Übersicht über Änderungsnachverfolgung und Bestand

  • Artikel

Achtung

Dieser Artikel bezieht sich auf CentOS, eine Linux-Distribution, die sich dem End-of-Life-Status (EOL) nähert. Sie sollten Ihre Nutzung entsprechend planen. Weitere Informationen finden Sie im CentOS End-of-Life-Leitfaden.

Wichtig

Dieser Artikel bietet eine Einführung in Änderungsnachverfolgung und Bestand in Azure Automation. Mit diesem Feature werden Änderungen an virtuellen Computern nachverfolgt, die in Azure, lokal oder in anderen Cloudumgebungen gehostet werden, damit Sie Betriebs- und Umgebungsprobleme mit Software ermitteln können, die vom Paket-Manager der Distribution verwaltet wird. Folgende Elemente werden u. a. mit Änderungsnachverfolgung und Bestand nachverfolgt:

  • Windows-Software
  • Linux-Software (Pakete)
  • Windows- und Linux-Dateien
  • Windows-Registrierungsschlüssel
  • Windows-Dienste
  • Linux-Daemons

Hinweis

Informationen zum Nachverfolgen von Eigenschaftenänderungen in Azure Resource Manager finden Sie im Änderungsverlauf von Azure Resource Graph.

Beim Feature „Änderungsnachverfolgung und Bestand“ werden die Dateiintegritätsüberwachung (File Integrity Monitoring, FIM) von Microsoft Defender für Cloud zum Untersuchen von Betriebssystem- und Anwendungsdateien und die Windows-Registrierung verwendet. Diese Entitäten werden per FIM überwacht, und von Änderungsnachverfolgung und Bestand wird Folgendes standardmäßig nachverfolgt:

  • Softwareänderungen
  • Windows-Dienste
  • Linux-Daemons

Die Aktivierung aller Funktionen von Änderungsnachverfolgung und Bestand kann dazu führen, dass weitere Kosten anfallen. Lesen Sie Automation – Preise und Azure Monitor – Preise, bevor Sie fortfahren.

Änderungsnachverfolgung und Bestand leitet Daten an Azure Monitor-Protokolle weiter, und diese gesammelten Daten werden in einem Log Analytics-Arbeitsbereich gespeichert. Die Funktion zur Dateiintegritätsüberwachung (FIM) ist nur verfügbar, wenn Microsoft Defender für Server aktiviert ist. Erfahren Sie mehr über die Preise für Microsoft Defender für Cloud. Bei der Dateiintegritätsüberwachung werden Daten in denselben Log Analytics-Arbeitsbereich hochgeladen, der zum Speichern von Daten für Änderungsnachverfolgung und Bestand erstellt wurde. Wir empfehlen Ihnen, Ihren verknüpften Log Analytics-Arbeitsbereich zu überwachen, um die exakte Nutzung nachzuverfolgen. Weitere Informationen zum Analysieren der Datennutzung von Azure Monitor-Protokollen finden Sie unter Analysieren der Nutzung im Log Analytics-Arbeitsbereich.

Computer, die mit dem Log Analytics-Arbeitsbereich verbunden sind, verwenden den Log Analytics-Agent, um Daten zu Änderungen an installierter Software, Windows-Diensten, Windows-Registrierung und -Dateien sowie Linux-Daemons auf überwachten Servern zu sammeln. Wenn Daten verfügbar sind, sendet der Agent diese zur Verarbeitung an Azure Monitor-Protokolle. Von Azure Monitor-Protokollen wird Logik auf die empfangenen Daten angewendet, und die Daten werden aufgezeichnet und zu Analysezwecken verfügbar gemacht.

