Microsoft IIS content pack (контент багц)

← Контент багцууд

Microsoft IIS content pack (контент багц)

Microsoft Internet Information Services (IIS) нь Microsoft-ын боловсруулсан, Windows дээр вэб сайт, вэб аппликейшн болон үйлчилгээ байршуулахад зориулсан уян хатан, аюулгүй, удирдахад хялбар вэб сервер юм. Энэ нь HTTP, HTTPS, FTP, FTPS болон бусад протоколыг дэмждэг бөгөөд ASP.NET, Windows authentication болон Windows Server-ийн өргөн экосистемтэй нягт нэгтгэгдсэн.

Дэмжигдэх/турших хувилбарууд

• Microsoft IIS 10, W3C log format
• Microsoft IIS 8, W3C log format

Stream-ийн тохиргоо

Энэ технологийн багц 1 stream агуулна:

• "Illuminate:Microsoft IIS Messages"

Index set-ийн тохиргоо

Энэ технологийн багц 1 index set тодорхойлолт агуулна:

• "Microsoft IIS Logs"

Лог цуглуулалт

Энэ багц дараах эх сурвалжаас логийг задлан шинжилнэ:

• Filebeat

Filebeat-ийн тохиргоо

Filebeat-д зориулан Bitdefender Sidecar-ыг тохируулах талаар Sidecars хэсгийг үзнэ үү.

1. 1
   Security Data Lake дотор Beats input үүсгэж, Do not add Beats type as prefix сонгогдоогүй эсэхийг шалгана. Дэлгэрэнгүйг Beats Input хэсгээс үзнэ үү.
2. 2
   API access token үүсгэнэ. Дэлгэрэнгүйг Installing Sidecar (1.2 хэсэг, Create an API token)-оос үзнэ үү.
3. 3
   Windows-ийн custom Filebeat collector-ыг тохируулна. Дэлгэрэнгүйг Sidecar collectors хэсгээс үзнэ үү.
4. 4
   Collector-ыг Security Data Lake руу мессеж илгээхээр тохируулахдаа зөв замыг (path) сонгож, задлагч (parser) лог эх сурвалжийг Microsoft IIS гэж таних үүднээс Filebeat input нь event_source_product талбарыг microsoft_iis утгатай нэмж байгааг шалгана.

Мессеж таних ажиллагаа зөв явахын тулд fields_under_root сонголтыг true гэж тохируулах ёстой. Жишээ:

filebeat.inputs:
                    - type: log
                    enabled: true
                    paths:
                    - C:\inetpub\logs\LogFiles\W3SVC1\*.log
                    fields:
                    event_source_product: microsoft_iis
                    fields_under_root: true

Шаардлагатай бол тохиргооны файл дахь файлын замыг тохируулна. HTTPERR логийг мөн цуглуулахын тулд хоёр дахь path мөр нэмнэ: C:\Windows\System32\LogFiles\HTTPERR\httperr*.log.

5. 5
   Клиент хост дээр Bitdefender Sidecar-ыг суулгана.
6. 6
   Bitdefender Sidecar клиентийн тохиргоог өөрийн Security Data Lake API URL болон API access token-оор засна.

Лог форматын жишээ

Дор Microsoft IIS-ийн W3C log format-тай жишээ логууд байна.

W3C - үндсэн логууд:

#Fields: date time s-ip cs-method cs-uri-stem cs-uri-query s-port cs-username c-ip cs(User-Agent) cs(Referer) sc-status sc-substatus sc-win32-status time-taken
2025-07-22 16:04:35 ::1 GET / - 80 - ::1 Mozilla/5.0+(Windows+NT+10.0;+Win64;+x64)+AppleWebKit/537.36+(KHTML,+like+Gecko)+Chrome/122.0.0.0+Safari/537.36+Edg/122.0.0.0 - 200 0 0 1127
2025-07-22 16:04:35 ::1 GET /iisstart.png - 80 - ::1 Mozilla/5.0+(Windows+NT+10.0;+Win64;+x64)+AppleWebKit/537.36+(KHTML,+like+Gecko)+Chrome/122.0.0.0+Safari/537.36+Edg/122.0.0.0 http://localhost/ 200 0 0 14
2025-07-22 16:04:35 ::1 GET /favicon.ico - 80 - ::1 Mozilla/5.0+(Windows+NT+10.0;+Win64;+x64)+AppleWebKit/537.36+(KHTML,+like+Gecko)+Chrome/122.0.0.0+Safari/537.36+Edg/122.0.0.0 http://localhost/ 404 0 2 7

W3C - бүх талбарыг сонгосон үед:

#Fields: date time s-sitename s-computername s-ip cs-method cs-uri-stem cs-uri-query s-port cs-username c-ip cs-version cs(User-Agent) cs(Cookie) cs(Referer) cs-host sc-status sc-substatus sc-win32-status sc-bytes cs-bytes time-taken
2025-07-22 17:08:10 W3SVC1 WIN-I4KO2719DL6 ::1 GET / - 80 - ::1 HTTP/1.1 Mozilla/5.0+(Windows+NT+10.0;+Win64;+x64)+AppleWebKit/537.36+(KHTML,+like+Gecko)+Chrome/122.0.0.0+Safari/537.36+Edg/122.0.0.0 - - localhost 304 0 0 166 780 86

Юу багтсан бэ

• Microsoft IIS мессежийг задлах, нормчлох, баяжуулах дүрмүүд.
• W3C хандалтын лог болон HTTPERR логийг GIM enforcement талбаруудын хамт 180200 (http communication) гэж GIM ангилах.
• HTTPERR (HTTP.sys алдаа) логийг задлах: эх/хүрэх IP болон порт, HTTP method/path/version, хариу код, шалтгааны тайлбар (reason phrase)-ыг гаргаж авна.

Энэ технологийн багцын боловсруулдаг үйл явдлууд

Контент багц дараах лог төрлүүдийг дэмжинэ:

• W3C Access logs
• HTTPERR (HTTP.sys error) logs

Дээр жагсаагаагүй лог төрлүүдэд ерөнхий боловсруулалт хийгдэнэ.

GIM ангилал

GIM ангиллыг дараах мессежүүдэд хийнэ:

Энэ багцад багтсан мессежийн талбарууд

Үндсэн W3C формат-ын ерөнхий задлалт

Common Fields

Өргөтгөсөн W3C талбарын формат

Fields

Microsoft IIS Spotlight content pack

Энэ Spotlight нь Overview таб бүхий dashboard санал болгоно.