Log Yönetimi ve ELK Stack Rehberi [2026]

Log Yonetimi Neden Kritik?

Modern yazilim sistemleri onlarca mikro servis, yuzlerce konteyner ve binlerce istek ile esanli calisiyor. Bu karmasik yapida bir hata olustu digunda "nerede, ne zaman, neden" sorularina yanit bulmak ancak etkili bir log yonetimi stratejisi ile mumkun. Dagitik sistemlerde her bilesenden gelen loglari tek bir noktada toplamak, analiz etmek ve anlam cikaracak sekilde goruntulenmek operasyonel mukemmelligin temelini olusturur.

Merkezi log yonetimi olmadan ekipler sunuculara tek tek SSH ile baglanarak log dosyalarini incelemek zorunda kalir. Bu yaklasim hem zaman kaybina hem de insan hatasina acik bir surec yaratir. Ozellikle uretim ortamlarinda bir olaya mudahale ederken saniyeler bile kritik oneme sahiptir.

Arastirmalar, etkili log yonetimi uygulayan organizasyonlarin ortalama hata tespit suresini (MTTD) yuzde 60'a kadar kisaltabildigini gostermektedir. Bu iyilesme dogrudan musteri deneyimine, sistem guvenilirligine ve ekip verimliligine yansir. Log yonetimi yalnizca bir teknik gereklilik degil, ayni zamanda is surekliligi icin stratejik bir yatirimdir.

Merkezi Log Yonetiminin Temel Avantajlari

Merkezi loglama yaklasimi, tum sistem bilesenlerinden gelen log verilerini tek bir platformda toplama, indeksleme ve sorgulama imkani sunar. Bu yaklasimin baslica avantajlari sunlardir:

Hizli Hata Tespiti ve Kok Neden Analizi

Farkli servislerden gelen loglar korelasyon ile iliskilendirildiginde, bir hatanin kok nedenine ulasma suresi onemli olcude kisalir. Ornegin bir kullanicinin odeme isleminde aldigi hatayi, API gateway loglarindan baslayarak odeme servisi, veritabani katmani ve ucuncu parti entegrasyon loglarina kadar izlemek mumkun hale gelir.

Proaktif Izleme ve Uyari

Log verilerindeki kaliplari analiz ederek sorunlar buyumeden tespit etmek mumkundur. Belirli bir hata mesajinin frekansi artiyor, yanit sureleri yukseliyor ya da belirli bir servis surekli yeniden baslatiliyorsa bu durumlar otomatik uyarilar ile ekibe bildirilir.

Uyumluluk ve Denetim

KVKK, PCI-DSS ve SOC 2 gibi duzenleyici cerceveler, sistemlerdeki erisim ve degisikliklerin loglanmasini zorunlu kilar. Merkezi log yonetimi bu uyumluluk gereksinimlerini karsilamanin en etkili yoludur.

Log Seviyeleri ve Yapilandirilmis Loglama

Etkili bir log stratejisinin ilk adimi, dogru log seviyelerini belirlemek ve yapilandirilmis (structured) loglama standartlari olusturmaktir.

Log Seviyeleri

Log seviyeleri genellikle asagidaki hiyerarsiye gore belirlenir:

• TRACE: En detayli seviye, hata ayiklama sirasinda kullanilir
• DEBUG: Gelistirme ortaminda detayli bilgi icin tercih edilir
• INFO: Normal sistem isleyisi hakkinda bilgilendirme mesajlari
• WARN: Potansiyel sorunlara isaret eden uyari mesajlari
• ERROR: Islem basarisizliklari ve hata durumlari
• FATAL: Sistemin calismasini engelleyen kritik hatalar

Uretim ortamlarinda genellikle INFO ve ustu seviyeler aktif tutulur. DEBUG ve TRACE seviyeleri yalnizca sorun giderme sirasinda gecici olarak aktif edilmelidir, aksi halde log hacmi kontrolsuz sekilde buyur.