Hinweis

Die Funktion „Änderungsnachverfolgung und Bestand“ setzt voraus, dass ein Log Analytics-Arbeitsbereich mit Ihrem Automation-Konto verknüpft wird. Eine aktuelle Liste der unterstützten Regionen finden Sie unter Arbeitsbereichzuordnungen in Azure. Die Regionszuordnungen haben keine Auswirkung auf die Möglichkeit, virtuelle Computer in einer anderen Region als der Ihres Automation-Kontos zu verwalten.

Als Dienstanbieter haben Sie möglicherweise mehrere Kundenmandanten in Azure Lighthouse integriert. Mit Azure Lighthouse können Sie umfangreiche Vorgänge mehrere Microsoft Entra-Mandanten übergreifend gleichzeitig durchzuführen, sodass Sie Verwaltungsaufgaben wie Änderungsnachverfolgung und Bestand für die Mandanten, für die Sie verantwortlich sind, effizienter bewältigen können. Änderungsnachverfolgung und Bestand können Computer in mehreren Abonnements im selben Mandanten oder Mandanten übergreifend mit der Delegierten Azure-Ressourcenverwaltung verwalten.

Aktuelle Einschränkungen

Für Änderungsnachverfolgung und Bestand werden die folgenden Einschränkungen nicht unterstützt bzw. verwendet:

  • Rekursion für die Nachverfolgung der Windows-Registrierung
  • Netzwerkdateisysteme
  • Verschiedene Installationsmethoden
  • *EXE-Dateien, die unter Windows gespeichert werden
  • Die Spalte Maximale Dateigröße und ihre Werte werden in der aktuellen Implementierung nicht genutzt.
  • Bei der Nachverfolgung von Dateiänderungen ist die Dateigröße auf maximal 5 MB beschränkt.
  • Wenn die Dateigröße >1,25 MB beträgt, ist FileContentChecksum aufgrund von Speichereinschränkungen in der Prüfsummenberechnung falsch.
  • Wenn Sie versuchen, anhand eines 30-minütigen Sammlungszyklus mehr als 2.500 Dateien zu erfassen, wird das Feature „Änderungsnachverfolgung und Bestand“ unter Umständen beeinträchtigt.
  • Bei einem hohen Netzwerkdatenverkehr-Aufkommen kann es bis zu sechs Stunden dauern, bis Änderungsdatensätze angezeigt werden.
  • Wenn Sie eine Konfiguration ändern, während ein Computer oder Server heruntergefahren ist, werden ggf. Änderungen bereitgestellt, die zur vorherigen Konfiguration gehören.
  • Erfassung von Hotfix-Updates für Computer mit Windows Server 2016 Core RS3.
  • Für Linux-Daemons wird möglicherweise ein geänderter Zustand angezeigt, obwohl keine Änderung aufgetreten ist. Dieses Problem wird durch die Art des Schreibens von SvcRunLevels-Daten in der Azure Monitor-Tabelle ConfigurationChange verursacht.

Grenzwerte

Grenzwerte, die für Änderungsnachverfolgung und Bestand gelten, finden Sie unter Grenzwerte für den Azure Automation-Dienst.

Unterstützte Betriebssysteme

Änderungsnachverfolgung und Bestand werden unter allen Betriebssystemen unterstützt, die die Anforderungen des Log Analytics-Agent erfüllen. Eine Liste der Windows- und Linux-Betriebssystemversionen, die derzeit vom Log Analytics-Agent unterstützt werden, finden Sie unter Unterstützte Betriebssysteme.

Informationen zu den Clientanforderungen für TLS 1.2 oder höher finden Sie unter TLS für Azure Automation.

Python-Anforderung

Änderungsnachverfolgung und Bestand unterstützt jetzt Python 2 und Python 3. Wenn Ihr Computer eine Distribution verwendet, die keine der Versionen enthält, müssen Sie sie standardmäßig installieren. Mithilfe der folgenden Beispielbefehle werden Python 2 und Python 3 in verschiedenen Distributionen installiert.

