G\u00fcn\u00fcm\u00fcz\u00fcn karma\u015f\u0131k ve da\u011f\u0131t\u0131k sistem mimarilerinde, sunucular, uygulamalar, a\u011f cihazlar\u0131 ve di\u011fer altyap\u0131 bile\u015fenleri s\u00fcrekli olarak b\u00fcy\u00fck miktarda log (g\u00fcnl\u00fck) verisi \u00fcretir. Bu loglar, sistemlerin durumu, performans\u0131, hatalar, g\u00fcvenlik olaylar\u0131 ve kullan\u0131c\u0131 davran\u0131\u015flar\u0131 hakk\u0131nda kritik bilgiler i\u00e7erir. Ancak, bu loglar\u0131n farkl\u0131 sunuculara ve farkl\u0131 formatlarda da\u011f\u0131lm\u0131\u015f olmas\u0131, manuel olarak incelenmesini ve anlaml\u0131 i\u00e7g\u00f6r\u00fcler elde etmeyi son derece zorla\u015ft\u0131r\u0131r. \u0130\u015fte bu noktada merkezi log y\u00f6netimi devreye girer.<\/p>\n
Merkezi log y\u00f6netimi, farkl\u0131 kaynaklardan gelen t\u00fcm log verilerini tek bir konumda toplama, depolama, indeksleme, arama ve analiz etme s\u00fcrecidir. Bu yakla\u015f\u0131m, sistem y\u00f6neticilerine ve geli\u015ftiricilere, sistem genelinde meydana gelen olaylar\u0131 an\u0131nda g\u00f6rme, sorunlar\u0131 daha h\u0131zl\u0131 te\u015fhis etme, g\u00fcvenlik ihlallerini tespit etme ve performans darbo\u011fazlar\u0131n\u0131 belirleme yetene\u011fi kazand\u0131r\u0131r. Ayr\u0131ca, uyumluluk gereksinimleri (\u00f6rne\u011fin GDPR, HIPAA) i\u00e7in loglar\u0131n belirli bir s\u00fcre boyunca saklanmas\u0131 ve gerekti\u011finde sorgulanabilir olmas\u0131 da merkezi log y\u00f6netiminin \u00f6nemli bir faydas\u0131d\u0131r.<\/p>\n
Bu makalede, a\u00e7\u0131k kaynakl\u0131 ve g\u00fc\u00e7l\u00fc bir \u00e7\u00f6z\u00fcm olan Elastic Stack’in (eski ad\u0131yla ELK Stack) iki temel bile\u015feni olan Logstash ve Kibana’y\u0131 kullanarak Ubuntu 14.04 i\u015fletim sistemi \u00fczerinde merkezi bir log y\u00f6netim sistemi nas\u0131l kurulaca\u011f\u0131n\u0131 ve yap\u0131land\u0131r\u0131laca\u011f\u0131n\u0131 ayr\u0131nt\u0131l\u0131 olarak inceleyece\u011fiz. Ubuntu 14.04, eski bir s\u00fcr\u00fcm olsa da, bir\u00e7ok eski sistemde hala kullan\u0131mda olabilir ve bu k\u0131lavuz, bu t\u00fcr ortamlar i\u00e7in \u00f6zel olarak haz\u0131rlanm\u0131\u015ft\u0131r.<\/p>\n
ELK Stack, log y\u00f6netimi ve analizi i\u00e7in tasarlanm\u0131\u015f g\u00fc\u00e7l\u00fc bir ara\u00e7 tak\u0131m\u0131d\u0131r. \u00dc\u00e7 ana bile\u015fenden olu\u015fur: Elasticsearch, Logstash ve Kibana. Sonradan Filebeat gibi hafif veri g\u00f6ndericiler de bu ekosistemin \u00f6nemli bir par\u00e7as\u0131 haline gelmi\u015ftir.<\/p>\n
Elasticsearch, da\u011f\u0131t\u0131k, RESTful, a\u00e7\u0131k kaynakl\u0131 bir arama ve analiz motorudur. T\u00fcm log verilerinizin depoland\u0131\u011f\u0131 yerdir. Y\u00fcksek \u00f6l\u00e7eklenebilirlik, esneklik ve ger\u00e7ek zamanl\u0131 arama yetenekleri sunar. Logstash taraf\u0131ndan i\u015flenen veriler, analiz ve g\u00f6rselle\u015ftirme i\u00e7in Elasticsearch’e g\u00f6nderilir.<\/p>\n
Logstash, \u00e7e\u015fitli kaynaklardan (dosyalar, syslog, mesaj kuyruklar\u0131 vb.) log ve olay verilerini toplayan, i\u015fleyen (parse eden, d\u00f6n\u00fc\u015ft\u00fcren, zenginle\u015ftiren) ve ard\u0131ndan bir dizi farkl\u0131 hedefe (Elasticsearch, Kafka, S3 vb.) g\u00f6nderen dinamik bir veri i\u015fleme boru hatt\u0131d\u0131r. Logstash’in temel i\u015f ak\u0131\u015f\u0131 \u00fc\u00e7 a\u015famadan olu\u015fur: Kibana, Elasticsearch’te depolanan veriler i\u00e7in bir g\u00f6rselle\u015ftirme ve ke\u015fif arac\u0131d\u0131r. Kullan\u0131c\u0131 dostu bir web aray\u00fcz\u00fc sa\u011flar. Log verilerinizi interaktif grafikler, tablolar ve haritalar arac\u0131l\u0131\u011f\u0131yla analiz edebilir, \u00f6zel panolar (dashboards) olu\u015fturabilir ve trendleri, anormallikleri veya belirli olaylar\u0131 kolayca tespit edebilirsiniz.