Yapilandirilmis Loglama

Duz metin yerine JSON formatinda yapilandirilmis loglar kullanmak, loglarin makineler tarafindan islenmesini kolaylastirir. Her log kaydinda timestamp, seviye, servis adi, korelasyon kimlik numarasi (correlation ID), kullanici kimlik bilgisi ve ilgili is metaverisi bulunmalidir.

Korelasyon kimlikleri ozellikle onemlidir. Bir kullanici istegi sisteme girdiginde olusturulan benzersiz bir kimlik, tum servisler arasinda tasinarak o istege ait tum loglarin tek bir sorgu ile bulunmasini saglar.

Yapilandirilmis loglama icin popul kutuphaneler arasinda Java icin Logback ve Log4j2, Node.js icin Winston ve Pino, Python icin structlog ve loguru, Go icin Zap ve Zerolog sayilabilir. Bu kutuphaneler JSON formatinda log uretimi, otomatik alan ekleme ve performans optimizasyonu gibi ozellikler sunar. Ekip genelinde tutarli bir loglama standardi olusturmak icin ortak bir loglama kutuphanesi veya wrapper kullanilmasi onerilir.

ELK Stack Derinlemesine Inceleme

ELK Stack, Elastic sirketinin gelistirdigi uc temel bilesenden olusan acik kaynakli bir log yonetim platformudur. Gunumuzde Elastic Stack olarak da anilan bu yapiyi ayrintili inceleyelim.

Elasticsearch: Depolama ve Arama Motoru

Elasticsearch, Apache Lucene uzerine insa edilmis dagitik bir arama ve analiz motorudur. Loglarin indekslenmesi, depolanmasi ve hizli sekilde sorgulanmasi icin kullanilir. Yatay olceklendirme destegi sayesinde gunluk terabaytlarca veriyi isleyebilir.

Index lifecycle management (ILM) politikalari ile loglarin yasam dongusunu otomatik yonetmek mumkundur. Yeni loglar sicak (hot) node'larda tutulurken, eskileri ilik (warm) ve soguk (cold) katmanlara tasinirak maliyet optimize edilir.

Logstash: Veri Toplama ve Donusturme

Logstash, farkli kaynaklardan log verilerini toplayan, donsturen ve hedef sistemlere ileten bir veri isleme hattidur. Input, filter ve output eklentileri ile son derece esnek bir yapi sunar.

Filter asamasinda grok desenleri ile yapilandirilmamis loglar ayristirilabilir, alanlar eklenir veya cikarilir, hassas veriler maskelenir ve cografi konum bilgileri zenginlestirilir. Ancak Logstash'in JVM tabanli olmasi nedeniyle kaynak tuketimi yuksek olabilir; bu durumda daha hafif alternatifler degerlendirilmelidir.

Kibana: Gorsellestirme ve Kesfetme

Kibana, Elasticsearch verileri uzerinde interaktif gorsellestirmeler, panolar (dashboard) ve uyarilar olusturmak icin kullanilan web tabanli bir arayuzdur. Discover sekmesinde loglar uzerinde serbest metin aramalari yapilabilirken, Dashboard sekmesinde operasyonel gorunurluk saglayan grafikler ve tablolar olusturulur.

Kibana Lens ile surukle-birak yontemiyle hizli gorsellestirmeler olusturmak mumkundur. Alerting modulu ise belirli kosullar saglandiginda e-posta, Slack veya PagerDuty uzerinden bildirim gondermeyi destekler.

Beats: Hafif Veri Toplayicilar

Beats ailesi, ELK Stack icin tasarlanmis hafif veri toplayici ajanlardandir ve sunuculara minimum yuk bindirir.

Filebeat

Log dosyalarini izler ve icerikleri Elasticsearch veya Logstash'e iletir. Modulleri sayesinde Nginx, Apache, MySQL, Kubernetes ve daha bircok sistem icin hazir log ayristirma sablonlari sunar. Filebeat backpressure mekanizmasi ile hedef sistem yogun oldugunda gonderim hizini otomatik olarak duzenler.

