Azure Change Tracking とインベントリとは

Azure 変更履歴とインベントリ (CTI) は、構成の変更を監視し、Azure、オンプレミス、およびその他のクラウド環境のサーバー間で詳細なインベントリ ログを提供することで、ゲスト内操作の監査とガバナンスを向上させるAzure サービスです。 構成の誤差を検出し、システム資産の可視性を維持するのに役立ちます。

Important

Change Tracking 拡張機能バージョン 2.20.0.0 以降で変更履歴とインベントリを使用します。

このサービスには、変更の追跡とインベントリという 2 つの主要な機能が用意されています。

変更追跡

  • ファイルの変更、レジストリ キー、ソフトウェアのインストール、Windows サービスまたは Linux デーモンなど、構成の変更を監視します。
  • 変更された内容と、構成の誤差や未承認の変更をすばやく検出するタイミングの詳細なログを提供します。
  • 変更追跡メタデータは、接続されている Log Analytics ワークスペースのConfigurationChange テーブルに取り込まれます。 詳細については、「 ConfigurationChange」を参照してください。

注

変更履歴とインベントリシステム レベルのアプリケーションとユーザー レベルのアプリケーションの両方のデータをログに記録します。 システム レベルのデータは常にログに記録されますが、ユーザー レベルのアプリケーションは、ユーザーがコンピューターにサインインしたときにのみ表示されます。 ユーザーがサインアウトすると、これらのアプリケーションは削除済みとしてマーク されます。

インベントリ

  • 接続されたLog Analytics ワークスペースにインストールされているソフトウェア、オペレーティング システムの詳細、およびその他のコンピューター構成データの更新されたインベントリを収集して保持します。
  • コンプライアンス、監査、プロアクティブ メンテナンスをサポートするシステム資産の概要について説明します。
  • 接続された Log Analytics ワークスペースの ConfigurationData テーブルにインベントリ メタデータを取り込みます。 詳細については、「 ConfigurationData」を参照してください。

ゲスト内アクションを管理するための変更履歴とインベントリでの強化された検出とオンボーディング エクスペリエンスの詳細については、Microsoft Community Hub のブログを参照してください。

Azure Change Tracking と Inventory の主な利点

  • Azure Monitor エージェント (AMA) との互換性: Azure Monitor エージェント (AMA) と互換性があり、セキュリティと信頼性が向上し、データ ストレージのマルチホーム エクスペリエンスが容易になります。
  • Change Tracking 拡張機能との互換性: クライアントの仮想マシン (VM) 上のAzure Policyによってデプロイされた Change Tracking 拡張機能と互換性があります。 AMA に切り替えると、Change Tracking 拡張機能によってソフトウェア、ファイル、レジストリ データが AMA に送信されます。
  • Azure Monitor ログを使用したマルチホームのサポート: 1 つの中央ワークスペースからの管理を標準化します。 Azure Monitor ログから AMA に移行して、すべての VM がデータの収集とメンテナンスのために 1 つのワークスペースを指し示すことができます。
  • データ収集規則 (DCR) 管理: データ収集規則 (DCR) を 使用して、データ収集のさまざまな側面を構成またはカスタマイズします。 DCR は、収集される監視データ、マシンのソース、および送信先を定義するAzure Monitor構成です。 たとえば、ファイルコレクションの頻度を変更できます。

サポートされているオペレーティング システムの詳細については、「Change Tracking と Inventory の サポート マトリックスとリージョン 」を参照してください。

Azure Change Tracking とインベントリを有効にする

変更履歴とインベントリは、次の方法で有効にすることができます。

変更履歴とインベントリ で追跡される項目

Azure 変更履歴とインベントリは、ファイル、ファイル コンテンツ、レジストリ キー、ソフトウェア、Windows サービス、Linux デーモンへの変更を追跡します。

ファイルの変更を追跡する

Windowsおよび Linux でファイルの変更を追跡するために、変更履歴とインベントリはファイルの SHA256 ハッシュを使用し、前のインベントリ スキャン中に収集されたハッシュと比較してファイルの変更を検出します。

ファイルコンテンツの変更を追跡する

変更履歴とインベントリを使用すると、Windowsファイルと Linux ファイルの内容を表示できます。 ファイルの変更ごとに、変更履歴とインベントリはファイルコンテンツをAzure Storageアカウントに格納します。 ファイルを追跡するときに、変更の前後にファイルの内容を表示および比較できます。 コンテンツはインラインで表示することも、並べて表示することもできます。 詳細については、「 チュートリアル: ワークスペースを変更してデータ収集ルールを構成する」を参照してください。

