IIS アクセスログの分析

IIS は、Web サイトを構築、運用するための拡張可能な Web サーバーです。 IIS の収集したアクセスログから、ページビュー、ユニークビジター、クライアント IP アドレス、不正リクエスト、送受信トラフィックといった情報を取得し、Web サイトへのアクセスをモニタリングおよび分析できます。

logExtFileFlags="Date, Time, ClientIP, UserName, SiteName, ComputerName, ServerIP, Method, UriStem, UriQuery, HttpStatus, Win32Status, BytesSent, BytesRecv, TimeTaken, ServerPort, UserAgent, Cookie, Referer, ProtocolVersion, Host, HttpSubStatus"

1. データインポートウィザードを開始します。
   1. Log Service コンソールのホームページでプロジェクト名をクリックし、Logsore リストのページに移動します。
   2. プロジェクトのデータインポートウィザード列のアイコンをクリックします。
2. 手順 1 のデータソース選択には、サードパーティー製のソフトウェアのIIS ACCESS LOGを選択します。
3. データソースを設定します。
   1. 構成名とログパスを入力します。
      ログパスは IIS Manager で確認できます。
4. ログフォーマットを選択します。
   IIS アクセスログフォーマットを選択します。

   • IIS: Microsoft IIS ログファイルフォーマット
   • NCSA: NCSA 共通ログファイルフォーマット
   • W3C: W3C 拡張ログファイルフォーマット
5. IIS ログフォーマット設定フィールドに入力します。
   • Microsoft IIS および NCSA 共通フォーマットの場合は、固定構成があります。
   • IISアクセスログをW3C フォーマットに設定する手順は、次のとおりです。
   1. IIS 設定ファイルを開きます。
      • IIS5 設定ファイルのデフォルトパス: C:\WINNT\system32\inetsrv\MetaBase.bin
      • IIS6 設定ファイルのデフォルトパス: C:\WINDOWS\system32\inetsrv\MetaBase.xml
      • IIS7 設定ファイルのデフォルトパス: C:\Windows\System32\inetsrv\config\applicationHost.config

      

   2. 図3のように、logFile logExtFileFlagsフィールドの引用符で囲まれたテキストをコピーします。
   3. コピーしたテキストをコンソールのIIS ログフォーマット設定フィールドに貼り付けます。

      

6. キー名を確認します。
   IIS ログサービスにより、キー名が自動的に抽出されます。

   

7. 詳細オプション (オプション)

   パラメーター	説明
   生ログのアップロード	生ログをアップロードするかどうかを指定します。 このスイッチをオンにすると、未処理のログコンテンツが _raw__ フィールドとしてアップロードされ、解析されたログコンテンツが表示されます。
   トピック生成モード	Null - トピックを生成しない：トピックが null 文字列に設定されるように指定するデフォルト値。 トピックを入力せずにログを照会できます。 マシン グループ トピック属性：異なるフロントエンド サーバーで生成されたログデータと区別するために、マシン グループに基づいてトピックを設定します。 ファイル パス正規表現：カスタム正規表現を使用して、ログパスの一部をトピックとして抽出します。 ユーザーとインスタンスによって生成されたログデータを区別するために使用されるモードです。
   カスタム正規表現	トピック生成モードを [ファイルパスの正規表現] に設定する場合、カスタム正規表現を入力する必要があります。
   ログファイルエンコーディング	utf8：UTF-8 エンコーディングを指定します。 gbk：GBK エンコーディングを指定します。
   監視ディレクトリの最大深度	ログソースからログを収集するときの監視ディレクトリの最大深度つまり、管理対象のディレクトリのレベルの最大数 有効値： [0, 1000] 0 は、現在のディレクトリのみが監視されていることを示します。
   Timeout	指定した期間内にファイルの更新がないときに、ログファイルがタイムアウトしたとシステムが考慮するかどうかを指定します。 Timeout は以下のように設定できます。 タイムアウトにならない：すべてのログファイルはタイムアウトなしで監視が継続されるように指定します。 30 分タイムアウト：ログファイルが 30 分以内に更新されない場合、ログファイルがタイムアウトしたと見なし、ファイルの監視を停止するように指定します。
   フィルター設定	収集前にログが 完全に満たす 必要のあるフィルター条件 例： 条件を満たすログの収集： Key:level Regex:WARNING|ERROR は、レベルが「WARNING」または「ERROR」のログのみを収集することを表します。 条件に適合しないログをフィルターします： Key:level Regex:^(?!.*(INFO|DEBUG)).* は、レベルが「INFO」または「DEBUG」のログが収集されていないことを表します。 Set a condition Key:url Regex:.*^(?!.*(healthcheck)).* は、url に heartcheck のあるログは収集されないことを表します。 たとえば、key が url、value が /inner/healthcheck/jiankong.html のログは収集されません。 その他の例については、「regex-exclude-word」 と 「regex-exclude-pattern」をご参照ください。

