VMware vCenter Güvenliği ISO 27001 Uyumu Rehberi (2026)

VMware vCenter güvenliği, yalnız yönetici parolasını güçlendirmek veya erişimi VPN arkasına almak değildir. Güçlü model; kimlik kaynağını güvenli hale getirmek, rol ve izin değişikliklerini sınırlamak, sertifika güven zincirini yönetmek, oturum kayıtlarını görünür kılmak ve bunları ISO 27001 denetiminde savunulabilir kanıta dönüştürmekle oluşur. Kısa cevap şudur: ISO 27001 açısından vCenter güvenliği, erişim, şifreleme, logging ve review disiplinlerinin tek bir kontrol seti halinde işletilmesidir.

Bu rehber özellikle şu ekipler içindir:

• VMware ve vSphere yöneticileri
• bilgi güvenliği ve uyum ekipleri
• Active Directory, SSO ve ayrıcalıklı erişim yöneten sistem ekipleri
• ISO 27001 denetimine hazırlanan BT yöneticileri

Hızlı Özet

• ISO/IEC 27001, bilgi güvenliğini risk bazlı bir ISMS modeliyle ele alır; bu nedenle vCenter güvenliği de ürün bazlı değil, kontrol bazlı tasarlanmalıdır.
• Broadcom KB 316596, vCenter ile kimlik kaynağı arasındaki LDAP trafiğini korumak için LDAPS kullanımını ve sertifika/SAN doğrulamasını açıkça tarif eder.
• Broadcom KB 423205, vCenter 8.0 oturum kayıtlarının /var/log/audit/sso-events/audit_events.log altında LoginSuccess, LoginFailure ve Logout tipleriyle tutulduğunu gösterir.
• Broadcom KB 432327, SIEM'e taşınması gereken temel audit olayları arasında login, permission, role, host state ve VM reconfiguration olaylarını sayar.
• Broadcom KB 318946, Machine SSL ve diğer vSphere sertifikalarının hem UI üzerinden hem de certificate-manager ile yönetilebildiğini; işlem öncesi snapshot alınması gerektiğini belirtir.
• Broadcom KB 376043, güncellenmemiş entegrasyon parolalarının sürekli BadUsernameSessionEvent üretip AD hesap kilitlenmesine yol açabileceğini gösterir.

İçindekiler

• ISO 27001 Açısından vCenter Güvenliği Neyi Kapsar?
• Kimlik ve Erişim Modeli Nasıl Kurulmalıdır?
• Sertifika ve Güven Zinciri Neden Kritik?
• Oturum ve Audit Kayıtları Nasıl İzlenmelidir?
• En Sık Yapılan Hatalar Nelerdir?
• İlgili İçerikler
• ISO 27001 İçin Kanıt Seti Nasıl Kurulur?
• Kontrol Listesi
• LeonX ile Sonraki Adım
• Sık Sorulan Sorular
• Kaynaklar

Görsel: Wikimedia Commons - Wikimedia Foundation Servers-8055 02.

ISO 27001 Açısından vCenter Güvenliği Neyi Kapsar?

ISO/IEC 27001'in resmi tanımı, standardın bilgi güvenliğini yalnız teknik ürün ayarlarıyla değil; risk yönetimi, süreç ve sürekli iyileştirme çerçevesiyle ele aldığını açıkça söyler. Bu yüzden vCenter güvenliğinde asıl soru “hangi checkbox aktif?” değil, şu beş başlığa nasıl cevap verdiğinizdir:

• vCenter'a kimler, hangi kimlik kaynağı üzerinden erişiyor
• ayrıcalıklı erişim nasıl sınırlandırılıyor
• sertifika ve güven ilişkileri nasıl yönetiliyor
• oturum ve değişiklik kayıtları nasıl izleniyor
• bu yapı denetimde nasıl kanıtlanıyor

Pratikte ISO 27001 uyumlu vCenter güvenliği şu katmanları birlikte ele alır:

• kimlik doğrulama ve SSO
• rol bazlı yetki ve permission değişiklikleri
• sertifika yaşam döngüsü
• login, logout ve başarısız giriş kayıtları
• SIEM'e taşınan audit event'ler
• review, backup ve değişiklik öncesi güvenli geri dönüş yaklaşımı

Kimlik ve Erişim Modeli Nasıl Kurulmalıdır?

