Log Explorer

Log Explorer nedir?

“Store and explore your Cloudflare logs directly within the Cloudflare dashboard or API.”

“Cloudflare’s native observability and forensics product… without the expense and complexity of forwarding logs to third-party tools.”

Çözdüğü problem: bir olay incelemesi için normalde logları Splunk, Datadog veya kendi ELK yığınına taşıman gerekiyor — boru hattı kurmak, depolama ödemek, alan eşlemesi yapmak. Log Explorer bu adımı atlayıp sorguyu Cloudflare’in içine getiriyor.

Nasıl çalışır?

Loglar nerede duruyor

“The data is stored in Cloudflare R2. Each Log Explorer dataset is stored on a per-customer level, similar to Cloudflare D1… In the future, this single-tenant storage model will provide you with the flexibility to… decide in which regions you want to store your data.”

Üç kısıt bu cümlenin hemen ardından geliyor:

Sorgu dili — kısıtlı SQL

Sorgulanabilir dataset’ler

audit_logs · audit_logs_v2 · email_security_alerts · firewall_events · zaraz_events · http_requests · gateway_dns · gateway_http · gateway_network · dex_application_tests · dex_device_state_events · casb_findings · page_shield_events · network_analytics_logs · zero_trust_network_sessions · device_posture_results · spectrum_events · sinkhole_http_logs · access_requests · dns_firewall_logs · dns_logs · magic_ids_detections · warp_toggle_changes · ipsec_logs

Saklama

“Contract customers can choose to store their logs in Log Explorer for up to two years.”

Sözleşmesiz müşteriler için bir süre belirtilmiyor. İnternette dolaşan “30 gün varsayılan saklama” rakamı yalnızca Haziran 2025 GA blogunda geçiyor ve güncel dokümanlarda tekrarlanmıyor — doğrulanamamıştır.

Log ailesindeki yeri

Logpush limitleri: zone başına 4 iş · filtre karmaşıklığı ~30 operatör / ~1.000 bayt · max_upload_records varsayılan 100.000 · geriye dönük doldurma yok.

Logpull limitleri: Enterprise · 7 gün saklama · maks 1 saatlik sorgu penceresi · zone başına dakikada 15 istek. Ve CMB kısıtı: “Logpull available when using CMB = US only” ile “To configure Customer Metadata Boundary to EU, you must disable Log Retention for all zones.”

Instant Logs: zone başına 1 oturum, oturum başına en fazla 60 dakika.

Ne zaman kullanılır, ne zaman kullanılmaz

Kullanılır

• Cloudflare tarafındaki bir olayı hızlıca incelemek istiyorsan — 5xx artışı, bir uç noktayı zorlayan trafik, bir WAF kuralının neyi yakaladığı.
• Boru hattı kurmak istemiyorsan. Logpush işi, hedef kimlik bilgileri, depolama yönetimi — hiçbiri gerekmiyor.
• Sorgu maliyetinden endişe ediyorsan. Alım ve saklama ücretli, sorgu değil.
• WAF kuralı ayarlıyorsan. firewall_events üzerinde RuleID ve Action bazlı sayım, kural ayarının en hızlı yolu.

Kullanılmaz

Veri yerleşimi şartsa. Bölge seçilemiyor, CMB desteklenmiyor. Logpush kullan.

Olay zaten yaşandıysa. Geriye dönük doldurma yok. Dataset açık değilse o veri yok — hiçbir yerde.

SIEM arıyorsan. JOIN yok, alt sorgu yok, pencere fonksiyonu yok, 25 koşul tavanı var. Ama asıl mesele şu: Cloudflare dışı hiçbir veri kaynağı yok. Uygulama loglarınla, sunucu loglarınla, kimlik sağlayıcı loglarınla korelasyon kuramıyorsun. Bir güvenlik olayının Cloudflare tarafını görüyorsun, tamamını değil.

Karmaşık analitik sorgular yazacaksan. Tek tablo, JOIN yok. Oturum yeniden yapılandırma, kohort analizi, pencere üzerinden hareketli ortalama — hiçbiri mümkün değil.

