KVKK için VMware network isolation yapmak, yalnız her uygulamaya ayrı VLAN vermek değildir. Sağlam model; vCenter ve ESXi management trafiğini, kişisel veri işleyen VM segmentlerini, yedekleme ve replikasyon ağlarını, storage trafiğini, DMZ erişimini ve log/SIEM görünürlüğünü aynı güvenlik mimarisinde ayırır. Kısa cevap şudur: KVKK açısından savunulabilir VMware network isolation, kişisel veriye erişebilen sistemlerin ağ geçişlerini ihtiyaç kadar erişim, izlenebilirlik ve denetlenebilir kanıt ilkeleriyle sınırlandırır.
Bu rehber özellikle şu ekipler içindir:
- VMware vSphere, vCenter ve ESXi yöneten sistem ekipleri
- KVKK teknik tedbirlerinden sorumlu BT ve bilgi güvenliği ekipleri
- VLAN, firewall zone ve sanallaştırma ağı tasarlayan network ekipleri
- kişisel veri işleyen VM gruplarını diğer sistemlerden ayırmak isteyen kurumlar
Hızlı Özet
- KVKK Kişisel Veri Güvenliği Rehberi; yetki matrisi, erişim kontrolü, log kayıtları ve ağ güvenliği gibi teknik/idari tedbirleri birlikte ele alır.
- VMware network isolation, vCenter management, ESXi VMkernel, VM port group, backup, replication, storage ve DMZ segmentlerini ayrı risk sınıfları olarak tasarlamalıdır.
- Broadcom vSphere dokümanları ve KB içerikleri, VLAN, VMkernel adapter, port group security ve dedicated traffic ayrımının tasarımda kritik olduğunu gösterir.
- VLAN tek başına yeterli değildir; firewall policy, port group standardı, distributed switch tutarlılığı, loglama ve erişim review birlikte çalışmalıdır.
- Kişisel veri işleyen VM'ler için en az 5 segment sınıfı önerilir: management, application, database, backup/replication ve monitoring/logging.
- Denetimde güçlü kanıt seti; segment matrisi, firewall kural listesi, vSwitch/vDS port group çıktıları, log kayıtları ve 90 günlük review çıktısından oluşur.
İçindekiler
- KVKK Açısından VMware Network Isolation Neyi Kapsar?
- Hangi Ağ Segmentleri Ayrılmalı?
- VLAN, Port Group ve Distributed Switch Nasıl Tasarlanmalı?
- Firewall Zone ve Erişim Politikası Nasıl Kurulur?
- Loglama ve Denetim Kanıtı Nasıl Hazırlanır?
- İlgili İçerikler
- Kontrol Listesi
- LeonX ile Sonraki Adım
- Sık Sorulan Sorular
- Kaynaklar
Görsel: Wikimedia Commons - Dell Powerconnect 2816.
KVKK Açısından VMware Network Isolation Neyi Kapsar?
KVKK tarafında network isolation, kişisel veriye erişebilen sistemleri ağ üzerinde rastgele yan yana tutmamak anlamına gelir. Buradaki amaç yalnız performans veya broadcast alanını küçültmek değildir; kişisel veri işleyen uygulamaların, veritabanlarının, yönetim arayüzlerinin ve yedekleme hedeflerinin gereksiz erişim yollarından ayrılmasıdır.
VMware ortamında network isolation şu sorulara cevap vermelidir:
- vCenter ve ESXi management ağı kullanıcı ağıyla aynı yerde mi?
- kişisel veri işleyen VM'ler diğer uygulama VM'lerinden ayrılmış mı?
- database segmentine sadece gerekli application segmentleri erişebiliyor mu?
- backup ve replication trafiği kullanıcı veya DMZ ağıyla karışıyor mu?
- vMotion, storage ve management VMkernel trafiği ayrıştırılmış mı?
- segmentler arası geçiş firewall veya gateway politikasıyla izleniyor mu?
- port group ve VLAN standardı tüm hostlarda tutarlı mı?
Bu nedenle VMware KVKK Teknik Tedbirler Rehberi içindeki erişim kontrolü, loglama ve yedekleme başlıkları network isolation ile birlikte okunmalıdır.
Hangi Ağ Segmentleri Ayrılmalı?