LDAPS neden ilk güvenlik katmanıdır?

Broadcom KB 316596, vCenter Single Sign-On için LDAP with SSL yani LDAPS kullanımının, vCenter ile kimlik kaynağı arasındaki trafiği şifrelemek amacıyla önerildiğini açıkça belirtir. Bu, ISO 27001 açısından önemlidir; çünkü kimlik doğrulama altyapısının kendisi korumasızsa güçlü parola politikası tek başına yeterli olmaz.

KB'deki üç kritik nokta özellikle dikkat ister:

• Domain Controller sertifika zinciri doğru alınmalıdır
• LDAP bağlantısında kullanılan hostname, DC sertifikasının SAN alanında yer almalıdır
• mevcut identity source aynı domain ile tanımlıysa kaldırılıp yeniden ekleme gerekebilir

Bu yüzden güvenli model yalnız “AD entegrasyonu var” demek değil; şifreli, sertifika doğrulamalı ve belgeye bağlanmış bir entegrasyon kurmaktır.

Rol bazlı erişim neden ayrı bir kontrol olarak ele alınmalı?

vCenter güvenliğinde en sık hata, operasyonel rahatlık adına geniş yetkili birkaç hesabı her işe kullanmaktır. Oysa KB 432327, audit açısından yalnız login olaylarının değil; PermissionAddedEvent, PermissionUpdatedEvent, PermissionRemovedEvent, RoleAddedEvent, RoleUpdatedEvent ve RoleRemovedEvent gibi yetki değişikliklerinin de ayrı izlenmesi gerektiğini gösterir.

Bu bilgi bize şunu söyler:

• role design güvenlik kontrolüdür
• permission değişiklikleri merkezi review gerektirir
• custom role açmak kadar role update ve role delete işlemleri de denetlenmelidir

Minimum ayrıcalık yaklaşımı için şu pratik model daha savunulabilir olur:

• günlük operasyon için sınırlı rol
• ayrıcalıklı bakım için ayrı hesap
• entegrasyon servisleri için ayrı kimlik
• kritik izin değişiklikleri için ticket ve review zorunluluğu

Başarısız giriş denemeleri neden yönetişim konusudur?

Broadcom KB 376043, güncellenmeyen entegrasyon parolalarının sürekli başarısız oturum denemesi üretip AD hesabını çok kısa sürede kilitleyebildiğini gösteriyor. Yani failed login yalnız saldırı belirtisi değildir; zayıf credential lifecycle yönetiminin de işaretidir.

Bu nedenle vCenter güvenliği için şu kontroller birlikte düşünülmelidir:

• servis/parola rotasyonu sonrası entegrasyon güncelleme listesi
• başarısız login üreten kaynak IP takibi
• kullanılmayan entegrasyon hesaplarının kaldırılması
• local ve directory tabanlı hesapların ayrıştırılması

Sertifika ve Güven Zinciri Neden Kritik?

Broadcom KB 318946, vSphere Certificate Manager'ın şu işleri yapabildiğini açıkça gösterir:

• default sertifikaları uygulamak
• VMCA sertifikasını custom CA ile değiştirmek
• Machine SSL sertifikasını yenilemek veya CSR üretmek
• sertifikaları UI veya CLI üzerinden yönetmek

Bu bilgi iki açıdan kritik:

1. vCenter güvenliği yalnız parola yönetimi değildir

Machine SSL sertifikası zayıf veya uygunsuz yönetildiğinde kullanıcı güveni, entegrasyon güvenilirliği ve dış erişim doğrulaması aynı anda zayıflar.

2. Sertifika değişikliği kontrollü değişiklik yönetimi gerektirir

KB 318946, işlem öncesi snapshot alınmasını açıkça önerir. Linked mode ortamında ise tüm bağlı vCenter'lar için koordineli snapshot yaklaşımı gerekir. ISO 27001 açısından bu, doğrudan change management ve rollback disiplinine bağlanır.

Pratikte sağlıklı model şunları içerir:

• sertifika envanteri
• sona erme tarihi takvimi
• custom CA mı VMCA mı kararının yazılı standardı
• değişiklik öncesi snapshot/backup planı
• değişiklik sonrası doğrulama checklist'i

Oturum ve Audit Kayıtları Nasıl İzlenmelidir?

