VMware Salt, VCF’de bağımsız bir compliance ve hardening servisine dönüştü

VMware, VMware Salt’ın remote execution motoru üzerine kurulu VMware Compliance and Configuration Management’ı VMware Cloud Foundation (VCF) için bağımsız bir Advanced Service olarak duyurdu. Salt daha önce VMware Advanced Cyber Compliance (ACC) paketinin parçasıydı. Servis iş yüklerini CIS ve DISA benchmark’larına göre tarıyor, baseline’dan sapan yapılandırmayı event-driven olarak tespit edip otomatik düzeltiyor.

VMware Salt nedir, ne için kullanılır?

VMware Salt, açık kaynak Salt projesine dayanan kurumsal configuration management ve remote execution aracıdır. Merkezi bir master üzerinden minion adı verilen agent’lara komut gönderir, sistemlerin istenen durumunu YAML tabanlı state dosyalarıyla tanımlar. Sunucu filolarını yapılandırmak, yamalamak ve denetlemek için kullanılır. Bilinen alternatifleri Ansible, Puppet ve Chef’tir.

Kısaca VMware Cloud Foundation nedir

VMware Cloud Foundation, compute, depolama, ağ ve yönetim bileşenlerini tek bir yazılım yığınında birleştiren private cloud platformudur. Kurumlar kendi veri merkezlerinde sanal makine ve container iş yüklerini standart bir altyapı üzerinde çalıştırmak için kullanır. Advanced Service olarak eklenen servisler bu platformun üzerine kurulur.

Salt artık ACC paketinden bağımsız

VCF işletiyorsanız, VMware Salt’ı almak için artık ACC paketinin tamamına girmeniz gerekmiyor. Configuration management, compliance taraması ve patch dağıtımı tek bir Advanced Service altında toplanıyor.

Elinizde ACC lisansı varsa önce satış ekibine sorun. VMware duyuruda mevcut ACC sözleşmelerinin yeni servise nasıl taşınacağını anlatmıyor.

VMware Salt mimarisinde hangi parça ne yapıyor

Yapı klasik bir control plane ve agent modeli:

• Salt Server: API, arayüz, RBAC (Role-Based Access Control) ve raporlama katmanı.
• Salt Master: Policy’leri tutan, yapılandırmayı dağıtan control plane.
• Salt Minion: Hedef iş yüküne kurulan agent.
• Event Bus: Master ile minion’lar arasındaki şifreli kanal.

Master binlerce node üzerinde komut çalıştırabiliyor ve bu yetki tek bir noktada toplanıyor. Bir saldırgan için domain controller kadar değerli bir hedef. Master’a erişimi yönetim ağıyla sınırlayın ve Salt Server’daki RBAC rollerini en baştan dar tanımlayın.

Event Bus master ile minion arasında sürekli açık bir kanal olarak çalışıyor. Segmentlenmiş ağlarda firewall kurallarını kurulumdan önce planlayın. Gerekli portları üreticinin kurulum belgesinden alın.

Minion desteğini envanterle karşılaştırın

Duyuruda dört Linux dağıtımı geçiyor: CentOS, Red Hat, SUSE ve Ubuntu. MacOS ve Windows da listede. Filonuzda bu dört dağıtım dışında Linux varsa satın almadan önce destek matrisini kontrol edin.

Hızlı bir envanter için her host’ta dağıtım bilgisini toplayabilirsiniz:

cat /etc/os-release

Listede olmayan sistemler compliance raporunda kör nokta olarak kalır. Denetçi “tüm sunucular” dediğinde bu boşluk sorun çıkarır.

Otomatik düzeltmeyi kademeli açın

VMware Salt’ın satış argümanı event-driven remediation. Yetkisiz bir dosya değişikliği veya açılan bir port anında tespit ediliyor ve geri alınıyor. Kâğıt üzerinde iyi görünüyor, fakat aynı mekanizma meşru acil değişiklikleri de geri alır.

Gece yarısı bir olay sırasında firewall’da geçici bir port açtığınızı düşünün. Baseline güncellenmemişse servis o portu kapatır ve müdahaleniz yarıda kalır. Kaynak metin bu “geçici firewall değişikliği” örneğini zaten drift’in nedenleri arasında sayıyor.

Sıralama önerisi:

1. Önce yalnızca tarama çalıştırın, CIS veya DISA raporundaki fail listesini inceleyin.
2. Düşük riskli kurallar için zamanlanmış reconciliation açın.
3. Süreç oturduktan sonra event-driven düzeltmeyi kural kural etkinleştirin.

Desired state tanımları YAML veya JSON ile yazılıyor. Bu dosyaları bir Git repo’sunda tutun ve değişiklikleri pull request ile geçirin. Böylece acil durumdaki istisna da kayda geçer, denetimde kimin neyi neden değiştirdiği görünür.

Aynı dosyaları başka bir configuration management aracı da yönetiyorsa iki araç birbirinin değişikliğini sürekli geri alır. Her yapılandırma dosyası için tek bir sahip araç belirleyin.

Vulnerability verisi ve patch dağıtımı

Servis üçüncü taraf tarama sonuçlarını içeri alıp patch’i binlerce node’a dağıtabiliyor. VMware hangi tarayıcıların ve veri formatlarının desteklendiğini duyuruda belirtmiyor. Kullandığınız tarayıcıyla entegrasyonu PoC aşamasında doğrulayın.

Patch’i tüm filoya tek seferde göndermek, bir hatayı da tek seferde yayar. Node’ları gruplara bölün, önce test grubuna dağıtın, sonra bakım pencerelerine göre ilerleyin.

Denemek istiyorsanız VMware’in Hands-on Lab’i hazır: “VMware Salt in VCF 9.1: Configuration, Compliance & Vulnerability Management”, kodu HOL-2734-05-VCF-L. Lab, VCF 9.1 üzerinde kurulum yapmadan mimariyi ve benchmark taramasını görmenin en ucuz yolu.