<\/p>\n Ubuntu 14.04 \u00fczerinde ELK Stack kurulumu i\u00e7in baz\u0131 \u00f6n gereksinimler bulunmaktad\u0131r.<\/p>\n * Java Gerekir:<\/strong> Elasticsearch ve Logstash, Java sanal makinesi (JVM) \u00fczerinde \u00e7al\u0131\u015f\u0131r. Ubuntu 14.04 i\u00e7in OpenJDK 7 veya 8 \u00f6nerilir. Bu makalede OpenJDK 7 kullanaca\u011f\u0131z. Ba\u015flamadan \u00f6nce sisteminizi g\u00fcncelleyelim: Elasticsearch ve Logstash’in d\u00fczg\u00fcn \u00e7al\u0131\u015fmas\u0131 i\u00e7in Java gereklidir. Ubuntu 14.04 i\u00e7in OpenJDK 7’yi kural\u0131m:<\/p>\n sudo apt-get install openjdk-7-jre-headless -y<\/p>\n Java’n\u0131n do\u011fru \u015fekilde kurulup kurulmad\u0131\u011f\u0131n\u0131 kontrol edin: \u00c7\u0131kt\u0131 \u015f\u00f6yle bir \u015feye benzemelidir: Elasticsearch’\u00fc kurmak i\u00e7in Elastic’in APT deposunu sistemimize eklememiz gerekiyor.<\/p>\n 1. GPG anahtar\u0131n\u0131 ekleyin:<\/strong> 2. APT kaynak listesine Elastic deposunu ekleyin:<\/strong> Not: Ubuntu 14.04 i\u00e7in Elastic Stack’in 2.x serisi genellikle daha uyumludur. Bu nedenle depo URL’sinde 3. Paket listesini g\u00fcncelleyin ve Elasticsearch’\u00fc kurun:<\/strong> 4. Elasticsearch’\u00fc ba\u015flat\u0131n ve sistem ba\u015flang\u0131c\u0131nda \u00e7al\u0131\u015facak \u015fekilde ayarlay\u0131n:<\/strong> 5. Temel Yap\u0131land\u0131rma (\u0130ste\u011fe Ba\u011fl\u0131 ama \u00d6nemli):<\/strong> sudo nano \/etc\/elasticsearch\/elasticsearch.yml<\/p>\n A\u015fa\u011f\u0131daki sat\u0131rlar\u0131 bulun veya ekleyin (ba\u015f\u0131na De\u011fi\u015fiklikleri kaydedip \u00e7\u0131kt\u0131ktan sonra Elasticsearch servisini yeniden ba\u015flat\u0131n: 6. Elasticsearch’\u00fcn \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131 do\u011frulay\u0131n:<\/strong> Ba\u015far\u0131l\u0131 bir kurulumda, Elasticsearch’\u00fcn s\u00fcr\u00fcm\u00fcn\u00fc ve di\u011fer bilgilerini i\u00e7eren bir JSON \u00e7\u0131kt\u0131s\u0131 almal\u0131s\u0131n\u0131z.<\/p>\n Logstash da ayn\u0131 Elastic deposundan kurulabilir.<\/p>\n 1. Paket listesini g\u00fcncelleyin ve Logstash’i kurun:<\/strong> 2. Logstash’in varsay\u0131lan olarak ba\u015flamamas\u0131n\u0131 sa\u011flay\u0131n (yap\u0131land\u0131rmadan \u00f6nce):<\/strong> Logstash, do\u011fru yap\u0131land\u0131rma olmadan ba\u015flat\u0131l\u0131rsa hata verebilir. Bu y\u00fczden \u00f6nce yap\u0131land\u0131rma yapaca\u011f\u0131z, sonra ba\u015flataca\u011f\u0131z.<\/p>\n Kibana da ayn\u0131 Elastic deposundan kurulabilir.<\/p>\n 1. Paket listesini g\u00fcncelleyin ve Kibana’y\u0131 kurun:<\/strong> 2. Kibana yap\u0131land\u0131rmas\u0131:<\/strong> sudo nano \/opt\/kibana\/config\/kibana.yml<\/p>\n A\u015fa\u011f\u0131daki sat\u0131rlar\u0131 bulun ve d\u00fczenleyin (ba\u015f\u0131na 3. Kibana’y\u0131 ba\u015flat\u0131n ve sistem ba\u015flang\u0131c\u0131nda \u00e7al\u0131\u015facak \u015fekilde ayarlay\u0131n:<\/strong> 4. G\u00fcvenlik Duvar\u0131 Ayarlar\u0131 (UFW):<\/strong> sudo ufw allow 9200\/tcp Logstash yap\u0131land\u0131rmas\u0131, \u00d6rnek olarak, hem Filebeat (istemcilerden log toplamak i\u00e7in hafif bir g\u00f6nderici) hem de Rsyslog (geleneksel sistem loglar\u0131 i\u00e7in) ile log toplayacak ve bu loglar\u0131 Elasticsearch’e g\u00f6nderecek bir yap\u0131land\u0131rma olu\u015ftural\u0131m.