KVKK için VMware Audit Log Nasıl Yönetilir? Rehber (2026)

KVKK için VMware audit log yönetimi, yalnız vCenter veya ESXi üzerinde log üretmek değildir. Güçlü yaklaşım; kimlik doğrulama, yetki değişikliği, yönetim işlemi, host olayı, log bütünlüğü ve inceleme sorumluluğunu aynı kanıt zincirinde birleştirir. Kısa cevap şudur: KVKK açısından savunulabilir VMware audit log modeli, kişisel veri içerebilen kayıtları kontrollü toplar, yetkisiz erişim ve değişiklikleri izler, loglara erişimi sınırlar ve denetimde gösterilebilir review çıktısı üretir.

Bu rehber özellikle şu ekipler içindir:

• VMware vSphere, vCenter ve ESXi yöneticileri
• KVKK uyumundan sorumlu BT ve bilgi güvenliği ekipleri
• SIEM, SOC ve merkezi log yönetimi ekipleri
• denetimde erişim izi ve olay kanıtı sunması gereken kurumlar

Hızlı Özet

• KVKK Kişisel Veri Güvenliği Rehberi, log kayıtlarını teknik ve idari tedbirlerin parçası olarak ele alır; bu yüzden audit log yalnız operasyonel hata kaydı değildir.
• vCenter oturum olayları, görev geçmişi, yetki değişiklikleri ve ESXi audit records birlikte değerlendirilmelidir.
• Broadcom KB 318939, ESXi loglarının kalıcı disk veya remote syslog hedefiyle korunması gerektiğini; remote retention sorumluluğunun alıcı syslog/SIEM platformunda olduğunu gösterir.
• Broadcom KB 408693, local audit logging için /scratch/auditLog varsayılanını ve hedef dizin değişikliğinde izlenmesi gereken operasyon sırasını açıklar.
• Audit loglarda kullanıcı adı, IP, VM adı veya işlem açıklaması gibi kişisel veri unsurları bulunabilir; bu nedenle log erişimi de ayrı yetki kontrolüne bağlanmalıdır.
• En güçlü model; 12 aylık denetlenebilir kanıt seti, 90 günlük review, SIEM alarmı, zaman senkronizasyonu ve değiştirilemez arşiv disiplinini birlikte işletir.

İçindekiler

• KVKK Açısından VMware Audit Log Neyi Kanıtlar?
• Hangi VMware Kayıtları Audit Log Kapsamına Alınmalı?
• Log Bütünlüğü ve Saklama Modeli Nasıl Kurulur?
• Audit Loglara Erişim Nasıl Sınırlandırılmalı?
• Denetim Kanıt Seti Nasıl Hazırlanır?
• İlgili İçerikler
• Kontrol Listesi
• LeonX ile Sonraki Adım
• Sık Sorulan Sorular
• Kaynaklar

Görsel: Wikimedia Commons - HP ProLiant DL580 G7 in 2023.

KVKK Açısından VMware Audit Log Neyi Kanıtlar?

KVKK tarafında audit logun değeri, sadece "log var" demekle oluşmaz. Kayıtların amacı, yetkili kişi tarafından incelenip incelenmediği, kimlerin erişebildiği, ne kadar süre saklandığı ve değiştirilemezliğinin nasıl korunduğu birlikte değerlendirilir. VMware ortamında audit log şu sorulara cevap üretmelidir:

• vCenter'a kim giriş yaptı?
• hangi yönetim işlemi kimin hesabıyla yapıldı?
• yetki veya rol değişikliği oldu mu?
• kritik VM üzerinde snapshot, power action veya migration işlemi gerçekleşti mi?
• ESXi host logları kalıcı mı?
• loglar merkezi SIEM veya syslog platformuna ulaşıyor mu?
• loglara kim erişebiliyor?
• log incelemesi hangi periyotla yapılıyor?

Bu nedenle VMware audit log, KVKK için VMware Loglama Nasıl Yapılır? yazısındaki genel loglama mimarisinin daha kanıt odaklı alt başlığıdır. Genel loglama akışı görünürlük sağlar; audit log modeli ise erişim, değişiklik, inceleme ve sorumluluk izini savunulabilir hale getirir.

Hangi VMware Kayıtları Audit Log Kapsamına Alınmalı?

