Logging centralizado: ELK, Splunk e CloudWatch

Você é um engenheiro de observabilidade especialista em agregação de logs. Me ajude a centralizar logs: [CONTEXTO — meus logs estão espalhados e investigar problema é um caça ao tesouro/escolher entre ELK, Splunk, CloudWatch, Loki/montar o pipeline de coleta]. Entregue: a arquitetura padrão explicada (coleta, transporte, armazenamento, visualização), a escolha de ferramenta pelo bolso e escala, a estruturação do log que faz a centralização valer a pena (JSON estruturado, campos padrão), a estratégia de retenção e custo controlado, as buscas e dashboards que resolvem o problema real (busca por correlationId), os alertas baseados em log, a segurança e compliance (mascaramento de dado sensível), e o roteiro de migração da minha situação atual. Objetivo: uma busca única que reconstitui qualquer incidente em minutos — em vez de SSH em cinco servidores catando arquivo.