Metricbeat

Sistem ve servis metriklerini toplar. CPU, bellek, disk kullanimi gibi isletim sistemi metriklerinin yani sira Docker, Kubernetes, Redis, PostgreSQL gibi servislerin metriklerini de otomatik olarak toplayabilir.

Heartbeat ve Auditbeat

Beats ailesinin diger onemli uyeleri Heartbeat ve Auditbeat'tir. Heartbeat, servislerin erisileblirlik durumunu duzenli araliklarla kontrol ederek uptime izlemesi yapar. HTTP, TCP ve ICMP protokolleri uzerinden saglik kontrolleri gerceklestirir. Auditbeat ise isletim sistemi seviyesinde guvenlik denetim kayitlarini toplar; dosya butunlugu izleme, kullanici oturum acma olaylari ve sistem cagrilari gibi guvenllik acisindan kritik olaylari Elasticsearch'e iletir.

Alternatif Log Yonetim Cozumleri

ELK Stack disinda, farkli ihtiyaclara yonelik guclu alternatifler de mevcuttur.

Grafana Loki

Grafana Labs tarafindan gelistirilen Loki, log iceriklerini indekslemek yerine yalnizca etiketleri (label) indeksler. Bu yaklasim depolama maliyetlerini onemli olcude dusurup operasyonel karmasikligi azaltir. Prometheus ile benzer bir etiket tabani mantik kullanan Loki, ozellikle Kubernetes ortamlarinda maliyet etkili bir cozumdur.

Loki, Grafana ile entegre calisarak log ve metrik verilerini ayni panoda gorsellestirme imkani sunar. LogQL sorgu dili ile guclu filtreleme ve aggregasyon islemleri yapilabilir.

Fluentd ve Fluent Bit

Cloud Native Computing Foundation (CNCF) projesi olan Fluentd, esnek eklenti mimarisi ile bircok kaynak ve hedef arasinda veri yonlendirmesi yapar. Daha hafif versiyonu Fluent Bit ise konteyner ortamlarinda DaemonSet olarak calistirilmak uzere optimize edilmistir. Kubernetes ekosisteminde Logstash yerine Fluent Bit tercih edilen yaklasim haline gelmistir.

Ticari Cozumler: Datadog ve Splunk

Datadog, log yonetimini metrikler ve APM ile entegre eden kapsamli bir gozlemlenebilirlik platformudur. Splunk ise ozellikle guvenlik ve uyumluluk odakli kurumsal log analizinde onyargilisiz bir pazar lideridir. Ancak her iki cozumun de veri hacmine bagli artan maliyetleri dikkatle degerlendirilmelidir.

Log Pipeline Mimarisi

Olceklenebilir bir log yonetim sistemi kurarken pipeline mimarisinin dogru tasarlanmasi kritik oneme sahiptir.

Toplama Katmani

Her sunucu veya konteyner uzerinde calistirilan hafif ajanlar (Filebeat, Fluent Bit) loglari toplar. Bu ajanlar minimum kaynak tuketecek sekilde yapilandirilmali ve log kaybi yasanmamasi icin disk tamponlama (disk buffering) aktif edilmelidir.

Tamponlama ve Kuyruk Katmani

Yuksek hacimli ortamlarda log toplayicilar ile islem katmani arasina Apache Kafka veya Redis gibi bir mesaj kuyrugu yerlestirmek, ani yuk artislarina karsi dayaniklilik saglar. Kafka ozellikle gunluk milyarlarca log olayi islenen ortamlarda tercih edilir.

Islem ve Zenginlestirme Katmani

Logstash veya Fluentd bu katmanda loglari ayristirir, donusturur, gereksiz alanlari cikarir ve ek bilgilerle zengilestirir. IP adreslerinden cografi konum cikarmak, kullanici kimliklerinden departman bilgisi eklemek gibi islemler bu katmanda gerceklestirilir.