Hinweis

Um den OMS-Agent zu verwenden, der mit Python 3 kompatibel ist, stellen Sie sicher, dass Sie zuerst Python 2 deinstallieren. Andernfalls wird der OMS-Agent standardmäßig weiterhin mit Python 2 ausgeführt.

  • Red Hat, CentOS, Oracle:
   sudo yum install -y python2
  • Ubuntu, Debian:
   sudo apt-get update
   sudo apt-get install -y python2
  • SUSE:
   sudo zypper install -y python2

Hinweis

Der ausführbaren Python 2-Datei muss der Alias python zugewiesen werden.

Netzwerkanforderungen

Überprüfen Sie die Azure Automation-Netzwerkkonfiguration, um ausführliche Informationen zu den Ports, URLs und anderen Netzwerkdetails zu erhalten, die für „Änderungsnachverfolgung und Bestand“ erforderlich sind.

Aktivieren der Lösung für Änderungsnachverfolgung und Bestand

Sie können „Änderungsnachverfolgung und Bestand“ auf folgende Arten aktivieren:

Nachverfolgen von Dateiänderungen

Zum Nachverfolgen von Änderungen unter Windows und Linux verwendet Änderungsnachverfolgung und Bestand MD5-Hashes der Dateien. Das Feature verwendet die Hashes, um zu ermitteln, ob seit der letzten Inventur Änderungen vorgenommen wurden. Um die Linux-Dateien zu verfolgen, stellen Sie sicher, dass Sie READ-Zugriff für den OMS-Agent-Benutzer haben.

Nachverfolgen von Änderungen des Dateiinhalts

„Änderungsnachverfolgung und Bestand“ ermöglicht Ihnen, den Inhalt einer Windows- oder Linux-Datei anzuzeigen. Für jede Dateiänderung speichert Änderungsnachverfolgung und Bestand den Inhalt der Datei in einem Azure Storage-Konto. Wenn Sie eine Datei nachverfolgen, können Sie ihren Inhalt vor oder nach einer Änderung anzeigen. Der Inhalt der Datei kann entweder inline oder nebeneinander angezeigt werden.

Anzeigen von Änderungen in einer Datei

Nachverfolgen von Registrierungsschlüsseln

„Änderungsnachverfolgung und Bestand“ ermöglicht die Überwachung von Änderungen an Windows-Registrierungsschlüsseln. Die Überwachung dient dem Ermitteln von Erweiterungspunkten, an denen Code von Drittanbietern und Schadsoftware aktiv werden können. In der folgenden Tabelle sind vorkonfigurierte (aber nicht aktivierte) Registrierungsschlüssel aufgeführt. Um diese Schlüssel nachzuverfolgen, müssen Sie jeden einzeln aktivieren.