<\/p>\n sudo nano \/etc\/logstash\/conf.d\/02-beats-input.conf<\/p>\n \u0130\u00e7eri\u011fi a\u015fa\u011f\u0131daki gibi olsun: sudo nano \/etc\/logstash\/conf.d\/10-syslog-filter.conf<\/p>\n \u0130\u00e7eri\u011fi a\u015fa\u011f\u0131daki gibi olsun: sudo nano \/etc\/logstash\/conf.d\/30-elasticsearch-output.conf<\/p>\n \u0130\u00e7eri\u011fi a\u015fa\u011f\u0131daki gibi olsun: Bu \u00f6rnek yap\u0131land\u0131rmada: Yap\u0131land\u0131rma dosyalar\u0131n\u0131 kaydettikten sonra Logstash servisini ba\u015flat\u0131n ve sistem ba\u015flang\u0131c\u0131nda \u00e7al\u0131\u015facak \u015fekilde ayarlay\u0131n:<\/p>\n sudo service logstash start Logstash’in sorunsuz \u00e7al\u0131\u015ft\u0131\u011f\u0131ndan emin olmak i\u00e7in loglar\u0131n\u0131 kontrol edebilirsiniz: Kibana, Elasticsearch’teki verileri g\u00f6rselle\u015ftirmek i\u00e7in kullan\u0131l\u0131r. Daha \u00f6nce Kibana’ya do\u011frudan 5601 portundan eri\u015fmek yerine, g\u00fcvenlik ve HTTPS deste\u011fi i\u00e7in bir web sunucusu (Nginx veya Apache) ile ters proxy arkas\u0131na almak iyi bir uygulamad\u0131r. Bu, kimlik do\u011frulama eklemenize ve SSL sertifikalar\u0131 kullanman\u0131za olanak tan\u0131r.<\/p>\n 1. Nginx Kurulumu:<\/strong> 2. Kibana i\u00e7in Nginx yap\u0131land\u0131rmas\u0131:<\/strong> \u0130\u00e7eri\u011fi a\u015fa\u011f\u0131daki gibi olsun: auth_basic “Restricted Access”; location \/ { 3. Kullan\u0131c\u0131 ad\u0131 ve \u015fifre olu\u015fturun:<\/strong> 4. Yap\u0131land\u0131rmay\u0131 etkinle\u015ftirin ve Nginx’i yeniden ba\u015flat\u0131n:<\/strong> \u015eimdi taray\u0131c\u0131n\u0131zdan Kibana aray\u00fcz\u00fcne giri\u015f yapt\u0131ktan sonra:<\/p>\n 1. Index Pattern Olu\u015fturma:<\/strong> 2. Discover Sekmesi:<\/strong> 3. Visualize ve Dashboard Sekmeleri:<\/strong> Logstash sunucusu kurulduktan ve yap\u0131land\u0131r\u0131ld\u0131ktan sonra, loglar\u0131 merkezi sunucuya g\u00f6ndermek i\u00e7in istemci makinelerde de baz\u0131 ayarlamalar yap\u0131lmas\u0131 gerekir.<\/p>\n Filebeat, log dosyalar\u0131n\u0131 izlemek ve Logstash veya Elasticsearch’e g\u00f6ndermek i\u00e7in tasarlanm\u0131\u015f hafif bir veri g\u00f6ndericisidir (shipper). Sistem kaynaklar\u0131n\u0131 \u00e7ok az kullan\u0131r ve loglar\u0131 g\u00fcvenli bir \u015fekilde aktar\u0131r. Ubuntu 14.04 istemcilerinden log toplamak i\u00e7in idealdir.<\/p>\n 1. Filebeat Kurulumu (\u0130stemci Makinede):<\/strong> 2. Filebeat Yap\u0131land\u0131rmas\u0131:<\/strong> sudo nano \/etc\/filebeat\/filebeat.yml<\/p>\n A\u015fa\u011f\u0131daki b\u00f6l\u00fcmleri d\u00fczenleyin:<\/p>\n # Log dosyalar\u0131n\u0131n yollar\u0131n\u0131 belirtin # Logstash sunucunuzun adresini belirtin output.elasticsearch: # Elasticsearch’e do\u011frudan g\u00f6ndermek isterseniz bu b\u00f6l\u00fcm\u00fc kullan\u0131n, aksi takdirde yorum sat\u0131r\u0131 yap\u0131n 3. Filebeat’i Ba\u015flat\u0131n:<\/strong> Filebeat, belirtilen log dosyalar\u0131n\u0131 izlemeye ba\u015flayacak ve yeni sat\u0131rlar\u0131 Logstash sunucusuna g\u00f6nderecektir.<\/p>\n Eski sistemlerde veya Filebeat kurulamayan durumlarda, Rsyslog’u kullanarak da loglar\u0131 Logstash’e g\u00f6nderebilirsiniz. Bu y\u00f6ntem genellikle standart sistem loglar\u0131 i\u00e7in kullan\u0131l\u0131r.