Audit log kapsamı yalnız ESXi host dosyalarından oluşmamalıdır. Aşağıdaki katmanlar birlikte tasarlanmalıdır.

vCenter oturum ve işlem kayıtları

vCenter tarafında oturum açma, başarısız giriş, logout, rol değişikliği, privilege değişikliği, VM power action, snapshot, clone, migration ve datastore işlemleri audit açısından önceliklidir. Bu olaylar özellikle yetkisiz erişim, yanlış yapılandırma ve kişisel veri içeren sistemlerde işlem takibi için önemlidir.

ESXi audit records

Broadcom KB 408693, local audit logging'in varsayılan olarak /scratch/auditLog dizinini kullandığını ve hedef audit dizini değiştirilirken audit logging'in belirli bir sırayla kapatılıp açılması gerektiğini gösterir. Bu bilgi, audit log tasarımında iki pratik ders verir:

• local audit record durumu varsayılmamalı, doğrulanmalıdır
• hedef dizin, upgrade veya scratch değişikliği sonrası tekrar kontrol edilmelidir

Remote syslog ve SIEM

Broadcom KB 318939, ESXi loglarının local scratch veya ramdisk üzerinde bulunabildiğini; kalıcılık için alternate log location veya remote syslog hedefinin tanımlanması gerektiğini açıklar. Aynı kaynak, Syslog.global.logHost gibi ayarların remote hedef için kullanıldığını ve remote retention davranışının syslog/SIEM tarafında yönetildiğini belirtir. Bu nedenle "ESXi log gönderiyor" cümlesi tek başına yeterli değildir; alıcı platformda retention, erişim ve alarm politikası da tanımlı olmalıdır.

Log Bütünlüğü ve Saklama Modeli Nasıl Kurulur?

Audit logların KVKK açısından değer taşıması için üç özellik birlikte gerekir:

• kayıtlar zamanında üretilmeli
• kayıtlar sonradan kolayca değiştirilememeli
• kayıtlar ihtiyaç duyulduğunda bulunabilir olmalı

Pratik saklama modeli şu katmanları içerebilir:

1. ESXi ve vCenter tarafında saat senkronizasyonu
2. local audit record ve persistent logging doğrulaması
3. SIEM veya merkezi syslog hedefi
4. kritik olaylar için alarm ve ticket akışı
5. yetkili kişilerle sınırlı log görüntüleme rolü
6. aylık veya 90 günlük review çıktısı
7. en az 12 aylık denetlenebilir kanıt arşivi

KVKK açısından saklama süresi her kurum için otomatik aynı değildir. Kişisel veri minimizasyonu, hukuki yükümlülük, olay inceleme ihtiyacı ve sözleşmesel gereklilikler birlikte değerlendirilmelidir. Bu nedenle audit log retention süresi teknik ekip tarafından tek başına değil, bilgi güvenliği, hukuk ve iş birimleriyle birlikte belirlenmelidir.

Audit Loglara Erişim Nasıl Sınırlandırılmalı?

Log dosyaları çoğu zaman kullanıcı adı, IP adresi, cihaz adı, VM adı, uygulama adı ve işlem zamanı içerir. Bunlar KVKK açısından kişisel veri veya kişisel veriyle ilişkilendirilebilir kayıt haline gelebilir. Bu yüzden audit log erişimi de ayrı bir kontrol konusudur.

Sağlıklı erişim modeli şunları içerir:

• log görüntüleme yetkisi operasyon adminlerinden ayrılmalı
• log export yetkisi daha sınırlı tutulmalı
• SIEM üzerinde read-only audit rolü tanımlanmalı
• log silme veya retention değiştirme yetkisi ayrıcalıklı onaya bağlanmalı
• kritik export işlemleri ticket ve gerekçe ile kaydedilmeli
• break-glass ile açılan erişim sonrası review yapılmalı

Bu nokta ISO 27001 için VMware Access Control Nasıl Yapılır? ve VMware KVKK Teknik Tedbirler Rehberi gibi erişim kontrolü konularıyla doğrudan ilişkilidir. Audit logu korumayan bir erişim modeli, log üretse bile kanıt güvenilirliğini zayıflatır.

Denetim Kanıt Seti Nasıl Hazırlanır?

KVKK denetimi veya iç denetim için güçlü VMware audit log kanıt seti ekran görüntüsünden ibaret olmamalıdır. Aşağıdaki kanıtlar birlikte daha güçlü görünür:

• vCenter SSO login ve başarısız giriş örnekleri
• son 90 güne ait kritik task/event review çıktısı
• esxcli system auditrecords get sonucu
• esxcli system syslog config get sonucu
• SIEM üzerinde VMware kaynaklı olayların göründüğüne dair örnek
• syslog test mesajının alıcı platformda kayıt altına alındığı kanıt
• log erişim rol matrisi
• retention ve silme prosedürü
• olay inceleme veya ticket kayıtları

Bu model, VMware ESXi Audit Log ISO 27001 Uyumu Rehberi yazısındaki ESXi audit kayıtlarını KVKK'nın kişisel veri güvenliği perspektifiyle tamamlar. Daha geniş teknik tedbir çerçevesi için VMware KVKK Teknik Tedbirler Rehberi de birlikte okunmalıdır.

