlikte tutarak bu korelasyonu hızlandırır.

TR7 Bildirim Tipleri - alarm yapılandırması
Bildirim Tipleri: CPU, bellek, disk, bandwidth, servis durumu — hangi olaylar izleniyor?
TR7 Bildirim Logları - olay geçmişi
Bildirim Geçmişi: Tetiklenen alarmların kronolojisi — olay anında ne uyarısı geldi?
TR7 Kullanıcı Logları - audit trail
Audit Trail: Kim, ne zaman, ne değiştirdi? Olayla değişiklik ilişkisini hızlı kurmak için kanıt.

Web Console: Hipotezi doğrula

Metrikler bir hipotez verir, doğrulama için bazen komut gerekir. Web Console üzerinden ping, traceroute, curl, tcpdump gibi araçlar çalıştırılır. SSH bağlantısı gerekmez, sonuç aynı ekranda görülür.

TR7 Web Console - interaktif CLI
Web Console: Teşhis komutları web arayüzünden — backend erişimi, DNS, rota doğrulaması hızlıca yapılır.
TR7 Web Console - komut çıktısı örneği
Komut Çıktısı: Sonuçlar anlık görüntülenir — tcpdump ile hedefli trafik yakalama örneği.

Web Console & TR7 CLI: UI'dan anlık teşhis ve kanıt toplama

TR7'de investigation sadece grafikte kalmaz. Web Console, üretimde en çok ihtiyaç duyulan sistem ve ağ komutlarını web arayüzü üzerinden çalıştırmayı sağlar. SSH bağlantısı gerekmez. TR7 CLI ise aynı işi komut satırı tarafına taşır; çıktı formatları (JSON/CSV/tab) ve pipe komutları ile inceleme adımlarını tekrar edilebilir hale getirir.

Ağ kontrolü: ping, traceroute, dig, iftop

Backend erişimi, DNS çözümlemesi, yol analizi ve anlık bant genişliği dağılımını cihaz üzerinden doğrulayın.

Hedefli trafik yakalama: tcpdump, ssldump

Belirli host/port için paket yakalayın. TLS handshake'i inceleyin. Sadece ilgili trafiği dosyaya alın.

Backend testi: curl, wrk

ADC'nin gördüğü açıdan backend'in yanıt kodunu ve süresini ölçün. Gerekirse kontrollü yük testi uygulayın.

Sistem durumu: netstat, ps, df, journalctl

TCP durumları, prosesler, disk kullanımı ve sistem logları gibi temel verileri tek ekrandan görüntüleyin.

Web Console: Örnek İnceleme Akışları

Flow Panel'de bir uyarı gördünüz. Aşağıdaki akışlar, hızlı ayrıştırma için pratik örneklerdir.

Backend timeout mu, ağ mı?

  • Metrikler timeout gösteriyor
  • ping backend-ip → erişim var mı?
  • curl -I http://backend:8080/health → yanıt kodu ne?
  • traceroute backend-ip → yol üzerinde kopma var mı?
  • Sonuç: Ağ mı, uygulama mı — kısa sürede ayrışır

TLS hatası: istemci mi, sunucu mu?

  • SSL bağlantı hatası var
  • ssldump -i wan0 host client-ip → handshake'i yakala
  • Sertifika, protokol veya cipher uyumsuzluğunu tespit et
  • Sonuç: İstemci mi, sunucu konfigürasyonu mu — paketten kanıtla

Ani trafik artışı: saldırı mı, gerçek yük mü?

  • İstek sayısı aniden arttı
  • iftop -i wan0 → anlık konuşan uçları gör
  • netstat -an | grep ESTABLISHED | wc → bağlantı sayısı
  • tcpdump -c 1000 port 443 | to-file spike.pcap → örnek al
  • Sonuç: DDoS, bot veya meşru trafik — veri ile karar ver

Backend 'hızlı' ama kullanıcı 'yavaş' diyor

  • Uygulama ekibi sorun görmüyor
  • curl -w '%{time_total}' http://backend/api → ADC'nin gördüğü süre
  • wrk -t2 -c10 -d10s http://backend/api → yük altında test
  • Sonuç: İstemci–ADC–backend zincirinde fark nerede — netleşir

Debug açmak yerine debug'ı hedefle.

