SentinelDB360 architecture and data flow

Data Flow

Target DB → Collector → Ingestor → MongoDB → Backend → Frontend

Data flow is one-way: target databases are read-only (READ-only user), no data ever reaches DMC servers. All components run on the same Docker network; air-gap installs need no external internet connection.

Service Catalogue

Five services, clear responsibilities

FastAPI · port 8001

Backend

Ana API sunucusu. JWT auth, /api/v2/* endpoint'leri, ProviderFactory üzerinden hedef DB'lere bağlanır.

Bağımlılık: MongoDB

FastAPI · port 8002

Collector

Zamanlanmış metrik toplama servisi. Varsayılan 60 saniyede bir hedef veritabanlarını sorgular ve sonuçları Ingestor'a HTTP POST eder.

Bağımlılık: Ingestor, hedef DB'ler

FastAPI · port 8003

Ingestor

Collector'dan gelen metrikleri doğrular (Pydantic v2), zaman serisi indekslemesi yapar ve MongoDB metrics_ts koleksiyonuna yazar.

Bağımlılık: MongoDB

FastAPI · port 8004

Advisor

Bulgu üretici. Kural tabanlı analiz veya yapılandırılırsa Azure OpenAI / yerel Ollama ile insight üretir; findings koleksiyonuna yazar.

Bağımlılık: MongoDB, isteğe bağlı AI provider

React 19 · port 3000 (Nginx)

Frontend

Tek sayfa uygulaması. Axios + httpOnly cookie ile Backend'e bağlanır. Recharts/ECharts/React Flow tabanlı görselleştirme.

Bağımlılık: Backend

Mongo 7.0 · port 27017 (dahili)

MongoDB

Tek metadata deposu: kullanıcılar, kaynaklar, metrikler, bulgular, audit log. Production'da port dışa açılmaz, yalnızca container ağı.

Bağımlılık: —

Deployment Modes

Two install models

Online

Standard on-premise

Internet-connected Linux host. Pull Docker images from ACR via install.sh and run with docker-compose. License updates over the network.

Air-Gap

Offline (air-gap) install

For banking/government networks with no internet. Docker image bundle (~3.5 GB) is moved via USB or stage host, license delivered by hand as an Ed25519 JWT. Details →

Security Boundaries

Where is the data boundary drawn?

Hedef veritabanlarına okuma yetkisi yeter. Sentinel hedef DB'lerde yazma yapmaz; toplama için db_datareader seviyesi izin yeterli.
Kimlik bilgileri APP_ENC_KEY ile şifreli. 32 byte hex anahtarı kurum tarafından üretilir; DMC'de saklanmaz.
Auth: oturum JWT'si HS256 + httpOnly cookie. Şifreler bcrypt ile hash'lenir, plaintext saklanmaz. (Lisans JWT'si ayrıca Ed25519 ile imzalanır.)
Audit chain (Pro+). Tüm değişiklikler HMAC zincirli kayıt — log tampering tespit edilebilir.
Multi-tenant izolasyon. $jsonSchema ile org_id enforcement, cross-tenant query leak engellenir.
İstemci taraflı erişim: Frontend Backend'e /api/v2/* üzerinden erişir; CSP default-src 'self'.