Windows または Linux ファイルの変更を表示しているスクリーンショット。

レジストリ キーを追跡する

変更履歴とインベントリは、Windowsレジストリ キーの変更を監視します。 レジストリ キーの監視は、Microsoft以外のコードがアクティブ化できる構成の変更と拡張ポイントを識別するのに役立ちます。 次の表に、構成済み (有効ではない) レジストリ キーの一覧を示します。 これらのキーを追跡するには、各キーを有効にする必要があります。

注

レジストリ キーは、ファイル システム内のフォルダーと同様に動作する Windows レジストリ内のコンテナーです。 ハードウェア、ソフトウェア、ユーザーの構成設定とデータを整理します。 キーには、ファイルやサブキーなどのレジストリ値が含まれます。

レジストリ キー 目的
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Group Policy\Scripts\Startup スタートアップ時に実行されるスクリプトを監視します。
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Group Policy\Scripts\Shutdown シャットアップ時に実行されるスクリプトを監視します。
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run ユーザーが Windows アカウントにサインインする前に読み込まれるキーを監視します。 このキーは、64 ビット コンピューターで実行される 32 ビット アプリケーションに使用されます。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components アプリケーションの設定の変更を監視します。
HKEY_LOCAL_MACHINE\Software\Classes\Directory\ShellEx\ContextMenuHandlers Windows エクスプローラーに直接フックし、通常は explorer.exe を使用してインプロセスで実行するコンテキスト メニュー ハンドラーを監視します。
HKEY_LOCAL_MACHINE\Software\Classes\Directory\Shellex\CopyHookHandlers Windows エクスプローラーに直接フックし、通常は explorer.exe でインプロセスで実行するコピー フック ハンドラーを監視します。
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers アイコン オーバーレイ ハンドラーの登録を監視します。
HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers 64 ビット コンピューターで実行される 32 ビット アプリケーションのアイコン オーバーレイ ハンドラーの登録を監視します。
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects Internet Explorer の新しいブラウザー ヘルパー オブジェクト プラグインを監視します。 現在のウィンドウのドキュメント オブジェクト モデル (DOM) にアクセスし、ナビゲーションを制御するために使用します。
HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects Internet Explorer の新しいブラウザー ヘルパー オブジェクト プラグインを監視します。 現在のウィンドウの DOM にアクセスし、64 ビット コンピューターで実行されている 32 ビット アプリケーションのナビゲーションを制御するために使用されます。
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Extensions カスタム ツール メニューやカスタム ツール バー ボタンなどの新しい Internet Explorer の拡張機能を監視します。
HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Internet Explorer\Extensions 64 ビットコンピューターで実行される 32 ビット アプリケーションのカスタム ツールのメニューやカスタム ツール バー ボタンなどの新しい Internet Explorer の拡張機能を監視します。
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Drivers32 wavemapper、wave1、wave2、msacm.imaadpcm、.msadpcm、.msgsm610、および vidc に関連付けられている 32 ビット ドライバーを監視します。 [drivers] ファイルの system.ini セクションと同様です。
HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Drivers32 64 ビットコンピューターで実行される 32 ビット アプリケーションの wavemapper、wave1、wave2、msacm.imaadpcm、.msadpcm、.msgsm610、および vidc に関連付けられている 32 ビット ドライバーを監視します。 [drivers] ファイルの system.ini セクションと同様です。
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager\KnownDlls 既知のまたは一般的に使用されるシステムの DLL の一覧を監視します。 監視では、システム DLL のトロイの木馬バージョンを削除することで、弱いアプリケーション ディレクトリのアクセス許可が悪用されることを防止します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify Windows の対話型サインイン サポート モデルである winlogon.exe からイベント通知を受信できるパッケージの一覧を監視します。

ソフトウェアの変更を追跡する

変更履歴とインベントリは、ソフトウェア インベントリを収集し、各収集サイクルを以前の状態と比較することで、Windowsおよび Linux マシンにインストールされているソフトウェアを追跡します。 この機能は、マシン間でのソフトウェアのインストール、削除、バージョンの変更を検出し、環境内でソフトウェア インベントリの可視性を維持するのに役立ちます。 コレクションの制限と頻度の詳細については、「 サポート マトリックスとリージョン」を参照してください。

Windows サービスと Linux デーモンを追跡する

変更履歴とインベントリは、Windows サービスと Linux デーモンに対する変更 (状態や構成関連の変更など) を追跡し、それらの変更を構成変更イベントに記録して分析と警告を行います。 これらの変更を追跡すると、マシン間のサービス関連の変更を特定するのに役立ちます。

関連コンテンツ

  • Last updated on