İçeriğe geç
Siber Kale by Labris Networks

Soru · Log, 5651 ve KVKK

Yerel Loglama ile Merkezî Loglama Arasındaki Fark Nedir?

Labris Networks Mühendislik Ekibi · Son güncelleme 13 Ağustos 2026 · 5 dk

Kısa cevap

Kaydın nerede durduğu, delil değerini ve bulunabilirliğini belirler. Yerelde tutulan kayıt, cihaz ele geçirildiğinde ya da disk döndüğünde kaybolur. Merkezî toplama kaydı üretildiği yerden ayırır ve farklı kaynakları tek zaman ekseninde bir araya getirir.

Soru genellikle kapasite sorusu sanılır. Asıl mesele kaydın kime karşı ne kadar dayandığıdır.

Karşılaştırma

Yerel loglama Merkezî loglama
Kaydın yeri Üretildiği cihazda Ayrı bir toplayıcıda
Cihaz ele geçirilirse Kayıt da elde edilmiş olur Kayıt merkezde durmaya devam eder
Saklama süresi Cihazın diskiyle sınırlı Bağımsız planlanır
Olay takibi Cihaz cihaz gezilir Tek zaman ekseninde birleşik
Güçlü tarafı Kurulum gerektirmez, ağdan bağımsız Delil değeri ve bulunabilirlik
Sınırı Disk dolunca sessizce döner Aktarım hattına ve toplayıcıya bağımlı
Birlikte kullanım Ağ koptuğunda tampon görevi Asıl arşiv

##

Yerel loglama ile merkezî loglama arasındaki fark: yerel kayıt cihazın kendi diskinde durur ve cihaz ele geçirildiğinde ya da arızalandığında kayıtla birlikte gider; merkezî kayıt cihazdan ayrı bir yerde birikir, birden çok kaynağı tek zaman ekseninde birleştirir ve cihazın kaderinden bağımsızdır.
Yerel kayıt cihazın kaderini paylaşır. Merkezî kayıt ayrıca karşılaştırmayı mümkün kılar. Şemanın vektör hâli.

Yerelin Sessiz Kaybı

Disk dolduğunda kayıt döner ve en eski dönem silinir. En eski dönem, çoğu zaman bir olayın başladığı dönemdir; yani kaybedilen kısım tam olarak ihtiyaç duyulan kısımdır.

Bu, bir alarm üretmez. Cihaz çalışmaya devam eder, panelde kayıtlar görünür ve eksiklik ancak geriye dönük arama yapıldığında fark edilir.

Merkezînin Bağımlılığı

Merkezî toplama, aktarımın çalışmasına bağlıdır. Syslog UDP üzerinden çalışıyorsa kayıp sessizce gerçekleşir; hat koptuğunda ne olacağı da ayrı bir tasarım kararıdır.

Bu yüzden ikisi genellikle birlikte kurulur. Cihaz kısa bir süre için yerelde tutar, merkez asıl arşivi üstlenir.

Çok Şubeli Ortamda

Şube hatlarının log hacmini taşıyabildiği hesaplanmalıdır. Yetmiyorsa şubede yerel bir ara toplayıcı kurulur ve merkeze sıkıştırılmış olarak, yoğun olmayan saatlerde aktarılır. Hesap yapılmadan kurulan bir mimari, şube hattını gereksiz yere yorar.

Ne yapmalı

  1. Hangi kaynakların yerelde kaldığını listeleyin; listede beklemediğiniz bir kaynak varsa sebebi araştırılır.
  2. Merkeze aktarımın hangi taşımayla yapıldığını ve kayıp olup olmadığını doğrulayın.
  3. Şube hatlarının log hacmini taşıyabildiğini hesaplayın; yetmiyorsa yerel ara toplayıcı kurun.

Bu soruyu şöyle de soranlar var

  • Loglar cihazda mı dursun merkezde mi?
  • Merkezi log neden gerekli?
  • Local logging yeterli mi?