Co je Azure Change Tracking a Inventory?

Azure Sledování změn a inventář (CTI) je služba Azure, která zlepšuje auditování a zásady správného řízení pro operace hosta monitorováním změn konfigurace a poskytováním podrobných protokolů inventáře mezi servery v Azure, místním a dalším cloudovým prostředím. Pomáhá zjišťovat odchylky konfigurace a udržovat přehled o systémových prostředcích.

Důležité

Použijte Sledování změn a inventář s rozšířením Change Tracking verze 2.20.0.0 nebo novější.

Služba poskytuje dvě základní funkce: sledování změn a inventář.

Sledování změn

• Monitoruje změny konfigurace, včetně úprav souborů, klíčů registru, instalací softwaru a služeb Windows nebo linuxových démonů.
• Poskytuje podrobné protokoly o tom, co se změnilo a kdy rychle zjišťovat odchylky konfigurace nebo neoprávněné změny.
• Metadata sledování změn se ingestují do ConfigurationChange tabulky v připojeném pracovním prostoru Log Analytics. Další informace naleznete v tématu ConfigurationChange.

Poznámka:

Sledování změn a inventář protokoluje data pro aplikace na úrovni systému i aplikace na úrovni uživatele. Data na úrovni systému se vždy protokolují, ale aplikace na úrovni uživatele se zobrazí jenom v případě, že se uživatel přihlásí k počítači. Když se uživatel odhlásí, označí se tyto aplikace jako Odebrané.

Inventář

• Shromažďuje a udržuje aktualizovaný inventář nainstalovaného softwaru, podrobností operačního systému a dalších konfiguračních dat počítače v připojených pracovních prostorech Log Analytics.
• Poskytuje přehled systémových prostředků, které podporují dodržování předpisů, audity a proaktivní údržbu.
• Ingestuje metadata inventáře do ConfigurationData tabulky v připojeném pracovním prostoru služby Log Analytics. Další informace naleznete v tématu ConfigurationData.

Další informace o vylepšeném prostředí zjišťování a onboardingu v Sledování změn a inventář pro správu akcí hosta najdete v blogu Microsoft Community Hubu.

Klíčové výhody služby Azure Change Tracking a Inventory

• Kompatibilita s agentem Azure Monitor (AMA):Je kompatibilní s agentem Azure Monitor (AMA), který vylepšuje zabezpečení a spolehlivost a usnadňuje prostředí pro ukládání dat ve více lokalitách.
• Kompatibilita s rozšířením Change Tracking: Je kompatibilní s rozšířením Change Tracking nasazeným prostřednictvím Azure Policy na virtuálním počítači klienta. Jakmile přepnete na AMA, rozšíření Change Tracking odešle software, soubory a data registru do AMA.
• Podpora multihomingu s Azure Monitor Logs: Umožňuje standardizovat správu v rámci jednoho centrálního pracovního prostoru. Můžete přejít z Azure Monitor protokolů na AMA, aby všechny virtuální počítače ukazovaly na jeden pracovní prostor pro shromažďování a údržbu dat.
• Správa pravidel shromažďování dat (DCR): Používá pravidla shromažďování dat (DCR) ke konfiguraci nebo přizpůsobení různých aspektů shromažďování dat. DcR je konfigurace Azure Monitor, která definuje, jaká data monitorování se shromažďují, ze kterých počítačů a odkud se odesílají. Můžete například změnit frekvenci shromažďování souborů.

Informace o podporovaných operačních systémech najdete v matici podpory a oblastech pro řešení Change Tracking a Inventory.

Povolení služby Azure Change Tracking a Inventory

Sledování změn a inventář můžete povolit následujícími způsoby:

• Servery s podporou služby Azure Arc (počítače mimo Azure): Na portálu Azure, v Centru sledování změn a inventáře | Podokně Počítače, vyberte Politika>Typ definice>Kategorie>Sledování změn a inventář. V části Iniciativa vyberte Povolit řešení Change Tracking a Inventory pro virtuální počítače s podporou arc. Pokud chcete povolit jeden počítač, přečtěte si téma Povolení Sledování změn a inventář pro jeden virtuální počítač s podporou Azure Arc pomocí portálu. Pokud chcete povolit více počítačů, přečtěte si téma Povolení Sledování změn a inventář pro více virtuálních počítačů s podporou Azure Arc pomocí rozhraní příkazového řádku. Chcete-li to povolit ve velkém měřítku, použijte přístup založený na zásadách deploy-if-not-exists (DINE).

• Jeden virtuální počítač Azure: Na portálu Azure vyberte virtuální počítač v podokně Virtuální počítače a potom pro tento virtuální počítač povolte Sledování změn a inventář. Tento scénář podporuje virtuální počítače s Linuxem i Windows. Další informace najdete v článku Povolení Sledování změn a inventáře pro jeden virtuální počítač Azure pomocí portálu.

• Několik Azure virtuálních počítačů: Na portálu Azure vyberte v podokně Virtuální počítače několik virtuálních počítačů, abyste pro tyto počítače povolili Sledování změn a inventář. Další informace najdete v článku Povolení sledování změn a inventáře pro více virtuálních počítačů Azure pomocí portálu.

Co sleduje Sledování změn a inventář

Azure Sledování změn a inventář sleduje změny souborů, obsahu souborů, klíčů registru, softwaru, služeb Windows a démonů Linuxu.

Sledování změn souborů

Ke sledování změn souborů v Windows a Linuxu Sledování změn a inventář používá hodnoty hash SHA256 souborů a porovnává je s hodnotami hash shromážděnými během předchozí kontroly inventáře k detekci změn souborů.