<\/p>\n 1. Rsyslog Yap\u0131land\u0131rmas\u0131 (\u0130stemci Makinede):<\/strong> Dosyan\u0131n sonuna a\u015fa\u011f\u0131daki sat\u0131rlar\u0131 ekleyin: # Loglar\u0131 TCP \u00fczerinden Logstash sunucusuna g\u00f6nderin Veya UDP \u00fczerinden (daha az g\u00fcvenilir ama daha az gecikmeli): 2. Rsyslog Servisini Yeniden Ba\u015flat\u0131n:<\/strong> \u015eimdi istemciden gelen syslog loglar\u0131 Logstash’e iletilecektir.<\/p>\n Merkezi log y\u00f6netim sistemi kurarken g\u00fcvenlik \u00e7ok \u00f6nemlidir.<\/p>\n * G\u00fcvenlik Duvar\u0131 (UFW):<\/strong> Sadece gerekli portlara (5044, 5000, 9200, 5601) izin verin ve m\u00fcmk\u00fcnse bu portlara sadece g\u00fcvenilir IP adreslerinden eri\u015fime izin verin. Kurulum veya yap\u0131land\u0131rma s\u0131ras\u0131nda sorunlarla kar\u015f\u0131la\u015fmak do\u011fald\u0131r. \u0130\u015fte baz\u0131 yayg\u0131n sorun giderme ipu\u00e7lar\u0131:<\/p>\n * Log Dosyalar\u0131n\u0131 Kontrol Edin:<\/strong> * Servis Durumunu Kontrol Edin:<\/strong> * Port Kontrol\u00fc:<\/strong> \u0130lgili portlar\u0131n a\u00e7\u0131k ve dinlemede oldu\u011fundan emin olun. * Logstash Yap\u0131land\u0131rma Kontrol\u00fc:<\/strong> Logstash yap\u0131land\u0131rma dosyalar\u0131n\u0131zda bir hata olup olmad\u0131\u011f\u0131n\u0131 test edin. Kibana Index Pattern:<\/strong> Kibana’da do\u011fru index pattern’i ( Bu makalede, Ubuntu 14.04 i\u015fletim sistemi \u00fczerinde Logstash ve Kibana kullanarak merkezi bir log y\u00f6netim sisteminin nas\u0131l kurulaca\u011f\u0131n\u0131 ve yap\u0131land\u0131r\u0131laca\u011f\u0131n\u0131 ayr\u0131nt\u0131l\u0131 olarak ele ald\u0131k. Elasticsearch’in temel rol\u00fcn\u00fc, Logstash’in veri i\u015fleme yeteneklerini ve Kibana’n\u0131n g\u00f6rselle\u015ftirme g\u00fcc\u00fcn\u00fc g\u00f6rd\u00fck. Ayr\u0131ca, istemcilerden log toplamak i\u00e7in Filebeat ve Rsyslog kullan\u0131m\u0131n\u0131 ve sistemin g\u00fcvenli\u011fini sa\u011flamak i\u00e7in al\u0131nmas\u0131 gereken \u00f6nlemleri de inceledik.<\/p>\n Merkezi log y\u00f6netimi, modern BT altyap\u0131lar\u0131nda operasyonel verimlili\u011fi art\u0131rmak, sorunlar\u0131 h\u0131zla \u00e7\u00f6zmek ve g\u00fcvenlik duru\u015funu g\u00fc\u00e7lendirmek i\u00e7in vazge\u00e7ilmez bir ara\u00e7t\u0131r. ELK Stack, esnekli\u011fi, \u00f6l\u00e7eklenebilirli\u011fi ve zengin \u00f6zellik setiyle bu ihtiyac\u0131 kar\u015f\u0131lamak i\u00e7in g\u00fc\u00e7l\u00fc bir \u00e7\u00f6z\u00fcm sunar. Kurulum ve yap\u0131land\u0131rma ba\u015flang\u0131\u00e7ta karma\u015f\u0131k g\u00f6r\u00fcnse de, do\u011fru ad\u0131mlar\u0131 izleyerek ve iyi bir planlama ile da\u011f\u0131t\u0131k sistemlerinizin loglar\u0131n\u0131 tek bir noktadan y\u00f6netmenin ve analiz etmenin avantajlar\u0131ndan faydalanabilirsiniz. Bu sayede, sistemleriniz hakk\u0131nda daha derinlemesine i\u00e7g\u00f6r\u00fcler elde edebilir, proaktif kararlar alabilir ve genel sistem sa\u011fl\u0131\u011f\u0131n\u0131 iyile\u015ftirebilirsiniz. Unutulmamal\u0131d\u0131r ki, burada bahsedilen Ubuntu 14.04 art\u0131k resmi deste\u011fe sahip olmayan bir sistemdir; yeni kurulumlar i\u00e7in daha g\u00fcncel i\u015fletim sistemleri ve ELK Stack s\u00fcr\u00fcmleri tercih edilmelidir. Ancak mevcut eski sistemler i\u00e7in bu k\u0131lavuz de\u011ferli bir referans niteli\u011findedir.<\/p>\n
\n* Input (Giri\u015fler):<\/strong> Log verilerini nereden alaca\u011f\u0131n\u0131 tan\u0131mlar (\u00f6rne\u011fin, dosyalardan, a\u011f \u00fczerinden, mesaj kuyruklar\u0131ndan).