Log içeriğine göre uyarı kurmak istiyorsan. Belgelenen uyarılar kullanım ve fatura uyarıları. Log içeriğine dayalı uyarı doğrulanamamıştır.

Yalnızca L7 DDoS trafiğini incelemek istiyorsan. “Logs generated from Layer 7 (L7) DDoS attack traffic are not ingested by default.”

Bütçen darsa ve hacmin yüksekse. Saldırı trafiği faturalanıyor — ve bir saldırı sırasında log hacmi normalin katlarına çıkıyor. Tam da faturalanmasını istemeyeceğin anda.

Somut örnekler

Dataset’i etkinleştirmek

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/logs/explorer/datasets" \
  --request POST --header "Authorization: Bearer $CF_API_TOKEN" \
  --json '{"dataset":"http_requests","zone_id":"'"$ZONE_ID"'","enabled":true}'

Gereken yetki: Logs Edit.

5xx artışının arkasındaki istekler

SELECT ClientRequestPath,
       EdgeResponseStatus,
       count() AS adet
FROM http_requests
WHERE EdgeResponseStatus >= 500
  AND Datetime >= NOW() - INTERVAL '1' HOUR
GROUP BY ClientRequestPath, EdgeResponseStatus
ORDER BY adet DESC
LIMIT 50

Login uç noktasını kim zorluyor

SELECT ClientIP,
       ClientRequestUserAgent,
       count() AS deneme
FROM http_requests
WHERE ClientRequestPath = '/giris'
  AND ClientRequestMethod = 'POST'
  AND Datetime >= NOW() - INTERVAL '6' HOUR
GROUP BY ClientIP, ClientRequestUserAgent
ORDER BY deneme DESC
LIMIT 100

Hangi WAF kuralı ne kadar yakalıyor

SELECT RuleID, Action, count() AS vurus
FROM firewall_events
WHERE Datetime >= NOW() - INTERVAL '24' HOUR
GROUP BY RuleID, Action
ORDER BY vurus DESC
LIMIT 50

Logpush alternatifi (veri yerleşimi gerekiyorsa)

# 1) Sahiplik doğrulaması — bucket'a bir token dosyası yazılıyor
curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/logpush/ownership" \
  --request POST -H "Authorization: Bearer $CF_API_TOKEN" \
  --json '{"destination_conf":"s3://loglar/cf?region=eu-central-1&access-key-id=...&secret-access-key=..."}'

# 2) O token ile işi oluştur
curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/logpush/jobs" \
  --request POST -H "Authorization: Bearer $CF_API_TOKEN" \
  --json '{
    "name":"http-istekleri",
    "dataset":"http_requests",
    "destination_conf":"s3://loglar/cf?region=eu-central-1&access-key-id=...&secret-access-key=...",
    "ownership_challenge":"<TOKEN>",
    "output_options":{"field_names":["Datetime","ClientIP","ClientRequestHost",
                                     "ClientRequestPath","EdgeResponseStatus"],
                      "timestamp_format":"rfc3339"},
    "enabled":true
  }'

Demo 1: Geriye dönük doldurmanın olmadığını kanıtlamak

Bu demo, ürünün en pahalı kısıtını deneysel olarak gösteriyor — ve bir ekibin Log Explorer’ı ne zaman kurması gerektiğini tartışmasız hale getiriyor.

Adım 1 — Dataset KAPALIYKEN trafik üret

# Dataset'in kapalı olduğunu doğrula
curl -sS ".../accounts/$ACCOUNT_ID/logs/explorer/datasets" \
  -H "Authorization: Bearer $CF_API_TOKEN" | jq '.result[] | {dataset, enabled}'

# Ayırt edilebilir trafik üret — bu yol daha önce hiç istek almamış olmalı
T0=$(date -u +%Y-%m-%dT%H:%M:%SZ)
for i in $(seq 1 50); do
  curl -sS -o /dev/null "https://ornek.com.tr/log-demo-oncesi?n=$i"
done
T1=$(date -u +%Y-%m-%dT%H:%M:%SZ)
echo "ÖNCESİ penceresi: $T0 → $T1"

