¿Qué es el Seguimiento de Cambios e Inventario de Azure?

Azure Seguimiento de cambios e inventario (CTI) es un servicio de Azure que mejora la auditoría y la gobernanza de las operaciones en invitado supervisando los cambios de configuración y proporcionando registros detallados de inventario entre servidores en Azure, locales y otros entornos en la nube. Le ayuda a detectar el desfase de configuración y a mantener la visibilidad de los recursos del sistema.

Importante

Utilice el seguimiento de cambios y el inventario con la extensión de seguimiento de cambios versión 2.20.0.0 o posterior.

El servicio proporciona dos funcionalidades principales: seguimiento de cambios e inventario.

Change Tracking

  • Supervisa los cambios de configuración, incluidas las modificaciones de archivos, las claves del Registro, las instalaciones de software y los servicios de Windows o los demonios de Linux.
  • Proporciona registros detallados de lo que cambió y cuándo detectar rápidamente el desfase de configuración o cambios no autorizados.
  • Los metadatos de seguimiento de cambios se incorporan en la tabla ConfigurationChange del área de trabajo de Log Analytics conectada. Para obtener más información, vea ConfigurationChange.

Nota:

Seguimiento de cambios e inventario registra los datos de las aplicaciones de nivel de sistema y de usuario. Los datos de nivel de sistema siempre se registran, pero las aplicaciones de nivel de usuario solo aparecen cuando un usuario inicia sesión en una máquina. Cuando el usuario cierra la sesión, esas aplicaciones se marcan como Quitadas.

Inventario

  • Recopila y mantiene un inventario actualizado de software instalado, detalles del sistema operativo y otros datos de configuración de la máquina en áreas de trabajo de Log Analytics conectadas.
  • Proporciona una visión general de los recursos del sistema para facilitar el cumplimiento, las auditorías y el mantenimiento proactivo.
  • Ingiere metadatos de inventario en la ConfigurationData tabla del área de trabajo de Log Analytics conectada. Para obtener más información, vea ConfigurationData.

Para obtener más información sobre la experiencia mejorada de detección e incorporación en el Seguimiento de cambios e inventario para la administración de acciones en el sistema invitado, consulta el blog de Microsoft Community Hub.

Principales ventajas de Azure Seguimiento de Cambios e Inventario

  • Compatibilidad con Azure Monitor Agent (AMA): es compatible con el agente de Azure Monitor (AMA), que mejora la seguridad y la confiabilidad y facilita una experiencia de hospedaje múltiple para el almacenamiento de datos.
  • Compatibilidad con la extensión Change Tracking: es compatible con la extensión Change Tracking implementada a través de Azure Policy en la máquina virtual (VM) del cliente. Después de cambiar a AMA, la extensión Change Tracking envía datos de software, archivos y registro a AMA.
  • Compatibilidad con multihoming con Azure Monitor Logs: estandariza la administración desde un único espacio de trabajo central. Puede migrar de Registros de Azure Monitor a AMA para que todas las máquinas virtuales usen un único área de trabajo para la recopilación y el mantenimiento de los datos.
  • Administración de reglas de recopilación de datos (DCR): usa reglas de recopilación de datos (DCR) para configurar o personalizar varios aspectos de la recopilación de datos. Un DCR es una configuración de Azure Monitor que define qué datos de supervisión se recopilan, desde qué máquinas y dónde se envía. Por ejemplo, puede cambiar la frecuencia de la colección de archivos.

Para obtener información sobre los sistemas operativos compatibles, consulte Matriz de compatibilidad y regiones para el seguimiento de cambios e inventario.

Habilitación de Azure Seguimiento de cambios e Inventario

Puede habilitar Seguimiento de cambios e inventario de las siguientes maneras:

Qué supervisa el seguimiento de cambios y el inventario

El seguimiento de cambios y el inventario de Azure supervisa los cambios en archivos, el contenido de los archivos, las claves del Registro, el software, los servicios de Windows y los demonios de Linux.

Seguimiento de los cambios de archivos

Para realizar un seguimiento de los cambios de archivos en Windows y Linux, Seguimiento de cambios e inventario usa hash SHA256 de los archivos y los compara con los hash recopilados durante el examen de inventario anterior para detectar cambios en los archivos.

Seguimiento de los cambios en el contenido del archivo

Mediante Seguimiento de cambios e inventario, puede ver el contenido de los archivos Windows y Linux. Para cada cambio de archivo, Seguimiento de cambios e inventario almacena el contenido del archivo en una cuenta de Azure Storage. Al realizar un seguimiento de un archivo, puede ver y comparar el contenido del archivo antes y después de un cambio. Puede ver el contenido en línea o en paralelo. Para obtener más información, consulte Tutorial: Cambio de un área de trabajo y configuración de la regla de recopilación de datos.