\n* Filter (Filtreler):<\/strong> Gelen log verilerini analiz eder, parse eder, d\u00f6n\u00fc\u015ft\u00fcr\u00fcr ve zenginle\u015ftirir (\u00f6rne\u011fin, Grok ile yap\u0131land\u0131r\u0131lmam\u0131\u015f loglar\u0131 parse etme, GeoIP ile IP adreslerinden co\u011frafi konum bilgisi ekleme).
\n* Output (\u00c7\u0131k\u0131\u015flar):<\/strong> \u0130\u015flenmi\u015f veriyi nereye g\u00f6nderece\u011fini tan\u0131mlar (genellikle Elasticsearch).<\/p>\nKibana: Veri G\u00f6rselle\u015ftirme ve Kontrol Paneli<\/h4>\n
Sistem Gereksinimleri ve \u00d6n Haz\u0131rl\u0131klar (Ubuntu 14.04)<\/h3>\n
\n* Sistem Kaynaklar\u0131:<\/strong> Yeterli RAM (en az 4GB, ideal olarak 8GB veya daha fazla) ve disk alan\u0131 (log hacmine ba\u011fl\u0131 olarak) gereklidir. \u00d6zellikle Elasticsearch, RAM’i yo\u011fun kullan\u0131r.
\n* \u0130nternet Ba\u011flant\u0131s\u0131:<\/strong> Paketleri indirmek i\u00e7in gereklidir.
\n* Root Yetkileri:<\/strong> Kurulum ve yap\u0131land\u0131rma i\u00e7in sudo<\/code> yetkilerine sahip bir kullan\u0131c\u0131.<\/p>\n
\nsudo apt-get update
\nsudo apt-get upgrade -y<\/p>\nKurulum Ad\u0131mlar\u0131<\/h3>\n
Java Kurulumu<\/h4>\n
\njava -version<\/p>\n
\njava version “1.7.0_XX”
\nOpenJDK Runtime Environment (IcedTea 2.X.X) (7uXX-2.X.X-1ubuntuX)
\nOpenJDK 64-Bit Server VM (build 24.XX-bXX, mixed mode)<\/p>\nElasticsearch Kurulumu<\/h4>\n
\n wget -qO – https:\/\/artifacts.elastic.co\/GPG-KEY-elasticsearch | sudo apt-key add –<\/p>\n
\n echo “deb https:\/\/artifacts.elastic.co\/packages\/2.x\/apt stable main” | sudo tee -a \/etc\/apt\/sources.list.d\/elastic-2.x.list<\/p>\n2.x<\/code> kullan\u0131lm\u0131\u015ft\u0131r.<\/em><\/p>\n
\n sudo apt-get update
\n sudo apt-get install elasticsearch -y<\/p>\n
\n sudo service elasticsearch start
\n sudo update-rc.d elasticsearch defaults 95 10<\/p>\n
\n Elasticsearch’\u00fcn yap\u0131land\u0131rma dosyas\u0131 \/etc\/elasticsearch\/elasticsearch.yml<\/code> konumundad\u0131r. En az\u0131ndan network.host<\/code> ayar\u0131n\u0131 yapman\u0131z \u00f6nerilir, b\u00f6ylece Elasticsearch sadece localhost yerine belirli bir IP adresinden veya t\u00fcm aray\u00fczlerden eri\u015filebilir olur.<\/p>\n#<\/code> i\u015fareti varsa kald\u0131r\u0131n):
\n network.host: 0.0.0.0
\n cluster.name: my-elk-cluster # Kendi k\u00fcme ad\u0131n\u0131z\u0131 belirleyebilirsiniz.<\/p>\n
\n sudo service elasticsearch restart<\/p>\n
\n curl -XGET ‘http:\/\/localhost:9200’<\/p>\nLogstash Kurulumu<\/h4>\n
\n sudo apt-get update
\n sudo apt-get install logstash -y<\/p>\n
\n sudo update-rc.d logstash disable<\/p>\nKibana Kurulumu<\/h4>\n
\n sudo apt-get update
\n sudo apt-get install kibana -y<\/p>\n
\n Kibana’n\u0131n yap\u0131land\u0131rma dosyas\u0131 \/opt\/kibana\/config\/kibana.yml<\/code> konumundad\u0131r.<\/p>\n#<\/code> i\u015fareti varsa kald\u0131r\u0131n):
\n server.port: 5601
\n server.host: “0.0.0.0”
\n elasticsearch.url: “http:\/\/localhost:9200” # Elasticsearch sunucunuzun adresi<\/p>\nserver.host: \"0.0.0.0\"<\/code> Kibana’n\u0131n t\u00fcm a\u011f aray\u00fczlerinden eri\u015filebilir olmas\u0131n\u0131 sa\u011flar. G\u00fcvenlik i\u00e7in daha sonra bir web sunucusu (Nginx\/Apache) ile ters proxy arkas\u0131na alman\u0131z \u00f6nerilir.<\/p>\n