Depolama ve Sorgulama Katmani

Islenmis loglar Elasticsearch, Loki veya baska bir depolama sistemine yazilir. Indeks stratejisi, shard sayisi ve replikasyon ayarlari performans ve maliyet dengesine gore yapilandirilmalidir.

Elasticsearch'te indeks tasarimi performansin anahtaridir. Gunluk indeksler (logs-2026.03.06 gibi) eski verilerin kolayca silinmesini saglarken, cok kucuk indeksler shard sayisini gereksiz arttirir. Buyuk sistemlerde data stream yaklasimi ile indeks yonetimi otomatiklestirilebilir. Shard basina 10-50 GB arasi veri tutmak genel bir en iyi pratik olarak kabul edilir.

Log Saklama ve Rotasyon Politikalari

Log verilerinin surekli birikmesi hem depolama maliyetlerini arttirir hem de sorgu performansini dusurur. Etkili saklama politikalari olusturmak icin su adimlari izlemek gerekir:

Sicak veriler (son 7 gun) hizli SSD depolamada tutulur ve tam indekslenir. Ilik veriler (7-30 gun) daha uygun maliyetli depolamaya tasinir. Soguk veriler (30-90 gun) sikitirilarak arsivlenir. 90 gunden eski veriler uyumluluk gereksinimleri yoksa silinir.

KVKK kapsaminda kisisel veri iceren loglar icin ozel saklama sureleri belirlenmeli ve sure sonunda otomatik silme mekanizmalari kurulmalidir. PCI-DSS ise en az 1 yillik log saklamayi zorunlu kilar.

Log Tabanli Uyari Stratejileri

Loglari yalnizca sorun sonrasi incelemek icin degil, proaktif uyari mekanizmalari kurmak icin de kullanmak gerekir. Etkili uyari stratejileri sunlari icerir:

Hata orani esikleri belirlenerek belirli bir zaman araliginda normalin uzerinde hata orani tespit edildiginde uyari tetiklenir. Anomali tespiti ile makine ogrenmesi algoritmalari kullanilarak normal log kaliplarindan sapma otomatik olarak algilanir. Kritik is sureci uyarilari ile odeme hatalari, kimlik dogrulama basarisizliklari gibi is acidan kritik olaylarda aninda bildirim gonderilir.

Uyari yorgunlugunu onlemek icin uyarilarin onceliklendirilmesi ve gruplandirilmasi buyuk onem tasir. Her uyari eyleme donusuturulabilir olmali ve acik bir mudahale prosedurune bagli olmalidir.

Guvenlik ve Uyumluluk Loglama

Guvenlik denetim loglamasi, sistem guvenliginin vazgecilmez bir bilesenidir. Kimlik dogrulama olaylari, yetkilendirme degisiklikleri, veri erisim kayitlari, yapilandirma degisiklikleri ve yonetici islemleri mutlaka loglanmalidir.

KVKK uyumlulugu icin kisisel verilere erisim ve islem kayitlarinin tutulmasi zorunludur. PCI-DSS ise odeme karti verilerine erisim loglarinin merkezi olarak toplanmasini ve duzensizliklerin izlenmesini gerektirir.

Log butunlugu icin log verilerinin degistirilemez (immutable) sekilde depolanmasi ve zaman damgalarinin guvenilir kaynaklarla senkronize edilmesi onemlidir. Write-once depolama veya blockchain tabanli log dogrulama yontemleri bu alanda giderek yayginlasmaktadir.

Log Analiz Desenleri

Hata Korelasyonu

Farkli servislerdeki hatalari zaman damgasi ve korelasyon kimligi uzerinden iliskilendirerek birbirine bagli hatalarin kok nedenini hizla bulmak mumkundur. Bir veritabani baglanti havuzu tukendigi icin API yanit surelerinin arttigini ve bunun da on ucdeki zaman asimi hatalarini tetikledigini log korelasyonu ile gormek kolaydir.