Sledování změn obsahu souboru

Pomocí Sledování změn a inventář můžete zobrazit obsah souborů Windows a Linuxu. Pro každou změnu souboru Sledování změn a inventář ukládá obsah souboru do účtu Azure Storage. Při sledování souboru můžete zobrazit a porovnat obsah souboru před a po změně. Obsah můžete zobrazit přímo nebo vedle sebe. Další informace najdete v tématu Kurz: Změna pracovního prostoru a konfigurace pravidla shromažďování dat.

Sledování klíčů registru

Sledování změn a inventář monitoruje změny klíčů registru Windows. Monitorování klíčů registru může pomoct identifikovat změny konfigurace a body rozšiřitelnosti, kde se může aktivovat jiný kód než Microsoft. Následující tabulka uvádí předkonfigurované (ale nepovolené) klíče registru. Pokud chcete tyto klíče sledovat, musíte každý klíč povolit.

Poznámka:

Klíč registru je kontejner v registru Systému Windows, který funguje jako složka v systému souborů. Uspořádá nastavení konfigurace a data pro hardware, software a uživatele. Klíče obsahují hodnoty registru, jako jsou soubory a podklíče.

Klíč registru	Účel
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Group Policy\Scripts\Startup	Monitoruje skripty, které se spouští při spuštění.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Group Policy\Scripts\Shutdown	Monitoruje skripty, které běží při vypnutí.
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run	Monitoruje klíče načtené před přihlášením uživatele k účtu Systému Windows. Klíč se používá pro 32bitové aplikace běžící na 64bitových počítačích.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components	Monitoruje změny nastavení aplikace.
HKEY_LOCAL_MACHINE\Software\Classes\Directory\ShellEx\ContextMenuHandlers	Monitoruje obslužné rutiny místní nabídky, které se připojují přímo k Průzkumníku Windows a obvykle běží v procesu s explorer.exe.
HKEY_LOCAL_MACHINE\Software\Classes\Directory\Shellex\CopyHookHandlers	Monitoruje obslužné rutiny háku kopírování, které se připojují přímo do Průzkumníka Windows a obvykle běží v procesu s explorer.exe.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers	Monitoruje registraci obslužné rutiny překrytí ikon.
HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers	Monitoruje registraci obslužné rutiny překrytí ikon pro 32bitové aplikace spuštěné na 64bitových počítačích.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects	Monitory pro nové moduly plug-in pomocných objektů prohlížeče pro Internet Explorer. Používá se pro přístup k modelu DOM (Document Object Model) aktuálního podokna a k řízení navigace.
HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects	Monitory pro nové moduly plug-in pomocných objektů prohlížeče pro Internet Explorer. Používá se pro přístup k modelu DOM aktuálního podokna a k řízení navigace pro 32bitové aplikace spuštěné na 64bitových počítačích.
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Extensions	Monitory pro nová rozšíření Internet Exploreru, například vlastní nabídky nástrojů a tlačítka vlastního panelu nástrojů.
HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Internet Explorer\Extensions	Monitory pro nová rozšíření Internet Exploreru, jako jsou vlastní nabídky nástrojů a tlačítka vlastních panelů nástrojů pro 32bitové aplikace spuštěné na 64bitových počítačích.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Drivers32	Monitoruje 32bitové ovladače asociované s wavemapperem, wave1 a wave2, msacm.imaadpcm, .msadpcm, .msgsm610 a vidc. Podobně jako oddíl [drivers] v souboru system.ini.
HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Drivers32	Monitoruje 32bitové ovladače asociované s wavemapperem, wave1 a wave2, msacm.imaadpcm, .msadpcm, .msgsm610 a vidc pro 32bitové aplikace běžící na 64bitových počítačích. Podobně jako oddíl [drivers] v souboru system.ini.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager\KnownDlls	Monitoruje seznam známých nebo běžně používaných systémových knihoven DLL. Monitoring brání osobám zneužívat slabá oprávnění k adresářům aplikací podstrčením trojanizovaných verzí systémových knihoven DLL.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify	Monitoruje seznam balíčků, které mohou přijímat oznámení událostí z winlogon.exe, interaktivní model podpory přihlašování pro Windows.

Sledování změn softwaru

Sledování změn a inventář sleduje nainstalovaný software na počítačích s Windows a Linuxem tím, že shromažďuje inventář softwaru a porovnává každý cyklus shromažďování s předchozím stavem. Tato funkce pomáhá zjišťovat instalace, odebrání a změny verzí softwaru napříč počítači a udržovat viditelnost inventáře softwaru ve vašem prostředí. Další informace o limitech a četnostech shromažďování najdete v tématu Matice podpory a oblasti.

Sledování služeb Windows a linuxových démonů

Sledování změn a inventář sleduje změny Windows služeb a démonů Linuxu, včetně změn souvisejících se stavem a konfigurací, a zaznamenává tyto změny v událostech změn konfigurace pro účely analýzy a upozorňování. Sledování těchto změn vám pomůže identifikovat změny související se službami napříč počítači.

Související obsah

• Pokud chcete povolit Azure Change Tracking a Inventory z webu Azure Portal, přečtěte si článek Rychlý start: Povolení služby Azure Change Tracking a Inventory.
• Projděte si podporovanou matici a její oblasti pro funkce "Sledování změn" a "Inventář".
• Pokud chcete zakázat Sledování změn a inventář pomocí AMA, přečtěte si téma Zakázání Azure Sledování změn a inventář pomocí agenta Azure Monitor.