\n sudo service kibana start
\n sudo update-rc.d kibana defaults 95 10<\/p>\n
\n E\u011fer UFW kullan\u0131yorsan\u0131z, Elasticsearch (9200, 9300), Logstash (\u00f6rne\u011fin 5044, 5000) ve Kibana (5601) portlar\u0131na gelen ba\u011flant\u0131lara izin vermelisiniz.<\/p>\n
\n sudo ufw allow 5601\/tcp
\n sudo ufw allow 5044\/tcp # Filebeat i\u00e7in
\n sudo ufw allow 5000\/tcp # Rsyslog i\u00e7in
\n sudo ufw enable
\n sudo ufw status<\/p>\nLogstash Yap\u0131land\u0131rmas\u0131: Loglar\u0131 Toplama ve \u0130\u015fleme<\/h3>\n
\/etc\/logstash\/conf.d\/<\/code> dizinindeki .conf<\/code> uzant\u0131l\u0131 dosyalarda yap\u0131l\u0131r. Her dosya bir veya daha fazla input, filter ve output blo\u011fu i\u00e7erebilir.<\/p>\n
\ninput {
\n beats {
\n port => 5044
\n ssl => false # E\u011fer Filebeat’ten SSL ile g\u00f6ndermiyorsan\u0131z false b\u0131rak\u0131n
\n }
\n}<\/p>\n
\nfilter {
\n if [type] == “syslog” {
\n grok {
\n match => { “message” => “%{SYSLOGTIMESTAMP:syslog_timestamp} %{SYSLOGHOST:syslog_hostname} %{DATA:syslog_program}(?:\\[%{POSINT:syslog_pid}\\])?: %{GREEDYDATA:syslog_message}” }
\n add_field => [ “received_at”, “%{@timestamp}” ]
\n add_field => [ “received_from”, “%{host}” ]
\n }
\n date {
\n match => [ “syslog_timestamp”, “MMM d HH:mm:ss”, “MMM dd HH:mm:ss” ]
\n }
\n # E\u011fer grok ba\u015far\u0131s\u0131z olursa, mesaj\u0131 ham b\u0131rak
\n if “_grokparsefailure” in [tags] {
\n drop {} # Veya sadece logstash’in varsay\u0131lan davran\u0131\u015f\u0131na b\u0131rak\u0131n
\n }
\n }
\n}<\/p>\n
\noutput {
\n elasticsearch {
\n hosts => [“localhost:9200”] # Elasticsearch sunucunuzun adresi
\n manage_template => false
\n index => “logstash-%{+YYYY.MM.dd}” # Her g\u00fcn i\u00e7in yeni bir indeks olu\u015fturur
\n }
\n stdout {
\n codec => rubydebug # Logstash’in \u00e7\u0131kt\u0131s\u0131n\u0131 konsolda g\u00f6rmek i\u00e7in (hata ay\u0131klama ama\u00e7l\u0131)
\n }
\n}<\/p>\n
\n* 02-beats-input.conf:<\/strong> Filebeat’ten 5044 portu \u00fczerinden gelen loglar\u0131 dinler.
\n* 10-syslog-filter.conf:<\/strong> E\u011fer log tipi “syslog” ise, Grok filtresi kullanarak standart syslog format\u0131ndaki mesajlar\u0131 parse eder. syslog_timestamp<\/code>, syslog_hostname<\/code> gibi alanlara ay\u0131r\u0131r.
\n* 30-elasticsearch-output.conf:<\/strong> \u0130\u015flenmi\u015f t\u00fcm loglar\u0131 localhost:9200<\/code> adresindeki Elasticsearch’e g\u00f6nderir. Loglar, her g\u00fcn i\u00e7in yeni bir indeks (logstash-YYYY.MM.DD<\/code>) olu\u015fturularak depolan\u0131r. stdout<\/code> \u00e7\u0131kt\u0131s\u0131, Logstash’in ne i\u015fledi\u011fini konsolda g\u00f6rmenizi sa\u011flar, bu hata ay\u0131klama i\u00e7in \u00e7ok kullan\u0131\u015fl\u0131d\u0131r.<\/p>\n
\nsudo update-rc.d logstash defaults 95 10<\/p>\n
\ntail -f \/var\/log\/logstash\/logstash-plain.log<\/p>\nKibana Yap\u0131land\u0131rmas\u0131 ve Kullan\u0131m\u0131<\/h3>\n