Minimum tasarımda her VLAN veya port group ayrı bir iş amacına bağlanmalıdır. Aşağıdaki tablo pratik bir başlangıç modeli sunar.
| Segment | Amaç | KVKK kontrol değeri |
|---|---|---|
| Management | vCenter, ESXi management, admin erişimi | yönetim yüzeyini kullanıcı trafiğinden ayırır |
| Application | kişisel veri işleyen uygulama VM'leri | erişim yüzeyini iş fonksiyonuna göre sınırlar |
| Database | veritabanı VM'leri | doğrudan kullanıcı erişimini engeller |
| Backup/Replication | backup proxy, repository, replication trafiği | yedek verinin gereksiz ağlardan geçmesini önler |
| Monitoring/Logging | SIEM, syslog, monitoring collector | olay görünürlüğünü merkezi hale getirir |
| DMZ | internet erişimli veya dışa açık servisler | iç veri segmentlerine doğrudan geçişi sınırlar |
Bu ayrım yapılmadığında tek bir zayıf uygulama sunucusu, aynı L2/L3 alanda duran daha kritik veri tabanı veya yönetim servislerine gereksiz erişim yolu açabilir. KVKK açısından bu, teknik tedbirin yalnız belge üzerinde kalması riskini doğurur.
VLAN, Port Group ve Distributed Switch Nasıl Tasarlanmalı?
Broadcom'un vSphere networking dokümanları VLAN, port group ve VMkernel adapter ayrımının VMware ağ tasarımında temel olduğunu gösterir. Pratikte şu standartlar belirlenmelidir:
- her port group açık bir iş amacına sahip olmalı
- port group adı VLAN ID, ortam ve işlev bilgisini taşımalı
- management, vMotion, storage ve VM trafiği ayrı VMkernel/port group yapılarıyla ele alınmalı
- standard switch kullanılan hostlarda port group drift riski düzenli kontrol edilmeli
- distributed switch kullanılan ortamlarda merkezi politika ve rollback planı belgelenmeli
- VLAN trunk davranışı fiziksel switch ekibiyle birlikte doğrulanmalı
Port group security ayarları
Broadcom KB 324520, promiscuous mode ayarının port group seviyesinde sanal switch ayarını ezebildiğini açıklar. Broadcom KB 427110 ise forged transmits ve MAC address changes gibi güvenlik politikalarının L2 seviyesinde trafik koruması sağladığını belirtir. Bu nedenle kişisel veri işleyen segmentlerde şu ayarlar bilinçli yönetilmelidir:
- Promiscuous Mode: varsayılan olarak reject
- MAC Address Changes: ihtiyaç yoksa reject
- Forged Transmits: ihtiyaç yoksa reject
- özel NLB, IDS veya sanal appliance istisnaları: ticket ve risk onayıyla açılmalı
Bu ayarlar tek başına KVKK uyumu sağlamaz; ancak segment izolasyonunu zayıflatabilecek yanlış trafik kabul davranışlarını sınırlar.
Firewall Zone ve Erişim Politikası Nasıl Kurulur?
VLAN, yalnız L2/L3 ayrımı sağlar; erişim kararını tek başına yönetmez. KVKK için güçlü modelde VLAN veya port group tasarımı firewall zone ve erişim kuralıyla tamamlanır.
Önerilen politika mantığı:
- kullanıcı ağı doğrudan database segmentine erişmemeli
- application segmenti yalnız gerekli database portlarına erişmeli
- management segmentine sadece jump host, VPN veya PAM kontrollü erişim açılmalı
- backup segmenti yalnız ilgili hypervisor, repository ve yönetim servisleriyle konuşmalı
- monitoring/logging segmentine tek yönlü veya kontrollü log akışı tanımlanmalı
- DMZ segmentinden iç veri segmentlerine varsayılan erişim kapalı olmalı
Bu mimari İş ve Yönetim Hizmetleri altında yer alan Network Trafik İzleme ve İzolasyon ve VLAN Tasarım ve Yapılandırma Hizmeti ile doğrudan ilişkilidir. Teknik sanallaştırma standardı tarafında Donanım & Yazılım Hizmetleri ve Kurumsal Sanallaştırma Platformları Satış ve Lisanslama hizmetleri de vSphere tasarımını tamamlar.
Loglama ve Denetim Kanıtı Nasıl Hazırlanır?
Network isolation tasarımı denetimde yalnız çizimle savunulmaz. İzleme ve kanıt seti gerekir. KVKK için VMware Audit Log Nasıl Yönetilir? yazısındaki audit log yaklaşımı bu noktada tamamlayıcıdır.