Metrik Kütüphanesi: Geriye Dönük İzleme ve Analiz Grafikleri

Aşağıdaki başlıklar, TR7 arayüzünde yer alan metrik grafiklerinin grup başlıklarıdır. Her grup, ilgili metriklerin geriye dönük olarak izlenip analiz edilebildiği grafikleri içerir. Bu grafikler sayesinde olay anında veya sonrasında belirli bir zaman aralığını inceleyebilir, trendleri görebilir ve anomalileri tespit edebilirsiniz.

Karşılama Toplam İstek Sayısı
Total Requests
Ne?Servise gelen toplam HTTP/HTTPS istek sayısının zaman içindeki değişimini gösterir.
Neden önemli?Trafik artışlarını, ani düşüşleri ve kapasite etkisini anlamak için temel referans noktasıdır. Bir olay öncesi ve sonrası karşılaştırma yapmanızı sağlar.
Karşılama Durum Kodu Dağılımı
Status Code Distribution
Ne?HTTP yanıt kodlarının (2xx başarılı, 3xx yönlendirme, 4xx istemci hatası, 5xx sunucu hatası) zaman içindeki dağılımını gösterir.
Neden önemli?Hata oranındaki artışları hızlıca fark etmenizi sağlar. 5xx artışı backend sorununa, 4xx artışı istemci tarafı veya konfigürasyon sorununa işaret edebilir.
Karşılama Yeni Bağlantılar
New Connections
Ne?Saniyede açılan yeni TCP bağlantı sayısını gösterir.
Neden önemli?Ani bağlantı artışları DDoS saldırısına, bot aktivitesine veya istemci tarafı yeniden bağlanma sorunlarına işaret edebilir.
Karşılama Eşzamanlı Oturumlar
Concurrent Sessions
Ne?Aynı anda aktif olan oturum sayısını gösterir.
Neden önemli?Kapasite limitine ne kadar yaklaştığınızı anlamanızı sağlar. Oturum sayısı limitine yaklaşmak performans düşüşüne yol açabilir.
Karşılama Throughput
Throughput
Ne?Servis üzerinden geçen toplam veri hacmini (bit/saniye veya byte/saniye) gösterir.
Neden önemli?Bant genişliği kullanımını ve trafik trendlerini anlamak için kullanılır. Throughput düşüşü ağ veya backend sorunlarına işaret edebilir.
SSL Eşzamanlı Bağlantılar
SSL Concurrency
Ne?Aynı anda aktif olan şifreli TLS bağlantı sayısını gösterir.
Neden önemli?SSL/TLS işlemleri CPU yoğun olduğundan, bu metrik kapasite planlaması ve performans analizi için kritiktir.
SSL Yeni Bağlantılar (TPS)
TLS Handshake TPS
Ne?Saniyede gerçekleştirilen TLS handshake sayısını gösterir.
Neden önemli?Handshake oranındaki ani artış, session reuse'un çalışmadığına veya istemci tarafı sorunlara işaret edebilir. Yüksek handshake oranı CPU yükünü artırır.
SSL Oturum Yeniden Kullanımı
SSL Session Reuse
Ne?TLS oturumlarının yeniden kullanım oranını ve istatistiklerini gösterir.
Neden önemli?Düşük session reuse oranı gereksiz CPU kullanımına ve yüksek latency'ye neden olur. Bu metrik TLS performans optimizasyonu için yol göstericidir.
Sıkıştırma
Compression
Ne?HTTP yanıtlarının sıkıştırma oranını ve sıkıştırılan veri miktarını gösterir.
Neden önemli?Sıkıştırma bant genişliğinden tasarruf sağlarken CPU kullanır. Bu dengeyi anlamak performans optimizasyonu için önemlidir.
WAF Engellenen İstekler
WAF Blocked Requests
Ne?Web Application Firewall tarafından engellenen istek sayısının zaman içindeki değişimini gösterir.
Neden önemli?Engelleme sayısındaki ani artış bir saldırı dalgasına veya false positive üreten yeni bir kurala işaret edebilir. Her iki durumda da inceleme gerektirir.
WAF Tespit Edilen Saldırı İstekleri
WAF Detected Attacks
Ne?WAF tarafından tespit edilen saldırı girişimlerinin sayısını ve türlerini gösterir.
Neden önemli?Tehdit seviyesini ve saldırı trendlerini izlemenizi sağlar. Hangi saldırı türlerinin ne sıklıkla denendiğini anlamak güvenlik stratejisi için değerlidir.
WAF İnceleme Dağılımı
WAF Inspection Distribution
Ne?WAF kurallarının ve kategorilerinin ne oranda tetiklendiğini gösterir.
Neden önemli?Hangi kural setlerinin aktif olduğunu ve hangilerinin en çok çalıştığını gösterir. Kural tuning ve optimizasyon kararları için temel veridir.
Karşılama Bant Genişliği
Bandwidth
Ne?Servisin kullandığı gelen ve giden bant genişliğini gösterir.
Neden önemli?Link doygunluğunu ve throughput değişimlerini izlemek için kullanılır. Bant genişliği limitlerine yaklaşmak performans sorunlarına yol açabilir.
Entegrasyonlar: var, ama inceleme onlara bağlı kalmaz