\/opt\/kibana\/config\/kibana.yml<\/code> dosyas\u0131n\u0131 yap\u0131land\u0131rm\u0131\u015ft\u0131k.<\/p>\nNginx ile Ters Proxy Kurulumu (\u00d6nerilen)<\/h4>\n
\n sudo apt-get install nginx apache2-utils -y<\/p>\n
\n sudo nano \/etc\/nginx\/sites-available\/kibana<\/p>\n
\n server {
\n listen 80;
\n server_name your_domain_or_ip; # Kendi alan ad\u0131n\u0131z\u0131 veya IP adresinizi yaz\u0131n<\/p>\n
\n auth_basic_user_file \/etc\/nginx\/htpasswd.users;<\/p>\n
\n proxy_pass http:\/\/localhost:5601;
\n proxy_http_version 1.1;
\n proxy_set_header Upgrade $http_upgrade;
\n proxy_set_header Connection ‘upgrade’;
\n proxy_set_header Host $host;
\n proxy_cache_bypass $http_upgrade;
\n }
\n }<\/p>\n
\n sudo htpasswd -c \/etc\/nginx\/htpasswd.users kibanaadmin # ‘kibanaadmin’ yerine istedi\u011finiz kullan\u0131c\u0131 ad\u0131n\u0131 yaz\u0131n<\/p>\n
\n sudo ln -s \/etc\/nginx\/sites-available\/kibana \/etc\/nginx\/sites-enabled\/
\n sudo rm \/etc\/nginx\/sites-enabled\/default # Varsay\u0131lan Nginx sayfas\u0131n\u0131 kald\u0131r\u0131n
\n sudo nginx -t # Yap\u0131land\u0131rma hatas\u0131 olup olmad\u0131\u011f\u0131n\u0131 kontrol edin
\n sudo service nginx restart<\/p>\nhttp:\/\/your_domain_or_ip<\/code> adresine giderek Kibana’ya eri\u015febilirsiniz. Nginx, sizden kullan\u0131c\u0131 ad\u0131 ve \u015fifre isteyecektir.<\/p>\nKibana’da Loglar\u0131 Ke\u015ffetme ve G\u00f6rselle\u015ftirme<\/h4>\n
\n * \u0130lk kez giri\u015f yapt\u0131\u011f\u0131n\u0131zda, Kibana sizden bir indeks deseni (index pattern) tan\u0131mlaman\u0131z\u0131 isteyecektir.
\n Logstash taraf\u0131ndan olu\u015fturulan indeksler logstash-YYYY.MM.dd<\/code> format\u0131nda oldu\u011fu i\u00e7in, indeks deseni olarak logstash-<\/em><\/code> yaz\u0131n ve “Next step” butonuna t\u0131klay\u0131n.
\n * Zaman damgas\u0131 alan\u0131 olarak @timestamp<\/code> se\u00e7in ve “Create index pattern” butonuna t\u0131klay\u0131n.<\/p>\n
\n * Index pattern olu\u015fturulduktan sonra “Discover” sekmesine gidin. Burada, Elasticsearch’e g\u00f6nderilen t\u00fcm loglar\u0131 liste halinde g\u00f6rebilirsiniz.
\n * Arama \u00e7ubu\u011funu kullanarak loglarda anahtar kelime aramas\u0131 yapabilir, sol taraftaki alanlar\u0131 kullanarak filtreler ekleyebilir ve belirli zaman aral\u0131klar\u0131ndaki loglar\u0131 inceleyebilirsiniz.<\/p>\n
\n * “Visualize” sekmesinde, log verilerinizden farkl\u0131 t\u00fcrde g\u00f6rselle\u015ftirmeler (pasta grafikleri, \u00e7ubuk grafikler, hat grafikleri vb.) olu\u015fturabilirsiniz. \u00d6rne\u011fin, en \u00e7ok hata veren sunucular\u0131 g\u00f6steren bir grafik veya belirli bir uygulaman\u0131n log hacmini g\u00f6steren bir zaman serisi grafi\u011fi.
\n * “Dashboard” sekmesinde, olu\u015fturdu\u011funuz g\u00f6rselle\u015ftirmeleri bir araya getirerek kapsaml\u0131 bir izleme panosu olu\u015fturabilirsiniz. Bu panolar, sisteminizin genel durumunu bir bak\u0131\u015fta g\u00f6rmenizi sa\u011flar.<\/p>\n\u0130stemcilerden Log Toplama<\/h3>\n
Filebeat Kullan\u0131m\u0131 (\u00d6nerilen Y\u00f6ntem)<\/h4>\n
\n Elasticsearch deposunu istemciye de ekleyin (yukar\u0131daki ad\u0131mlarla ayn\u0131).