Registrierungsschlüssel Zweck
HKEY\LOCAL\MACHINE\Software\Microsoft\Windows\CurrentVersion\Group Policy\Scripts\Startup Überwacht Skripts, die beim Start ausgeführt werden.
HKEY\LOCAL\MACHINE\Software\Microsoft\Windows\CurrentVersion\Group Policy\Scripts\Shutdown Überwacht Skripts, die beim Herunterfahren ausgeführt werden.
HKEY\LOCAL\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run Überwacht Schlüssel, die geladen werden, bevor sich der Benutzer bei seinem Windows-Konto anmeldet. Der Schlüssel wird für 32-Bit-Anwendungen verwendet, die auf 64-Bit-Computern ausgeführt werden.
HKEY\LOCAL\MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components Überwacht Änderungen an Anwendungseinstellungen.
HKEY\LOCAL\MACHINE\Software\Classes\Directory\ShellEx\ContextMenuHandlers Überwacht Kontextmenühandler, die sich direkt bei Windows-Explorer einklinken und in der Regel In-Process mit explorer.exe ausgeführt werden.
HKEY\LOCAL\MACHINE\Software\Classes\Directory\Shellex\CopyHookHandlers Überwacht Kopierhookhandler, die sich direkt bei Windows-Explorer einklinken und in der Regel In-Process mit explorer.exe ausgeführt werden.
HKEY\LOCAL\MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers Überwacht die Symboloverlayhandler-Registrierung.
HKEY\LOCAL\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers Überwacht die Symboloverlayhandler-Registrierung für 32-Bit-Anwendungen, die auf 64-Bit-Computern ausgeführt werden.
HKEY\LOCAL\MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects Überwacht neue Browserhilfsobjekt-Plug-Ins für Internet Explorer. Wird für den Zugriff auf das Dokumentobjektmodell (DOM) der aktuellen Seite und zum Steuern der Navigation verwendet.
HKEY\LOCAL\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects Überwacht neue Browserhilfsobjekt-Plug-Ins für Internet Explorer. Wird für den Zugriff auf das Dokumentobjektmodell (DOM) der aktuellen Seite und zum Steuern der Navigation für 32-Bit-Anwendungen verwendet, die auf 64-Bit-Computern ausgeführt werden.
HKEY\LOCAL\MACHINE\Software\Microsoft\Internet Explorer\Extensions Überwacht, ob neue Internet Explorer-Erweiterungen vorliegen, z. B. benutzerdefinierte Toolmenüs und benutzerdefinierte Symbolleistenschaltflächen.
HKEY\LOCAL\MACHINE\Software\Wow6432Node\Microsoft\Internet Explorer\Extensions Überwacht, ob neue Internet Explorer-Erweiterungen vorliegen, z. B. benutzerdefinierte Toolmenüs und benutzerdefinierte Symbolleisten-Schaltflächen für 32-Bit-Anwendungen, die auf 64-Bit-Computern ausgeführt werden.
HKEY\LOCAL\MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Drivers32 Überwacht die mit wavemapper zugeordneten 32-Bit-Treiber, wave1 und wave2, msacm.imaadpcm, .msadpcm, .msgsm610 und vidc. Ähnlich dem Abschnitt „[drivers]“ in der Datei system.ini.
HKEY\LOCAL\MACHINE\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Drivers32 Überwacht die mit wavemapper zugeordneten 32-Bit-Treiber, wave1 und wave2, msacm.imaadpcm, .msadpcm, .msgsm610 und vidc für 32-Bit-Anwendungen, die auf 64-Bit-Computern ausgeführt werden. Ähnlich dem Abschnitt „[drivers]“ in der Datei system.ini.
HKEY\LOCAL\MACHINE\System\CurrentControlSet\Control\Session Manager\KnownDlls Überwacht die Liste der bekannten oder häufig verwendeten System-DLL-Dateien. Überwachung verhindert, dass schwache Anwendungsverzeichnisberechtigungen durch Infiltration mit Trojanerversionen von System-DLLs ausgenutzt werden.
HKEY\LOCAL\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify Überwacht die Liste der Pakete, die Ereignisbenachrichtigungen von winlogon.exe, dem interaktiven Anmeldungsunterstützungsmodell für Windows, empfangen können.

Rekursionsunterstützung

Änderungsnachverfolgung und Bestand unterstützt Rekursion, sodass Sie Platzhalter angeben können, um die Nachverfolgung über Verzeichnisse hinweg zu vereinfachen. Die Rekursion bietet auch Umgebungsvariablen, mit denen Sie Dateien in mehreren Umgebungen mit unterschiedlichen oder dynamischen Laufwerknamen nachverfolgen können. Die folgende Liste enthält allgemeine Informationen, mit denen Sie beim Konfigurieren der Rekursion vertraut sein sollten:

  • Platzhalter werden zum Nachverfolgen mehrerer Dateien benötigt.

  • Platzhalter können Sie nur im letzten Segment eines Pfads verwenden (z. B. c:\folder\file* oder /etc/*.conf).