Login kayıtları nerede tutulur?

Broadcom KB 423205, vCenter Server 8.0 login olaylarının /var/log/audit/sso-events/audit_events.log altında tutulduğunu ve bu dosyada en az şu üç olay tipinin yer aldığını gösterir:

• com.vmware.sso.LoginSuccess
• com.vmware.sso.LoginFailure
• com.vmware.sso.Logout

Bu, ISO 27001 açısından güçlü bir başlangıçtır; çünkü yalnız “kimin admin olduğu” değil, “kim ne zaman girdi, hangi istemciden geldi, çıkış yaptı mı” sorularına cevap üretir.

SIEM'e hangi olaylar taşınmalı?

Broadcom KB 432327, SIEM'e yönlendirme için temel vCenter audit olaylarını kategorik biçimde listeler. Özellikle şu gruplar vCenter güvenliği için önemlidir:

• kimlik doğrulama ve session event'leri
• permission ve role değişiklikleri
• host connection ve maintenance mode olayları
• VM yaratma, silme, clone ve reconfiguration olayları

Bu olaylar merkezi platforma taşınmadığında, vCenter içindeki görünürlük kısmen mevcut olsa bile denetim izi dağınık kalır. Bu nedenle audit akışı yalnız local log okumakla sınırlı tutulmamalıdır.

Merkezi korelasyon neden gereklidir?

vCenter login kayıtları, permission değişiklikleri ve başarısız giriş olayları merkezi log platformunda birlikte korele edilmelidir. Bu noktada Business Management Hizmetleri altında sunduğumuz Siber Güvenlik Değerlendirme Hizmeti ile kontrol olgunluğu gözden geçirilebilir; log tarafında ise Hardware & Software Hizmetleri altındaki SIEM ve Güvenlik Olay Yönetimi Entegrasyonu yaklaşımıyla vCenter olayları merkezi korelasyona taşınabilir.

Sanallaştırma mimarisi tarafında Kurumsal Sanallaştırma Platformları Satış ve Lisanslama hizmeti, erişim modeli ve platform standardının altyapı tarafını tamamlar.

En Sık Yapılan Hatalar Nelerdir?

AD entegrasyonunu güvenli varsaymak

AD ile login çalışıyor diye yapı güvenlidir varsayımı yanlıştır. LDAPS, sertifika zinciri ve SAN doğrulaması ayrıca kontrol edilmelidir.

Tüm yöneticilere geniş yetki vermek

Rol sayısını azaltmak ile role aşırı yetki vermek aynı şey değildir. Az ama doğru ayrılmış rol modeli daha güvenlidir.

Login loglarını yalnız sorun çıktığında incelemek

LoginFailure veya BadUsernameSessionEvent kayıtları düzenli review edilmezse hem saldırı hem de entegrasyon kaynaklı credential sorunu geç fark edilir.

Sertifika yenilemesini son güne bırakmak

Machine SSL veya ilgili trust zinciri son güne bırakıldığında erişim, entegrasyon ve operasyon aynı anda risk altına girer.

Permission değişikliklerini ticket dışında yapmak

İzin değişiklikleri olay kaydı, owner ve geri alma planı olmadan yapılırsa denetimde savunmak zorlaşır.

İlgili İçerikler

• ISO 27001 için VMware Monitoring Nasıl Yapılır?
• VMware ESXi Hardening Guide ISO 27001 Uyumu Rehberi
• VMware vCenter Nedir ve Ne İşe Yarar? Kurumsal Rehber
• VMware vCenter Login Failed Sorunu Nasıl Çözülür?

ISO 27001 İçin Kanıt Seti Nasıl Kurulur?