\n wget -qO – https:\/\/artifacts.elastic.co\/GPG-KEY-elasticsearch | sudo apt-key add –
\n echo “deb https:\/\/artifacts.elastic.co\/packages\/2.x\/apt stable main” | sudo tee -a \/etc\/apt\/sources.list.d\/elastic-2.x.list
\n sudo apt-get update
\n sudo apt-get install filebeat -y<\/p>\n
\n Filebeat’in yap\u0131land\u0131rma dosyas\u0131 \/etc\/filebeat\/filebeat.yml<\/code> konumundad\u0131r.<\/p>\n
\n filebeat.prospectors:
\n – paths:
\n – \/var\/log\/auth.log
\n – \/var\/log\/syslog
\n # Di\u011fer log dosyalar\u0131n\u0131z\u0131 buraya ekleyebilirsiniz, \u00f6rne\u011fin Apache eri\u015fim loglar\u0131:
\n # – \/var\/log\/apache2\/access.log
\n # – \/var\/log\/apache2\/error.log
\n input_type: log
\n document_type: syslog # Bu loglar\u0131n tipini belirtir, Logstash filtresinde kullanabiliriz<\/p>\n
\n output.logstash:
\n hosts: [“your_logstash_ip:5044”] # Logstash sunucunuzun IP adresi ve portu
\n # ssl:
\n # certificate_authorities: [“\/etc\/pki\/root\/ca.pem”] # E\u011fer SSL kullan\u0131yorsan\u0131z<\/p>\n
\n # hosts: [“localhost:9200”]<\/p>\nyour_logstash_ip<\/code> yerine Logstash sunucunuzun IP adresini yaz\u0131n.<\/p>\n
\n sudo service filebeat start
\n sudo update-rc.d filebeat defaults 95 10<\/p>\nRsyslog ile Log Toplama (Alternatif)<\/h4>\n
\n sudo nano \/etc\/rsyslog.conf<\/p>\n
\n # G\u00f6nderilecek loglar i\u00e7in bir \u015fablon tan\u0131mlay\u0131n
\n $template remoteHost, “<%PRI%>%TIMESTAMP:::date-rfc3339% %HOSTNAME% %syslogtag%%msg%\\n”<\/p>\n
\n .<\/em> @@your_logstash_ip:5000;remoteHost<\/p>\n
\n .<\/em> @your_logstash_ip:5000;remoteHost<\/p>\nyour_logstash_ip<\/code> yerine Logstash sunucunuzun IP adresini yaz\u0131n. Logstash taraf\u0131nda bu portu dinlemek i\u00e7in ayr\u0131 bir syslog<\/code> input yap\u0131land\u0131rmas\u0131 gerekecektir (daha \u00f6nce 02-beats-input.conf<\/code> dosyas\u0131nda \u00f6rnek bir syslog<\/code> input blo\u011fu g\u00f6stermi\u015ftik).<\/p>\n
\n sudo service rsyslog restart<\/p>\nG\u00fcvenlik Hususlar\u0131<\/h3>\n
\n* Kibana Eri\u015fimi:<\/strong> Kibana’ya do\u011frudan 5601 portundan eri\u015fimi k\u0131s\u0131tlay\u0131n. Nginx veya Apache gibi bir ters proxy kullanarak kullan\u0131c\u0131 ad\u0131\/\u015fifre kimlik do\u011frulamas\u0131 ekleyin ve HTTPS (SSL\/TLS) ile \u015fifreli ileti\u015fim sa\u011flay\u0131n.
\n* Elasticsearch Eri\u015fimi:<\/strong> Elasticsearch’\u00fcn 9200 ve 9300 portlar\u0131na d\u0131\u015far\u0131dan do\u011frudan eri\u015fimi engelleyin. Sadece Logstash ve Kibana’n\u0131n eri\u015fmesine izin verin. Geli\u015fmi\u015f g\u00fcvenlik i\u00e7in X-Pack (\u00fccretli) veya Open Distro for Elasticsearch (a\u00e7\u0131k kaynak) gibi \u00e7\u00f6z\u00fcmlerle kimlik do\u011frulama ve yetkilendirme ekleyebilirsiniz.
\n* Logstash Log Giri\u015fleri:<\/strong> Filebeat gibi g\u00fcvenli protokoller kullanan g\u00f6ndericileri tercih edin. M\u00fcmk\u00fcnse SSL\/TLS ile log aktar\u0131m\u0131n\u0131 \u015fifreleyin.
\n* Ayr\u0131cal\u0131klar:<\/strong> ELK bile\u015fenlerini \u00e7al\u0131\u015ft\u0131rmak i\u00e7in m\u00fcmk\u00fcn olan en az ayr\u0131cal\u0131kl\u0131 kullan\u0131c\u0131lar\u0131 kullan\u0131n.<\/p>\nSorun Giderme (Troubleshooting)<\/h3>\n
\n * Elasticsearch loglar\u0131: \/var\/log\/elasticsearch\/elasticsearch.log<\/code>
\n * Logstash loglar\u0131: \/var\/log\/logstash\/logstash-plain.log<\/code> (veya logstash-json.log<\/code>)
\n * Kibana loglar\u0131: \/var\/log\/kibana\/kibana.log<\/code>
\n * Filebeat loglar\u0131 (istemcide): \/var\/log\/filebeat\/filebeat<\/code>
\n * Bu log dosyalar\u0131, hatalar\u0131n ve uyar\u0131lar\u0131n nedenini anlamak i\u00e7in en iyi kaynakt\u0131r.<\/p>\n
\n sudo service elasticsearch status
\n sudo service logstash status
\n sudo service kibana status
\n sudo service filebeat status # \u0130stemcide<\/p>\n
\n sudo netstat -tulnp | grep 9200 # Elasticsearch
\n sudo netstat -tulnp | grep 5601 # Kibana
\n sudo netstat -tulnp | grep 5044 # Logstash Beats input
\n sudo netstat -tulnp | grep 5000 # Logstash Syslog input<\/p>\n
\n sudo -u logstash \/opt\/logstash\/bin\/logstash -f \/etc\/logstash\/conf.d\/ –configtest<\/p>\nlogstash-<\/em><\/code>) olu\u015fturdu\u011funuzdan ve zaman damgas\u0131 alan\u0131 olarak @timestamp<\/code> se\u00e7ti\u011finizden emin olun.<\/p>\nSonu\u00e7<\/h3>\n