В современных корпоративных информационных системах объем генерируемых событий безопасности исчисляется миллионами в секунду, что предъявляет исключительно высокие требования к системам централизованного логирования. Классическая двухзвенная архитектура Logstash f OpenSearch зачастую не справляется с пиковыми нагрузками, приводя к потерям данных и неприемлемым задержкам. В статье предлагается подход к оптимизации производительности стека ELK за счет внедрения брокера сообщений RabbitMQ в качестве буфера устойчивости и глубокой настройки компонентов. Архитектура решения включает кластеризацию RabbitMQ для обеспечения отказоустойчивости, оптимизацию параметров Logstash (persistent queues, батчинг, многопоточность) и реализацию многоуровневой стратегии хранения данных в OpenSearch на основе нод с различными характеристиками производительности (hot, warm, cold, frozen). Особое внимание уделено соответствию требованиям информационной безопасности: обеспечению конфиденциальности, целостности и доступности (CIA) данных на всех этапах их жизненного цикла с использованием TLS-шифрования, RBAC и политик ILM. Проведенные испытания демонстрируют трехкратное увеличение пропускной способности системы, существенное снижение задержки и практическое исключение потерь данных.

< ... >