Dataset listesinde enabled false değeri ve üretilen 50 isteğin zaman damgaları

Adım 2 — Şimdi dataset’i aç

curl ".../accounts/$ACCOUNT_ID/logs/explorer/datasets" --request POST \
  -H "Authorization: Bearer $CF_API_TOKEN" \
  --json '{"dataset":"http_requests","zone_id":"'"$ZONE_ID"'","enabled":true}'

API yanıtı ve panelde dataset'in Enabled duruma geçtiği an, zaman damgasıyla

Adım 3 — Aynı türden trafik daha üret

T2=$(date -u +%Y-%m-%dT%H:%M:%SZ)
for i in $(seq 1 50); do
  curl -sS -o /dev/null "https://ornek.com.tr/log-demo-sonrasi?n=$i"
done
T3=$(date -u +%Y-%m-%dT%H:%M:%SZ)
echo "SONRASI penceresi: $T2 → $T3"

Adım 4 — İki pencereyi de sorgula

SELECT ClientRequestPath, count() AS adet
FROM http_requests
WHERE ClientRequestPath LIKE '/log-demo-%'
GROUP BY ClientRequestPath

Sorgu sonucunda /log-demo-sonrasi için 50, /log-demo-oncesi için hiç satır olmaması

Adım 5 — Zone analytics ile karşılaştır

Aynı zaman aralığını GraphQL’den sorgula — orada her iki pencere de görünüyor.

httpRequestsAdaptiveGroups çıktısında hem öncesi hem sonrası pencerelerin istek sayıları

Bu karşılaştırma, verinin “kaybolmadığını” ama Log Explorer’a alınmadığını gösteriyor — ikisi farklı şeyler ve fark önemli.

Adım 6 — Logpush’un aynı kısıtı taşıdığını göster

Logpush’ta da geriye dönük doldurma yok. Bir Logpush işi oluşturup daha önceki verinin gelmediğini göster.

İş oluşturulduktan sonra hedefte yalnızca yeni verinin belirmesi

Bu demoda ölçülenler:

Demo 2: Kısıtlı SQL’in duvarlarını yoklamak

Bu demonun amacı, ürünü SIEM sanan bir ekibin duvarlara kurulum öncesinde çarpması.

Adım 1 — Çalışan bir temel sorgu

SELECT ClientCountry, count() AS adet
FROM http_requests
WHERE Datetime >= NOW() - INTERVAL '1' HOUR
GROUP BY ClientCountry
ORDER BY adet DESC
LIMIT 20

Ülke bazlı istek sayımının döndüğü sonuç tablosu

Adım 2 — JOIN dene

-- Bu ÇALIŞMAYACAK
SELECT h.ClientIP, f.RuleID
FROM http_requests h
JOIN firewall_events f ON h.RayID = f.RayID
LIMIT 10

JOIN içeren sorgunun döndürdüğü hata mesajı

Adım 3 — Alt sorgu dene

-- Bu da ÇALIŞMAYACAK
SELECT ClientIP FROM http_requests
WHERE ClientIP IN (SELECT ClientIP FROM firewall_events WHERE Action = 'block')
LIMIT 10

Alt sorgu içeren sorgunun hata mesajı

Adım 4 — Pencere fonksiyonu dene

-- Bu da ÇALIŞMAYACAK
SELECT ClientIP, count() OVER (PARTITION BY ClientCountry) FROM http_requests LIMIT 10

OVER içeren sorgunun hata mesajı

Adım 5 — 25 koşul tavanına çarp

# 26 koşullu bir WHERE üret
python3 - <<'PY'
kosullar = " OR ".join(f"ClientIP = '203.0.113.{i}'" for i in range(1, 27))
print(f"SELECT count() FROM http_requests WHERE {kosullar}")
PY

26 koşullu sorgunun döndürdüğü limit hatası

Aynı sorguyu 25 koşulla tekrarla — çalışıyor. Sınırın tam yerini böyle belgeliyorsun.

Adım 6 — Cloudflare dışı korelasyonun imkânsızlığını göster

Kendi uygulama loglarında bir hata var; Log Explorer’da o hataya karşılık gelen isteği bulmak istiyorsun. Yapabildiğin tek şey: elle, zaman damgası ve IP üzerinden eşleştirmek.