  • Wenn eine Umgebungsvariable einen ungültigen Pfad besitzt, verläuft die Überprüfung zwar erfolgreich, doch bei der Ausführung tritt ein Fehler für den Pfad auf.

  • Sie sollten allgemeine Pfadnamen beim Festlegen des Pfads vermeiden, da diese Art von Einstellung dazu führen kann, dass zu viele Ordner durchlaufen werden müssen.

Datensammlung durch Änderungsnachverfolgung und Bestand

Die nächste Tabelle zeigt die Häufigkeit der Datensammlung für die Typen von Änderungen, die von Änderungsnachverfolgung und Bestand unterstützt werden. Für jeden Typ wird die Datenmomentaufnahme des aktuellen Zustands außerdem mindestens alle 24 Stunden aktualisiert.

Änderungstyp Frequency
Windows-Registrierung 50 Minuten
Windows-Datei 30 Minuten
Linux-Datei 15 Minuten
Windows-Dienste 10 Sekunden bis 30 Minuten
Standardwert: 30 Minuten
Linux-Daemons 5 Minuten
Windows-Software 30 Minuten
Linux-Software 5 Minuten

Die folgende Tabelle zeigt die Grenzwerte der nachverfolgten Elemente pro Computer für Änderungsnachverfolgung und Bestand.

Ressource Begrenzung
Datei 500
Registrierung 250
Windows-Software (ohne Hotfixes) 250
Linux-Pakete 1250
Dienste 250
Daemons 250

Die durchschnittliche Nutzung von Log Analytics-Daten für einen Computer mit Änderungsnachverfolgung und Bestand beträgt je nach Umgebung ungefähr 40 MB pro Monat. Mithilfe der Funktion „Nutzung und geschätzte Kosten“ im Log Analytics-Arbeitsbereich können Sie die von „Änderungsnachverfolgung und Bestand“ erfassten Daten in einem Nutzungsdiagramm anzeigen. Verwenden Sie diese Datenansicht, um die Datennutzung und die damit verbundenen Kosten zu analysieren. Weitere Informationen finden Sie unter Verstehen Ihrer Nutzung und Schätzen von Kosten.

Daten für Windows-Dienste

Die Standard-Sammelhäufigkeit für Windows-Dienste beträgt 30 Minuten. Sie können die Häufigkeit mithilfe eines Schiebereglers auf der Registerkarte Windows-Dienste unter Einstellungen bearbeiten konfigurieren.

Windows-Dienste-Schieberegler

Zum Optimieren der Leistung verfolgt der Log Analytics-Agent ausschließlich Änderungen nach. Durch das Einstellen eines hohen Schwellenwerts werden Änderungen möglicherweise übergangen, wenn der Dienst in seinen ursprünglichen Zustand zurückversetzt wird. Das Festlegen der Häufigkeit auf einen kleineren Wert ermöglicht Ihnen, Änderungen zu erfassen, die sonst verpasst würden.

Für kritische Dienste empfiehlt es sich, den Status Startup als Automatischen (verzögerter Start) zu markieren, damit die Datensammlung der Dienste nach dem Neustart der VM erst nach dem Start des MMA-Agenten beginnt und nicht sofort nach dem Hochfahren der VM.

Hinweis

Zwar kann der Agent Änderungen bis hinab zu einem 10-Sekunden-Intervall nachverfolgen, bis zur Anzeige der Daten im Azure-Portal vergehen jedoch einige Minuten. Änderungen, die zwischen der Erfassung und der Anzeige im Portal erfolgen, werden trotzdem nachverfolgt und protokolliert.