TR7, kurumunuzun izleme ve log yönetim ekosistemiyle entegre olabilir. Kritik fark şudur: Olay incelemesi sadece harici pipeline’a bağlı kalmaz. Dış sistemler ek değer sağlar; cihaz üzerindeki kayıtlar ise temel referans olur.

Sıkça Sorulan Sorular

Amaç, investigation için gerekli verinin cihaz üzerinde her zaman hazır olmasıdır. Dışa export ve merkezi arşivleme yapılabilir. Ancak inceleme başarısı sadece export konfigürasyonuna bağlı kalmaz.

Amaç her an her şeye bakmak değildir. Kategoriler, arama ve filtreleme ile ihtiyaç anında doğru sinyale hızlı ulaşırsınız.

Web Console'un hedefi serbest erişim değil, kontrollü teşhistir. Doğru yetkilendirme ve runbook ile kullanıldığında inceleme süresini kısaltır.

Gerçek zamanlıdır. Servis durumları runtime'da izlenir ve değişiklikler anında renk değişimi ile yansır. Ayrıca geçmişe dönük metrik ve event kayıtları da tutulur.

Normal debug genellikle tüm trafiği yakalar ve sonra filtreleme gerektirir. Hedefli debug ise baştan belirli host, port, path veya header için kayıt alır. Bu sayede gürültü azalır, inceleme hızlanır ve üretim yükü daha az etkilenir.

TR7, Prometheus export ve SIEM log gönderimi destekler. Entegrasyonlar değerini korur. Fark şudur: investigation için gerekli veri sadece dış sisteme bağlı kalmaz, cihaz üzerinde de hazır durur.

Saklama süresi yapılandırılabilir. Önemli olan, kullanıcı hareketleri ve konfig değişikliklerinin metrikler ve event kayıtlarıyla aynı zaman çizgisinde tutulmasıdır.

Detay, karmaşıklık değil hazırlıktır. Küçük ekiplerde de olay anında doğru veriye hızlı ulaşmak zaman kazandırır. Kategorize yapı ve arama özellikleri, sadece ihtiyaç duyulan veriye odaklanmayı kolaylaştırır.

Sonuç

TR7'nin iddiası 'daha çok grafik' değil; ADC/WAF katmanını investigation-ready hale getirmektir. vService/backend/interface metrikleri, event/notification kayıtları, audit trail ve HTTP/WAF görünürlüğü tek zaman çizgisinde birleşir; geriye dönük forensics ve hedefli debug ile kök neden analizi hızlanır.

Export entegrasyonları değerlidir; ancak kritik anlarda 'gönderilmediği için yok' riskini sıfıra yaklaştırmak için kanıt zincirinin ürünün içinde, her zaman erişilebilir olması gerekir.

Bu ve benzeri özellikler — datasheet'lerde karşılığı olmayan, demo'larda anlaşılması zor olan, ancak pratikte operasyonel kaliteyi belirleyen detaylar — TR7'yi değerlendiren kurumların neredeyse tamamının geçiş kararı almasının temel nedenidir.

Fark, kullanıldığında ortaya çıkar.

Canlı Demo İsteyin