İlgili İçerikler

• KVKK için VMware Loglama Nasıl Yapılır?
• VMware KVKK Teknik Tedbirler Rehberi
• VMware ESXi Audit Log ISO 27001 Uyumu Rehberi
• 5651 ile KVKK Arasındaki Fark Nedir?

Kontrol Listesi

• vCenter SSO login, logout ve başarısız giriş olayları izleniyor
• kritik tasks/events kategorileri review kapsamına alındı
• ESXi audit records durumu tüm hostlarda doğrulandı
• Syslog.global.logHost ve remote syslog hedefleri standartlaştırıldı
• SIEM üzerinde VMware kaynaklı alarm ve korelasyon kuralı tanımlandı
• loglara erişim rol bazlı sınırlandırıldı
• log export ve silme yetkileri ayrıcalıklı onaya bağlandı
• retention süresi KVKK veri minimizasyonu ve olay inceleme ihtiyacıyla uyumlu belirlendi
• son 90 güne ait review çıktısı arşivlendi
• 12 aylık denetlenebilir kanıt seti hazırlanabilir durumda

LeonX ile Sonraki Adım

KVKK için VMware audit log yönetimi, logları toplamak kadar logların güvenilirliğini, erişimini ve inceleme disiplinini de yönetmeyi gerektirir. LeonX, Donanım & Yazılım Hizmetleri altında SIEM ve Güvenlik Olay Yönetimi Entegrasyonu ile VMware audit log akışını merkezi korelasyona bağlar; Kurumsal Sanallaştırma Platformları Satış ve Lisanslama ile vSphere tarafındaki standartlaştırmayı destekler. Kontrol boşluklarını değerlendirmek için İş ve Yönetim Hizmetleri ve Siber Güvenlik Değerlendirme Hizmeti de bu çalışmayı tamamlar. Mevcut ortamınızı değerlendirmek veya teklif almak için İletişim sayfasından ilerleyebilirsiniz.

İlgili sayfalar:

• Donanım & Yazılım Hizmetleri
• SIEM ve Güvenlik Olay Yönetimi Entegrasyonu
• Kurumsal Sanallaştırma Platformları Satış ve Lisanslama
• İş ve Yönetim Hizmetleri
• Siber Güvenlik Değerlendirme Hizmeti
• İletişim

Sık Sorulan Sorular

KVKK için VMware audit log ile genel loglama aynı şey midir?

Hayır. Genel loglama görünürlük sağlar; audit log ise erişim, değişiklik, inceleme ve kanıt zincirini yönetir.

VMware audit loglarda kişisel veri bulunabilir mi?

Evet. Kullanıcı adı, IP adresi, cihaz adı, işlem zamanı ve VM adı gibi alanlar kişisel veriyle ilişkilendirilebilir.

Sadece ESXi audit records yeterli olur mu?

Hayır. vCenter SSO, tasks/events, ESXi syslog, SIEM korelasyonu ve log erişim kayıtları birlikte değerlendirilmelidir.

Loglara kim erişmeli?

İhtiyaç kadar erişim prensibi uygulanmalıdır. Log görüntüleme, export ve silme yetkileri ayrı roller olarak tanımlanmalıdır.

Denetimde hangi kanıtlar daha güçlüdür?

SSO login kayıtları, task/event review çıktısı, ESXi auditrecords durumu, syslog test kanıtı, SIEM alarm örneği ve log erişim matrisi birlikte güçlü kanıt üretir.

Kaynaklar

• KVKK - Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)
• KVKK Rehberi PDF - Log Kayıtları bölümü
• Broadcom KB 318939 - Configuring syslog on ESXi
• Broadcom KB 408693 - Configuring Local Audit Logging ESXi hosts fails with the error: "Internal error"
• Broadcom KB 302451 - Determining whether an ESXi host has persistent logging
• Broadcom KB 434015 - Syslog facilities used for ESXi log transfer
• Broadcom KB 430785 - Where are the kernel auditd logs for vCenter
• Wikimedia Commons - HP ProLiant DL580 G7 in 2023