Protección del seguimiento

  • Artículo

Igual que el almacén de persistencia, el almacén de seguimiento representa un papel clave en la arquitectura de Windows Server AppFabric. El almacén de seguimiento contiene datos de .NET Framework que puede usar para diagnosticar problemas de aplicaciones, así como para supervisar el estado de una aplicación. AppFabric ofrece herramientas para consultar los datos de seguimiento supervisados. Debe conceder permisos para el almacén de seguimiento a los administradores que ejecutan las herramientas administrativas de AppFabric, así como a las aplicaciones y los servicios del sistema en tiempo de ejecución, para que puedan realizar operaciones de lectura y escritura en el almacén de datos. Este tema se centra en cómo proteger los datos de seguimiento y en las herramientas administrativas que se usan para obtener acceso a ellos.

El uso del almacén de seguimiento se encuentra dentro de los ámbitos de aplicación y administración, y debe protegerse de manera diferente en cada área. Los permisos específicos se establecen mediante la inclusión en diversos grupos de seguridad. El ámbito de seguridad de aplicación afecta a los permisos de los que dispone una aplicación en tiempo de ejecución, y se asigna al rol conceptual Usuarios del servidor de aplicaciones. El ámbito de seguridad de administración afecta a las herramientas y las operaciones relacionadas que un administrador y los servicios del sistema pueden ejecutar. Los permisos se asignan a los roles conceptuales Administradores de servidor de aplicaciones y Operadores de servidor de aplicaciones.

Protección de los datos de seguimiento

El seguimiento recopila registros de supervisión, así como eventos y otros datos que emiten los servicios de WCF y WF; luego, los almacena en una base de datos. Con frecuencia, las aplicaciones recopilan y transmiten información de identificación personal u otros datos confidenciales. Cuando se incluye este tipo de datos en un registro de seguimiento, se guardan en el almacén de seguimiento. El contenido de los mensajes y las variables puede guardarse o no en el almacén, según el perfil de seguimiento que se use. Varios servidores, sitios y aplicaciones pueden compartir un único almacén de seguimiento. Debido al diseño, los datos de seguimiento se agregan a los servidores y sitios que comparten un almacén, para facilitar el seguimiento de la actividad de posiblemente miles de instancias de un servicio en un entorno de gran tamaño. Después de almacenar los datos en el almacén de seguimiento, estarán visibles para los miembros de los grupos AS_Administrators y todos los miembros de los roles sysadmin y dbo de SQL Server. Los miembros del grupo AS_Observers pertenecen al grupo ASMonitoringDBReader y pueden leer datos de seguimiento mediante las vistas públicas de la base de datos de seguimiento. Los datos de seguimiento son vulnerables a la exposición, ya sea inadvertida o intencionadamente, pero puede seguir estos pasos para reducir el riesgo.

El Servicio de recopilación de eventos ayuda a proteger los datos de seguimiento. Este servicio captura los eventos procedentes de una sesión de Seguimiento de eventos para Windows (ETW) y los agrega a la base de datos de seguimiento. Únicamente las aplicaciones con permiso de escritura para la sesión de ETW que inicie el Servicio de recopilación de eventos pueden escribir eventos en la sesión para la recopilación. De forma predeterminada, Servicio de recopilación de eventos se ejecuta como NT_AUTHORITY\LOCAL SERVICE. El SID específico de Servicio de recopilación de eventos (NT SERVICE\AppFabricEventCollectionService) se agrega al grupo AS_Administrators. Gracias a esto, obtiene acceso de lectura y escritura a la base de datos de seguimiento, ya que AS_Administrators forma parte del rol de base de datos ASMonitoringDBAdmin. Cuando se usan los scripts de cmdlet de AppFabric para crear la base de datos de seguimiento, todos estos roles y grupos se crean e inicializan correctamente. Si desea ejecutar el Servicio de recopilación de eventos como un usuario distinto, vea Seguridad de la recopilación de eventos para obtener información sobre este proceso.

Nota

Debido a que AppFabric se ejecuta en IIS, puede sacar partido de algunas características adicionales. IIS genera registros estándar de acceso al servidor web para analizar el uso. La integración en Windows Server también significa que IIS puede sacar partido de la auditoría del sistema para proteger mejor el seguimiento del uso de los recursos. Por ejemplo, los errores al intentar obtener acceso a un archivo protegido pueden registrarse en el registro de eventos de Windows Server y auditarse con las mismas herramientas que se usan para administrar los servidores existentes.

Puede proteger los datos del almacén de seguimiento de las siguientes maneras:

  • Use diferentes almacenes de seguimiento. Puede crear un almacén de seguimiento alternativo y configurarlo en el mismo servidor o en otro diferente mediante los cmdlets de AppFabric para crear el almacenamiento y mediante la página Configuración de base de datos de seguimiento para configurarlo. A continuación, puede configurar determinadas aplicaciones para que únicamente usen ese almacén. Esto proporciona a las aplicaciones especificadas un almacén de datos de seguimiento privado al que ninguna otra aplicación puede obtener acceso.

  • Manipule las características de seguimiento. Puede usar las extensiones que AppFabric agrega al Administrador de IIS con el fin de habilitar y deshabilitar las características de seguimiento para todos los servicios de flujo de trabajo de una aplicación, para todas las aplicaciones de un sitio web o para todos los sitios web de un servidor. Puede definir una directiva de seguimiento en un nivel superior y hacer que todos los niveles inferiores de las jerarquías de IIS y WAS hereden la configuración de la directiva.

Seguridad de la sesión de Seguimiento de eventos para Windows

El Servicio de recopilación de eventos recopila los eventos de seguimiento de una sesión de Seguimiento de eventos para Windows (ETW) y los guarda en el almacén de seguimiento. Puede controlar qué aplicaciones escriben eventos en la sesión de ETW del Servicio de recopilación de eventos mediante la asignación de permisos de seguridad a la identidad de grupo de aplicaciones de IIS. Por ejemplo, puede permitir que un grupo de aplicaciones se ejecute bajo una identidad con pocos privilegios, tal como MACHINE\MyUser, para registrar eventos en una sesión de seguimiento. Para ello, debe asignar el permiso de eventos TRACELOG_LOG_EVENT a MACHINE\MyUser. Puede asignar estos permisos de las maneras siguientes:

  • Puede cambiar los permisos de escritura de la identidad en la sesión de ETW mediante la API Win32 EventAccessControl (https://go.microsoft.com/fwlink/?LinkId=179742) (puede estar en inglés).

  • Al usar el monitor de rendimiento (PERFMON.EXE), puede asignar permisos de seguridad a determinadas identidades con el fin de controlar qué aplicaciones tienen permiso de escritura de eventos en la sesión de ETW. Por ejemplo, puede permitir que un grupo de aplicaciones se ejecute bajo la identidad MACHINE\MyUser para registrar eventos en una sesión de seguimiento si ésta se ejecuta en modo SECURE. Para ello, puede conceder el permiso TRACELOG_LOG_EVENT a MACHINE\MyUser en la pestaña Seguridad de la Sesión de recopilador de eventos de AppFabric en el monitor de rendimiento.

Cuando modifique permisos de grupos o de usuarios en la configuración de seguridad para la sesión de recopilador de eventos de AppFabric, asegúrese de detener primero la sesión. Si no lo hace, no se conservarán los cambios de la configuración.

En esta sección

  2011-12-05