Windows Event Forwarding (WEF) Ölçekleme: Collector Mimarisinde Yük Dengeleme

Windows Event Forwarding (WEF), büyük ölçekli sistemlerde olay günlüklerinin merkezi bir noktada toplanmasını sağlayan güçlü bir Windows özelliğidir. Özellikle güvenlik izleme, olay analizi ve SOC (Security Operations Center) entegrasyonlarında sıkça kullanılır. Ancak binlerce istemci barındıran kurumsal ortamlarda WEF’in ölçeklenebilirliği kritik hale gelir. Bu nedenle collector mimarisinde doğru yapılandırılmış bir yük dengeleme (load balancing) stratejisi oluşturmak gereklidir.

1. Windows Event Forwarding (WEF) Nedir?

WEF, Windows istemcilerde oluşan logları (örneğin Güvenlik, Uygulama, Sistem logları) belirli kurallara göre toplayıp merkezi bir sunucuya (Collector) yönlendirir. Bu yapı genellikle Event Viewer ile entegre çalışır ve kurumsal ortamlarda log toplama altyapısının temelini oluşturur.

2. WEF Mimarisi: Collector – Client Modeli

WEF yapısında iki temel bileşen bulunur:

• Collector (Toplayıcı): Olay günlüklerini birden fazla istemciden alır ve depolar.
• Client (Kaynak): Loglarını collector’a ileten sunucu veya bilgisayardır.

Collector, olay günlüklerini Windows Remote Management (WinRM) protokolü üzerinden alır ve Event Subscriptions aracılığıyla filtreleme yapar.

3. Ölçekleme Neden Gereklidir?

Tek bir collector, yüzlerce hatta binlerce istemciden gelen logları toplarken CPU, RAM ve ağ bant genişliği açısından sınırlarına ulaşabilir. Bu durum gecikmelere veya log kayıplarına yol açabilir.
Özellikle VDS ortamlarında yüksek yoğunluklu log trafiğinde performans sorunlarını önlemek için yük dengeleme uygulanmalıdır.

4. Collector Yük Dengeleme Yaklaşımları

4.1 DNS Round Robin

En basit yöntemlerden biri DNS Round Robin yaklaşımıdır. Birden fazla collector sunucusuna aynı DNS adı atanarak istemciler rastgele olarak farklı sunuculara yönlendirilir.

collector01.hostligo.local  
collector02.hostligo.local  
collector03.hostligo.local  
→ wef.hostligo.local

Avantajı: Kolay yapılandırmadır.
Dezavantajı: Oturum durumu izlenmez, yük eşit dağılmayabilir.

4.2 NLB (Network Load Balancing)

Microsoft’un yerleşik Network Load Balancing (NLB) servisi, WEF trafiğini IP tabanlı olarak dengelemek için uygundur. Tüm collector’lar aynı sanal IP (VIP) üzerinden hizmet verir.
Bu yöntem, Windows Server üzerinde doğrudan uygulanabilir.

4.3 Donanımsal veya Yazılımsal Load Balancer

Kurumsal altyapılarda, NGINX, HAProxy veya donanımsal load balancer cihazları kullanılabilir.
Bu yöntem en yüksek kararlılığı sağlar ve collector’lar arasında oturum bazlı yük paylaşımı yapılabilir.

5. Collector Performans Optimizasyonu

• Collector başına maksimum 5000 istemci önerilir.
• Event log dosyaları için ayrı disk veya depolama alanı (örneğin Premium VDS) kullanılmalıdır.
• WMI filtreleri optimize edilmelidir (örnek: yalnızca kritik güvenlik olaylarını al).
• “Push Subscription” yerine “Collector-initiated” model tercih edilmelidir.

6. Gelişmiş Güvenlik Yapılandırmaları

Collector ve istemciler arasındaki iletişimde HTTPS (WinRM over TLS) tercih edilmelidir.
Ayrıca WAF Koruma veya güvenlik duvarı katmanında IP tabanlı erişim kısıtlamaları uygulanabilir.
Ek olarak, log toplama süreçleri Sunucu Barındırma servisleriyle izole ortamlarda tutulmalıdır.

7. PowerShell ile Collector Durum İzleme

Collector sunucularının performansını izlemek için aşağıdaki PowerShell komutu kullanılabilir:

wecutil es | Select-String "Active"

Bu komut aktif subscription’ları listeler.
Ayrıca log toplama durumu için aşağıdaki komut kullanılabilir:

Get-WinEvent -LogName ForwardedEvents | Measure-Object

8. Ölçeklenebilirlik Önerileri

• Collector’lar arasında log türüne göre görev dağılımı yapılabilir (örnek: biri güvenlik logları, diğeri sistem logları toplar).
• Log yönetimi için merkezi bir SIEM entegrasyonu (örneğin Splunk, Sentinel) düşünülmelidir.
• Optimizasyon Hizmeti kapsamında periyodik log temizliği planlanmalıdır.

Sonuç

Windows Event Forwarding (WEF) mimarisi, doğru şekilde ölçeklendirildiğinde büyük kurumlarda merkezi log yönetimini otomatik hale getirir. Collector mimarisinde yük dengeleme stratejileri (DNS, NLB veya Load Balancer) kullanmak, performans ve sürekliliği önemli ölçüde artırır.
Kurumsal ortamınızda güvenli ve dengeli bir log toplama sistemi kurmak için HostLigo’nun yüksek performanslı VDS ve Kurumsal Hosting çözümlerini tercih edebilirsiniz.