NOC Nedir? Ağ Operasyon Merkezi Ne Yapar, SOC'tan Farkı Ne?

Kısa cevap: NOC (Network Operations Center, ağ operasyon merkezi), kurumun ağını, sunucularını ve bulut kaynaklarını 7/24 izleyen, bir kesinti ya da yavaşlama başladığında ilk müdahaleyi yapan ve çözemediği sorunu doğru uzmana taşıyan ekiptir. Amacı hizmeti ayakta tutmaktır. SOC'tan farkı da buradadır: NOC "sistem çalışıyor mu?" sorusuna, SOC "sisteme biri saldırıyor mu?" sorusuna bakar.

NOC ne demek, açılımı ne?

NOC, İngilizce Network Operations Center ifadesinin kısaltmasıdır; Türkçede ağ operasyon merkezi diye geçer. IBM, NOC'u bilgisayar, telekomünikasyon ve uydu ağlarının 7/24 izlendiği ve yönetildiği merkezi birim olarak tanımlıyor ve ağ kesintilerine karşı "ilk savunma hattı" diyor.

Adındaki "ağ" kelimesi yanıltmasın. Bugün bir NOC yalnızca ağ cihazlarını değil sunucuları, depolamayı, sanallaştırma katmanını, bulut kaynaklarını ve uygulamaların erişilebilirliğini de izliyor. Bilgisayar ve BT dünyasında NOC dendiğinde kastedilen budur: altyapının tamamına bakan ve nöbet tutan operasyon ekibi.

NOC ne yapar?

AWS ve IBM'in tanımları birleştirildiğinde bir NOC'un işi beş başlıkta toplanıyor:

• İzleme ve uyarı. Bağlantı, gecikme, paket kaybı, jitter, işlemci, bellek, disk doluluğu ve servis durumu sürekli ölçülür. Bir değer kabul edilen eşiğin dışına çıktığında uyarı üretilir.
• Olay yönetimi. Uyarı doğrulanır, sorunun yeri ve nedeni bulunur, sorun çözülür ya da bir üst kademeye taşınır. Bazı müdahaleler otomatiktir: bir servisin yeniden başlatılması ya da son çalışan duruma dönülmesi gibi.
• Bakım ve değişiklik. Yamalar, sürüm güncellemeleri ve planlı bakım pencereleri NOC'un takviminden geçer.
• Yedekleme takibi. Yedek işlerinin gerçekten tamamlanıp tamamlanmadığı izlenir. Başarısız bir yedek, felaketten önce fark edilmesi gereken bir olaydır.
• Kapasite planlama ve raporlama. Kaynak kullanımının eğilimi izlenir, darboğaz oluşmadan genişleme planlanır; erişilebilirlik, olaylar ve kapasite düzenli raporlanır.

NOC nasıl çalışır?

Bir NOC'u dört katman olarak düşünmek işe yarar. AWS de aynı ayrımı yapıyor:

1. Toplama. Loglar, metrikler ve telemetri tek yerde toplanır ve aynı biçime getirilir. Logun ne olduğunu ve neden tutulduğunu log nedir yazısında anlattık.
2. Analiz. Uyarılar birbiriyle ilişkilendirilir. Bağımlılık haritası, bir arızanın başka hangi hizmetleri etkileyeceğini gösterir; aynı kök nedenden doğan yirmi uyarı tek olay olarak görülür.
3. Müdahale. Otomatik bir aksiyon tetiklenir ya da nöbetteki mühendis uyarılır. Her olay bir bilet (ticket) olarak açılır ve kapanana kadar izlenir.
4. Eskalasyon ve iletişim. Çözülemeyen sorun bir üst kademeye taşınır, etkilenen ekipler bilgilendirilir, olay kapandıktan sonra rapor yazılır.