Captura de pantalla de visualización de los cambios en un archivo de Windows o Linux.

Seguimiento de las claves del Registro

Seguimiento de cambios e inventario supervisa los cambios en las claves del Registro de Windows. La supervisión de claves del Registro puede ayudar a identificar los cambios de configuración y los puntos de extensibilidad en los que el código no Microsoft puede activarse. En la tabla siguiente se enumeran las claves del Registro preconfiguradas (pero no habilitadas). Para realizar un seguimiento de estas claves, debe habilitar cada clave.

Nota:

Una clave del Registro es un contenedor del Registro de Windows que funciona como una carpeta en un sistema de archivos. Organiza los valores de configuración y los datos de hardware, software y usuarios. Las claves contienen valores del Registro, como archivos y subclaves.

Clave del Registro Propósito
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Group Policy\Scripts\Startup Supervisa los scripts que se ejecutan al arrancar.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Group Policy\Scripts\Shutdown Supervisa los scripts que se ejecutan al apagar el equipo.
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run Supervisa las claves que se cargan antes de que el usuario inicie sesión en la cuenta de Windows. La clave se usa para aplicaciones de 32 bits que se ejecutan en equipos de 64 bits.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components Supervisa los cambios en la configuración de la aplicación.
HKEY_LOCAL_MACHINE\Software\Classes\Directory\ShellEx\ContextMenuHandlers Supervisa los controladores de menú contextual que enlazan directamente con el Explorador de Windows y normalmente se ejecutan en el mismo proceso con explorer.exe.
HKEY_LOCAL_MACHINE\Software\Classes\Directory\Shellex\CopyHookHandlers Supervisa los controladores de copia que enlazan directamente con el Explorador de Windows y se suelen ejecutar en el proceso con explorer.exe.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers Supervisa el registro del controlador de superposición de iconos.
HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers Supervisa el registro del controlador de superposición de iconos para aplicaciones de 32 bits que se ejecutan en equipos de 64 bits.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects Supervisa si hay nuevos complementos de objetos auxiliares de explorador para Internet Explorer. Se usa para acceder al Modelo de objetos de documento (DOM) del panel actual y para controlar la navegación.
HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects Supervisa si hay nuevos complementos de objetos auxiliares de explorador para Internet Explorer. Se usa para acceder al DOM del panel actual y para controlar la navegación de aplicaciones de 32 bits que se ejecutan en equipos de 64 bits.
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Extensions Supervisa si hay nuevas extensiones de Internet Explorer, como menús de la herramienta personalizada y botones de la barra de herramientas personalizada.
HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Internet Explorer\Extensions Supervisa si hay nuevas extensiones de Internet Explorer, como menús de la herramienta personalizada y botones de la barra de herramientas personalizada para aplicaciones de 32 bits que se ejecutan en equipos de 64 bits.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Drivers32 Supervisa los controladores de 32 bits asociados a wavemapper, wave1 y wave2, msacm.imaadpcm, .msadpcm, .msgsm610 y vidc. Similar a la [drivers] sección del system.ini archivo.
HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Drivers32 Supervisa los controladores de 32 bits asociados a wavemapper, wave1 y wave2, msacm.imaadpcm, .msadpcm, .msgsm610 y vidc para aplicaciones de 32 bits que se ejecutan en equipos de 64 bits. Similar a la [drivers] sección del system.ini archivo.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager\KnownDlls Supervisa la lista de DDL del sistema conocidas o utilizadas habitualmente. La supervisión impide que las personas se aprovechen de permisos de directorio de aplicaciones débiles colocando versiones de troyanos en archivos DLL del sistema.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify Supervisa la lista de paquetes que pueden recibir notificaciones de eventos de winlogon.exe, que es el modelo de soporte para el inicio de sesión interactivo en Windows.

Seguimiento de los cambios de software

Seguimiento de cambios e inventario realiza un seguimiento del software instalado en máquinas Windows y Linux mediante la recopilación de inventario de software y la comparación de cada ciclo de recopilación con el estado anterior. Esta funcionalidad le ayuda a detectar las instalaciones de software, las eliminaciones y los cambios de versión en las máquinas y mantener la visibilidad del inventario de software en su entorno. Para obtener más información sobre los límites y frecuencias de recopilación, consulte Matriz de compatibilidad y regiones.

Supervisar servicios de Windows y demonios de Linux

El módulo Seguimiento de cambios e inventario realiza un seguimiento de los cambios en los servicios de Windows y los demonios de Linux, incluidos los cambios relacionados con el estado y la configuración, y registra dichos cambios en eventos de modificación de configuración para su análisis y para la emisión de alertas. El seguimiento de estos cambios le ayuda a identificar los cambios relacionados con el servicio en las máquinas.

Contenido relacionado

  • Last updated on