Uygulama logundan alınan zaman damgası ve IP ile Log Explorer'da elle arama yapılan ekran

Bu demoda ölçülenler:

Fiyatlandırma

Kesin olan:

“charges are not based on how often you search or scan your data. Once logs are ingested and stored, you can query them without additional cost.”

Saldırı trafiği:

“Because Log Explorer is a forensics product, attack traffic is considered valuable data for analysis and is included in your billable usage.”

“Logs generated from Layer 7 (L7) DDoS attack traffic are not ingested by default and do not count toward your Log Explorer usage.”

Boyut planlaması için ortalama kayıt boyutları:

Kaba hesap: günde 10 milyon istek × 1,56 kB ≈ 15,6 GB/gün ≈ 468 GB/ay yalnızca http_requests için.

Plan ve yetki

“Log Explorer is available as a paid add-on for any Application Services or Zero Trust purchase. There is no free version or trial available at this time.”

Lisanslama ve hukuki çerçeve

Hizmet tescillidir ve Cloudflare Hizmet Şartları’na tabidir.

Veri yerelliği — bu ürünün en sert kısıtı. Loglar Cloudflare’in yönettiği tek kiracılı bir R2 bucket’ında duruyor ama:

• Bölgesini seçemiyorsun.
• Customer Metadata Boundary desteklenmiyor.
• Bucket kendi R2 panelinde görünmüyor — yani doğrudan erişimin, kendi yaşam döngüsü kuralın veya kendi şifreleme anahtarın yok.

KVKK kapsamında verinin nerede işlendiğini ve saklandığını beyan etmen gerekiyorsa Log Explorer bu beyanı destekleyecek bir kontrol sunmuyor. Bu durumda Logpush ile Türkiye’deki bir hedefe yazdırman gerekiyor.

Kişisel veri içeriği. http_requests ve firewall_events istemci IP adresi, User-Agent ve tam URL yolu içeriyor. Query string’ler de kaydediliyor — yani formda gönderilen veriler URL’ye düşüyorsa loglara da düşüyor. Logpush’ta field_names ile alan seçebiliyorsun; Log Explorer’da alan seçimi yok, dataset ne içeriyorsa o alınıyor. Veri minimizasyonu açısından bu bir dezavantaj.

Saklama süresi. Sözleşmeli müşteriler iki yıla kadar saklayabiliyor. KVKK’nın veri minimizasyonu ilkesi açısından uzun bir süre — saklama politikanı bilinçli belirle, varsayılana bırakma.

Sık yapılan hatalar

Dataset’i olaydan sonra etkinleştirmek. En pahalı hata. Geriye dönük doldurma yok; o veri hiçbir yerde yok.

JOIN beklemek. Yok. Ve Cloudflare dışı veri kaynağı da yok.

25 WHERE koşulunu aşmak. Sessiz değil, hata veriyor — ama sınırı bilmeden yazılan sorgu boşa gidiyor.

AB’de veya Türkiye’de saklandığını varsaymak. Bölge seçilemiyor.

Customer Metadata Boundary ile birlikte çalışacağını sanmak. Desteklenmiyor.

L7 DDoS loglarının orada olduğunu sanmak. Varsayılan olarak alınmıyor.

$0,10/GB rakamını her şey dahil fiyat sanmak. Üç ayrı resmî rakam var; panelden doğrula.

Emekliye ayrılan /logs/log-explorer/ adresini alıntılamak. Yeni kök /log-explorer/.

Saldırı trafiğinin faturalanmayacağını varsayıp bütçe kurmak. WAF’ın blokladıkları faturalanıyor — ve saldırı sırasında hacim katlanıyor.

Sütun adlarını Logpush dokümanından körlemesine kopyalamak. Büyük-küçük harf farkları var; boş sonuç üretiyor.

Logs Engine ile yeni bir kurulum yapmak. Emekliye ayrılıyor; doğrudan Log Explorer’a git.

Log içeriğine göre uyarı kurabileceğini varsaymak. Belgelenen uyarılar kullanım ve fatura uyarıları.

Alan seçimi yapabileceğini sanmak. Logpush’ta field_names var, Log Explorer’da yok.