Kademeler genellikle üç katmandır. Tier 1 izler, ilk teşhisi koyar ve bilinen sorunları runbook'a göre çözer. Tier 2 derin teşhis yapar. Tier 3 mimariye, üreticiye ya da uygulama ekibine dokunan sorunları üstlenir. Kimin hangi eşikte devreye gireceği önceden yazılı olmalıdır; şablonunu incident escalation matrisi yazısında verdik.

Örnek bir gece (bu bir örnektir; eşikler, roller ve süreler kurumdan kuruma değişir): Saat 03.17'de bir veritabanı sunucusunun disk doluluğu %90'ı geçiyor. Uyarı Tier 1'e düşüyor. Nöbetteki mühendis eski log dosyalarının temizlenmediğini görüyor, runbook'taki adımla yer açıyor ve bileti kapatıyor. Ertesi gün sorunun neden tekrarladığına bakılıyor ve log döndürme ayarı düzeltiliyor. Uyarı sabaha kalsaydı, disk dolduğu anda veritabanı yazamaz hâle gelecekti.

NOC ile SOC arasındaki fark

İkisi birbirinin yerine geçmez. AWS de iki merkezin bazı alanlarda örtüştüğünü ama farklı teknolojiler ve ayrı eskalasyon yolları kullandığını yazıyor. Pratikte aynı olay iki masaya birden düşebilir: bir DDoS saldırısı NOC'a bant genişliği sorunu olarak, SOC'a saldırı olarak görünür. Bu yüzden iki ekibin aynı olay kaydını görmesi ve işi birbirine nasıl devredeceklerinin yazılı olması gerekir. SOC tarafını SIEM ile birlikte SIEM ve SOC nedir yazısında anlattık.

NOC hangi metrikleri ölçer?

• Erişilebilirlik: hizmetin ayakta olduğu sürenin oranı. Hedefini SLA belirler; hesabını uptime nedir yazısında anlattık.
• MTTA (mean time to acknowledge): uyarının çıkmasıyla bir insanın onu üstlenmesi arasında geçen ortalama süre. Uyarıya gerçekten kimin baktığını en dürüst gösteren ölçüdür.
• MTTR (mean time to repair): kesintinin başlamasıyla hizmetin geri gelmesi arasındaki ortalama süre.
• Yanlış alarm oranı: gerçek bir soruna karşılık gelmeyen uyarıların payı. Bu pay büyüdükçe ekip uyarılara güvenmemeye başlar.
• Tekrarlayan olaylar: aynı kök nedenden dönen olayların sayısı. Bu sayı düşmüyorsa NOC olayları kapatıyor ama sorunları çözmüyor demektir. ITIL bu ayrımı olay yönetimi ve problem yönetimi diye yapar.

Hedef değerler kurumun SLA'sına göre değişir; herkese uyan tek bir doğru sayı yok. Önemli olan bu ölçülerin her ay aynı yöntemle hesaplanıp raporlanmasıdır.

Kendi NOC'unuz mu, yönetilen NOC mu?

Karar bir kadro hesabıyla başlar. Bir yıl 8.760 saattir; izin, resmî tatil ve eğitim düşüldükten sonra bir kişi yılda kabaca 1.800 saat çalışabilir. Tek bir izleme koltuğunu yıl boyunca dolu tutmak bu yüzden beş kişi civarında kadro ister; hesabın ayrıntısı SIEM ve SOC yazısındaki kadro bölümünde. Buna izleme araçlarının lisansı, ekibin eğitimi ve gece vardiyasının yorgunluğu eklenir.