Denetimde güçlü bir vCenter güvenlik kanıt seti, yalnız ekran görüntüsü değil; tekrar üretilebilir ve tarihsel iz bırakabilen materyallerden oluşmalıdır. En az şu bileşenler birlikte tutulmalıdır:

• kimlik kaynağı ve LDAPS yapılandırma standardı
• rol matrisi ve ayrıcalıklı hesap listesi
• permission/role change review kayıtları
• sertifika envanteri ve yenileme takvimi
• audit_events.log üzerinden alınmış örnek login başarı/başarısızlık kayıtları
• SIEM'e taşınan olay kategorileri listesi
• parola değişimi sonrası entegrasyon kontrol checklist'i
• snapshot, backup ve rollback prosedürü

Özellikle aşağıdaki kanıtlar daha güçlü görünür:

• son 12 ay içindeki permission review kayıtları
• başarısız login olaylarına ilişkin analiz ve kapanış ticket'ları
• sertifika yenileme öncesi ve sonrası doğrulama çıktıları
• kritik role değişiklikleri için onay geçmişi

Kontrol Listesi

• vCenter identity source yapısı LDAPS ve sertifika doğrulamasıyla gözden geçirildi
• ayrıcalıklı ve günlük operasyon hesapları ayrıştırıldı
• permission ve role değişiklikleri için review/ticket zorunluluğu tanımlandı
• Machine SSL ve ilgili sertifika yaşam döngüsü takvimi çıkarıldı
• login success, failure ve logout kayıtları düzenli inceleniyor
• SIEM'e taşınacak vCenter audit olayları kategorize edildi
• parola rotasyonu sonrası entegrasyon hesapları doğrulanıyor
• denetimde sunulacak vCenter güvenlik kanıt seti hazırlandı

LeonX ile Sonraki Adım

VMware vCenter güvenliği, birkaç ayar değişikliğiyle tamamlanan dar bir hardening işi değildir; kimlik, rol, sertifika, logging ve review süreçlerinin birlikte işletildiği bir yönetişim modelidir. LeonX, Business Management Hizmetleri altında özellikle Siber Güvenlik Değerlendirme Hizmeti ile mevcut kontrol boşluklarını görünür hale getirir; teknik tarafta ise SIEM ve Güvenlik Olay Yönetimi Entegrasyonu ve sanallaştırma standartlarıyla daha savunulabilir bir vCenter operasyon modeli kurulmasına yardımcı olur. Mevcut ortamınızı değerlendirmek veya teklif almak için İletişim sayfasından ilerleyebilirsiniz.

İlgili sayfalar:

• Business Management Hizmetleri
• Siber Güvenlik Değerlendirme Hizmeti
• SIEM ve Güvenlik Olay Yönetimi Entegrasyonu
• İletişim

Sık Sorulan Sorular

vCenter güvenliği için yalnız güçlü parola yeterli midir?

Hayır. Kimlik kaynağı, rol modeli, sertifika zinciri ve oturum logları birlikte yönetilmelidir.

LDAPS kullanmak neden bu kadar önemlidir?

Çünkü vCenter ile kimlik kaynağı arasındaki LDAP trafiğini şifreler ve güven ilişkisini sertifika doğrulamasıyla daha kontrollü hale getirir.

Login kayıtları hangi dosyada tutulur?

Broadcom KB 423205'e göre vCenter 8.0 login kayıtları /var/log/audit/sso-events/audit_events.log altında tutulur.

Permission değişiklikleri gerçekten audit kapsamında mıdır?

Evet. Broadcom'un SIEM event listesinde permission ve role değişiklikleri açık biçimde audit-related event olarak yer alır.

Sertifika yenilemeden önce snapshot almak gerekli midir?

Evet. Broadcom KB 318946, sertifika işlemleri öncesi snapshot alınmasını özellikle önerir.

Sonuç

VMware vCenter güvenliği ISO 27001 uyumu; kimlik kaynağını güvenli kurmak, yetkileri minimum ayrıcalıkla yönetmek, sertifika zincirini planlı işletmek, login ve değişiklik kayıtlarını merkezi izlemek ve bunları kanıt setine dönüştürmek anlamına gelir. Güçlü yaklaşım, vCenter'ı yalnız teknik bir yönetim paneli değil; denetim izi üreten kurumsal kontrol düzlemi olarak ele almaktır.

Kaynaklar

• ISO/IEC 27001:2022 - Information security management systems
• Configuring a vCenter Single Sign-On Identity Source using LDAP with SSL (LDAPS)
• How to find vCenter Server login record
• Using vSphere Certificate Manager to Replace SSL Certificates
• Identifying Audit and security logs to forward to syslog server (SIEM)
• User AD account getting locked out and authentication failure errors are seen in vCenter events
• Wikimedia Commons - Wikimedia Foundation Servers-8055 02