Unterstützung für Warnungen zum Konfigurationszustand

Eine Schlüsselfunktion von Änderungsnachverfolgung und Bestand sind Warnungen bei Änderungen am Konfigurationszustand Ihrer Hybridumgebung. Es sind viele nützliche Aktionen verfügbar, die als Reaktion auf Warnungen ausgelöst werden können. Dies können beispielsweise Aktionen für Azure-Funktionen, Automation-Runbooks, Webhooks und Ähnliches sein. Warnungen zu Änderungen an der Datei c:\windows\system32\drivers\etc\hosts für einen Computer sind eine gute Anwendung von Warnungen für Daten von „Änderungsnachverfolgung und Bestand“. Es gibt noch viele weitere Szenarien für Warnungen, einschließlich der in der nächsten Tabelle definierten Abfrageszenarien.

Abfrage Beschreibung
ConfigurationChange
| where ConfigChangeType == "Files" and FileSystemPath contains " c:\windows\system32\drivers\"		 Nützlich für das Nachverfolgen von Änderungen an kritischen Systemdateien
ConfigurationChange
| where FieldsChanged contains "FileContentChecksum" and FileSystemPath == "c:\windows\system32\drivers\etc\hosts"		 Nützlich für das Nachverfolgen von Änderungen an wichtige Konfigurationsdateien
ConfigurationChange
| where ConfigChangeType == "WindowsServices" and SvcName contains "w3svc" and SvcState == "Stopped"		 Nützlich für das Nachverfolgen von Änderungen an für das System wichtigen Diensten.
ConfigurationChange
| where ConfigChangeType == "Daemons" and SvcName contains "ssh" and SvcState!= "Running"		 Nützlich für das Nachverfolgen von Änderungen an für das System wichtigen Diensten.
ConfigurationChange
| where ConfigChangeType == "Software" and ChangeCategory == "Added"		 Nützlich für Umgebungen, in denen Softwarekonfigurationen gesperrt werden müssen
ConfigurationData
| where SoftwareName contains "Monitoring Agent" and CurrentVersion!= "8.0.11081.0"		 Nützlich, um zu ermitteln, auf welchen Computern eine veraltete oder nicht konforme Softwareversion installiert ist. Mit dieser Abfrage wird der letzte gemeldete Konfigurationszustand ausgegeben, aber es werden keine Änderungen gemeldet.
ConfigurationChange
| wobei RegistryKey == @"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\QualityCompat"		 Nützlich für das Nachverfolgen von Änderungen an wichtigen Virenschutzschlüsseln
ConfigurationChange
| wobei RegistryKey @"HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\SharedAccess\\Parameters\\FirewallPolicy" enthält		 Nützlich für das Nachverfolgen von Änderungen an Firewalleinstellungen

Aktualisieren des Log Analytics-Agent auf die neueste Version

Für Änderungsnachverfolgung und Bestand verwenden Computer den Log Analytics-Agent, um Daten zu Änderungen an installierter Software, Windows-Diensten, Windows-Registrierung und -Dateien sowie Linux-Daemons auf überwachten Servern zu sammeln. In Kürze wird Azure keine Verbindungen mehr von älteren Versionen des Windows Log Analytics (LA)-Agenten, auch bekannt als Windows Microsoft Monitoring Agent (MMA), akzeptieren, die eine ältere Methode zur Handhabung von Zertifikaten verwenden. Wir empfehlen Ihnen, Ihren Agenten so bald wie möglich auf die neueste Version zu aktualisieren.

Agenten, die mit Version 10.20.18053 (Paket) und 1.0.18053.0 (Erweiterung) oder neuer arbeiten, sind von dieser Änderung nicht betroffen. Wenn Sie sich vorher in einem Agent befinden, kann dieser keine Verbindung herstellen, und die Pipeline für Änderungsnachverfolgung und Bestand sowie nachgelagerten Aktivitäten können unterbrochen werden. Sie können die aktuelle LA-Agent-Version in der HeartBeat-Tabelle in Ihrem LA-Arbeitsbereich überprüfen.

Stellen Sie sicher, dass Sie auf die neueste Version des Windows Log Analytics-Agenten (MMA) aktualisieren, indem Sie diese Richtlinien befolgen.

Nächste Schritte