Kanıt setinde şu çıktılar yer almalıdır:
- VLAN/port group matrisi
- vDS veya vSS port group export çıktıları
- firewall zone ve kural listesi
- management, vMotion, storage ve backup VMkernel ayrımı
- SIEM üzerinde segmentler arası reddedilen veya izin verilen kritik trafik kayıtları
- değişiklik ticket'ları ve onay geçmişi
- son 90 güne ait segment review çıktısı
- yüksek riskli istisnalar için süreli onay ve kapanış kaydı
Bu akışı merkezi görünürlüğe taşımak için SIEM ve Güvenlik Olay Yönetimi Entegrasyonu kritik destek sağlar.
İlgili İçerikler
- KVKK için VMware Audit Log Nasıl Yönetilir?
- KVKK için VMware Loglama Nasıl Yapılır?
- VMware KVKK Teknik Tedbirler Rehberi
- VMware Network Yapısı Nasıl Çalışır?
- VMware VLAN Konfigürasyonu Nasıl Yapılır?
Kontrol Listesi
- vCenter ve ESXi management ağı kullanıcı ağından ayrıldı
- kişisel veri işleyen VM'ler ayrı application/database segmentlerine taşındı
- backup, replication, storage ve monitoring trafiği ayrı sınıflandırıldı
- port group adlandırma ve VLAN ID standardı belgelendi
- promiscuous mode, MAC address changes ve forged transmits ayarları gözden geçirildi
- firewall zone kuralları ihtiyaç kadar erişim prensibiyle yazıldı
- segmentler arası yüksek riskli istisnalar süreli onaya bağlandı
- SIEM üzerinde kritik segment geçişleri izleniyor
- son 90 gün için segment review kanıtı hazırlandı
- değişiklikler rollback planı ve ticket ile yönetiliyor
LeonX ile Sonraki Adım
KVKK için VMware network isolation, yalnız VLAN oluşturma işi değildir; kişisel veri işleyen sistemlerin yönetim, uygulama, database, backup, logging ve DMZ akışlarını kontrollü bir erişim modeline bağlamaktır. LeonX, İş ve Yönetim Hizmetleri altında Network Trafik İzleme ve İzolasyon, VLAN Tasarım ve Yapılandırma Hizmeti ve Siber Güvenlik Değerlendirme Hizmeti ile segmentasyon boşluklarını görünür hale getirir. VMware uygulama tarafında Donanım & Yazılım Hizmetleri ve Kurumsal Sanallaştırma Platformları Satış ve Lisanslama ile tasarımın teknik karşılığı uygulanabilir. Mevcut ortamınızı değerlendirmek veya teklif almak için İletişim sayfasından ilerleyebilirsiniz.
İlgili sayfalar:
- İş ve Yönetim Hizmetleri
- Network Trafik İzleme ve İzolasyon
- VLAN Tasarım ve Yapılandırma Hizmeti
- Siber Güvenlik Değerlendirme Hizmeti
- Donanım & Yazılım Hizmetleri
- Kurumsal Sanallaştırma Platformları Satış ve Lisanslama
- SIEM ve Güvenlik Olay Yönetimi Entegrasyonu
- İletişim
Sık Sorulan Sorular
KVKK için VMware network isolation neden önemlidir?
Kişisel veri işleyen VM'lerin kullanıcı, DMZ, backup ve management ağlarıyla gereksiz temasını azaltır. Böylece yetkisiz erişim ve yatay hareket riski düşer.
Sadece VLAN kullanmak yeterli midir?
Hayır. VLAN iyi bir ayrım katmanıdır ancak firewall policy, port group standardı, loglama ve erişim review ile tamamlanmalıdır.
Management network ayrı olmak zorunda mı?
Güçlü tasarımda evet. vCenter ve ESXi management trafiği kullanıcı veya uygulama trafiğiyle aynı segmentte kalmamalıdır.
Backup ve replication ağı neden ayrılmalı?
Yedek veriler de kişisel veri içerebilir. Bu trafiğin kullanıcı veya DMZ ağlarıyla karışması veri sızıntısı ve operasyonel etki riskini artırır.
Denetimde hangi kanıtlar gerekir?
Segment matrisi, port group export çıktıları, firewall kural listesi, SIEM kayıtları, değişiklik ticket'ları ve 90 günlük review çıktısı birlikte güçlü kanıt üretir.
Kaynaklar
- KVKK - Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)
- KVKK - Veri Güvenliğine İlişkin Yükümlülükler
- Broadcom KB 304952 - vMotion interface: Creating a VMkernel port
- Broadcom KB 324520 - Configuring promiscuous mode on a virtual switch or port group
- Broadcom KB 427110 - Forged transmits and MAC address changes
- Broadcom KB 312753 - Isolating the network traffic of vSphere Replication
- Broadcom KB 311145 - Understanding network rollback and recovery
- Wikimedia Commons - Dell Powerconnect 2816