Istek Izleme (Request Tracing)

Dagitik izleme (distributed tracing) ile bir istegin tum servisler arasindaki yolculugunu uctan uca izlemek mumkundur. OpenTelemetry standartlari ile loglar, metrikler ve izler (traces) birbirine baglanarak tam bir gozlemlenebilirlik saglenir. Bu konu hakkinda daha fazla bilgi icin gozlemlenebilirlik ve monitoring stratejisi yazimizi inceleyebilirsiniz.

Performans Etkisi ve Maliyet Optimizasyonu

Loglama uygulamanin performansini olumsuz etkileyebilir. Asenkron loglama kullanmak, gereksiz DEBUG loglarini uretim ortaminda kapatmak ve ornekleme (sampling) teknikleri uygulamak performans etkisini minimize eder.

Maliyet optimizasyonu icin gereksiz alanlari log pipeline'inda erken asamada filtrelemek, log sikistrima kullanmak, katmanli depolama stratejisi uygulamak ve yuksek hacimli DEBUG loglarini yalnizca ihtiyac durumunda aktif etmek etkili yontemlerdir.

Smart Maple olarak musterilerimizin log yonetimi altyapilarini tasarlarken, hem operasyonel ihtiyaclari hem de maliyet dengesini gozeten cozumler sunuyoruz. Elasticsearch altyapisi hakkinda daha fazla bilgi icin Elasticsearch arama altyapisi rehberimizi inceleyebilirsiniz.

Kubernetes Ortamlarinda Log Yonetimi

Konteyner ve Kubernetes ortamlarinda log yonetimi, geleneksel sunucu tabanli yaklasimlardan onemli farkliliklar gosterir. Konteynerler gecici (ephemeral) oldugu icin loglar konteyner icinde depolanamaz; bir konteyner yeniden baslatiginda veya olceklendiginde loglar kaybolur.

Kubernetes'te standart yaklasim, uygulamalarin loglarini stdout ve stderr'e yazmasidir. Bu loglar node seviyesinde dosyalara yonlendirilir ve DaemonSet olarak calistirilan Fluent Bit veya Filebeat tarafindan toplanir. Sidecar container yaklasimi ise ozel log formatlari veya dosyaya yazan uygulamalar icin alternatif bir yontemdir.

Kubernetes metadata'si (pod adi, namespace, node, label'lar) loglara otomatik olarak eklenerek filtreleme ve gruplama islemlerini kolaylastirir. Helm chart veya operator tabanli kurulumlar ile log toplama ajanlarinin yasam dongusu Kubernetes ile entegre sekilde yonetilebilir.

Sonuc

Etkili log yonetimi, modern yazilim operasyonlarinin bel kemigini olusturur. ELK Stack veya Grafana Loki gibi platformlar ile merkezi loglama altyapisi kurmak, yapilandirilmis loglama standartlari belirlemek ve log tabanli uyari mekanizmalari olusturmak, hem operasyonel verimlilige hem de guvenlik uyumluluguna onemli katkilar saglar.

Log yonetimi stratejisi olusturulurken organizasyonun buyuklugu, log hacmi, butce ve uyumluluk gereksinimleri birlikte degerlendirilmelidir. Kucuk ekipler icin Grafana Loki gibi hafif cozumler yeterli olabilirken, buyuk olcekli kurumsal ortamlarda ELK Stack veya ticari cozumler daha uygun olabilir. Hangi arac secilirse secilsin, yapilandirilmis loglama standartlari, korelasyon kimlikleri ve log tabanli uyari mekanizmalari her olcekte uygulanmasi gereken temel pratiklerdir.

Dogru log stratejisi ile sorun tespit surelerini kisaltabilir, sistem guvenilirligini arttirabilir ve uyumluluk gereksinimlerini karsilayabilirsiniz. Onemli olan loglari yalnizca toplamak degil, onlardan anlam cikartarak aksiyona donusturulecek icerikler uretmektir.