   設定情報を確認して、次へをクリックします。
8. マシングループに設定を適用します。
   設定を適用するマシングループを選択します。ページの右下のマシングループに適用をクリックします。

   マシングループをまだ作成していなければ、マシングループの作成をクリックして作成します。

9. 検索、分析、可視化を設定します (オプション)。
   マシングループの「ハートビート」が正常ステータスであれば、プレビューをクリックしてログデータを表示できます。

   

   作業中のページのインデックス属性を確認して、収集したログデータを表示および分析します。 開くをクリックしてキー/値のインデックス属性を表示します。

   キー名のマッピングを構成します。 キー名は、プレビューされたデータに基づいて生成され、デフォルトのキー名に対応しています。

   

   デフォルトでLogstoreName-iis-dashboardダッシュボードが用意されています。 上記を設定したら、ダッシュボードにリアルタイムデータを表示できます (クライアント IP 分布、HTTP ステータスの割合など)。

   

   • クライアント IP 分布を取得するステートメントは、次のとおりです。

     | select ip_to_geo("c-ip") as country, count(1) as c group by ip_to_geo("c-ip") limit 100

     

   • ページビューおよびユニークビジターを確認するステートメントは、次のとおりです。

     *| select approx_distinct("c-ip") as uv ,count(1) as pv , date_format(date_trunc('hour', __time__), '%m-%d %H:%i') as time group by date_format(date_trunc('hour', __time__), '%m-%d %H:%i') order by time limit 1000

     

   • HTTPステータスの割合を取得するステートメントは、次のとおりです。

     *| select count(1) as pv ,"sc-status" group by "sc-status"

     

   • 送受信トラフィックを表示するステートメントは、次のとおりです。

     *| select sum("sc-bytes") as net_out, sum("cs-bytes") as net_in ,date_format(date_trunc('hour', time), '%m-%d %H:%i') as time group by date_format(date_trunc('hour', time), '%m-%d %H:%i') order by time limit 10000

     

   • HTTP リクエストメソッドの割合を取得するステートメントは、次のとおりです。

     *| select count(1) as pv ,"cs-method" group by "cs-method"

     

   • 使用ブラウザー比率を取得するステートメントは、次のとおりです。

     *| select count(1) as pv, case when "user-agent" like '%Chrome%' then 'Chrome' when "user-agent" like '%Firefox%' then 'Firefox' when "user-agent" like '%Safari%' then 'Safari' else 'unKnown' end as "user-agent" group by case when "user-agent" like '%Chrome%' then 'Chrome' when "user-agent" like '%Firefox%' then 'Firefox' when "user-agent" like '%Safari%' then 'Safari' else 'unKnown' end order by pv desc limit 10

     

   • 訪問数の多い URI トップ 10を表示するステートメントは、次のとおりです。

     *| select count(1) as pv, split_part("cs-uri-stem",'?',1) as path group by split_part("cs-uri-stem",'?',1) order by pv desc limit 10