IBM'e göre kendi NOC'unu kurmak ciddi kaynak ister; kontrolü elinde tutmak isteyen büyük kurumlar ve iletişim şirketleri için bu yatırım değerli olabilir, kamu kurumları ve üniversiteler gibi kuruluşlar için dış kaynak daha uygun maliyetli olabilir. Arada bir model de var: mesai içini kendi ekibiniz, gece ve hafta sonunu hizmet sağlayıcı karşılar. Karar verirken dört şeye bakın:

• Altyapının büyüklüğü ve dağınıklığı: kaç lokasyon, kaç ortam, kaç bulut hesabı
• İç ekibin nöbet tutabilecek kapasitesi
• SLA'da müşterilerinize taahhüt ettiğiniz erişilebilirlik ve müdahale süresi
• Verinin nerede tutulduğu: izleme de log üretir ve loglarda kişisel veri bulunabilir

NOC hizmeti alırken sorulacak sorular

1. Uyarıya kim bakıyor: bir mühendis mi, yoksa e-postanıza düşen otomatik bir bildirim mi?
2. Eskalasyon matrisi yazılı mı? Gece 03.00'te kararı kim veriyor?
3. Mevcut izleme aracınızla çalışabiliyor mu, yoksa her şeyi yeniden mi kuruyor?
4. MTTA ve MTTR sözleşmede yazıyor mu, her ay raporlanıyor mu?
5. Aylık rapor neyi içeriyor: yalnızca erişilebilirlik yüzdesini mi, olayların kök nedenini ve iyileştirme önerilerini de mi?
6. İzleme verisi nerede tutuluyor?

Eclit'te NOC

Eclit'in 7/24 izleme ve NOC hizmeti sunucu, ağ, depolama, sanallaştırma ve bulut (AWS, Azure, GCP) altyapısını kapsıyor. Her uyarıya nöbetteki mühendis bakıyor; yanlış alarmlar ayıklanıyor, gerçek sorunlar çözülüyor, aylık rapor ve kapasite planlaması hizmetin parçası. Güvenlik olayları için ayrı bir SOC hizmetimiz var. Eclit bugün 20.000'den fazla sunucuyu yönetiyor.

Sık sorulan sorular

NOC ne demek? Network Operations Center, yani ağ operasyon merkezi. Kurumun BT altyapısını 7/24 izleyen ve kesintiye ilk müdahaleyi yapan ekip ve merkezdir.

NOC mühendisi ne iş yapar? İzleme ekranındaki uyarıları takip eder, sorunu doğrular, runbook'a göre ilk müdahaleyi yapar, çözemediği sorunu bir üst kademeye taşır ve olayı kayda geçirir. Kıdem arttıkça iş teşhisten kök neden analizine, izleme kurallarını iyileştirmeye ve otomasyona kayar.

NOC ile SOC aynı ekip olabilir mi? Küçük kurumlarda iki iş aynı ekipte toplanabilir, bazı sağlayıcılar da NOC ile SOC'u aynı merkezde işletir. Ama beceriler ve araçlar farklıdır: NOC erişilebilirliğe, SOC tehdide bakar. Aynı ekipte olsalar bile iki işin eskalasyon yolları ayrı tanımlanmalıdır.

7/24 izleme ile NOC aynı şey mi? Değil. İzleme bir faaliyet, NOC ise o faaliyeti yürüten ekip ve süreçtir. Gece çalan bir alarmı kimse karşılamıyorsa 7/24 izlemeniz var ama NOC'unuz yok demektir.

NOC hangi araçları kullanır? Altyapı ve ağ izleme sistemleri (açık kaynak tarafında Zabbix ya da Prometheus ve Grafana gibi), uygulama performans izleme (APM), log yönetimi, olay kaydı için bir ITSM platformu ve nöbetçiyi uyaran bir on-call sistemi. Araç ikinci sıradadır; asıl fark, uyarının kime ve hangi kuralla gittiğidir. Prometheus ve Grafana kurulumunu gözlemlenebilirlik yazımızda anlattık.

Kaynaklar

• IBM, What is a network operations center (NOC)?: NOC tanımı, görevleri, iç kaynak ve dış kaynak karşılaştırması
• AWS, What is a Network Operations Center?: NOC'un katmanları, eskalasyon kademeleri ve SOC ile farkı
• Bu katmanı nasıl işlettiğimiz: 7/24 izleme ve NOC hizmeti