Kaip skaityti ir analizuoti IIS serverio žurnalus

Įvadas

Web serverio žurnalų failai padeda rasti serverio klaidas, atpažinti įtartiną veiklą ir išryškinti saugumo spragas. Pagal numatymą Microsoft Internet Information Services (IIS) įrašo visas HTTP transakcijas į žurnalų failus. Naudodami IIS HTTP Logging elementą galite pasirinkti norimą failo formatą ir, jei naudojate W3C išplėstinį formatą, pasirinktinius laukus, kurie bus įrašomi.

Žurnalų failų formatai

IIS rašo žurnalus į tarpais atskirtus ASCII arba UTF‑8 tekstinius failus, kuriuos galima atverti bet kuriuo teksto redaktoriumi. Numatytoji – W3C išplėstinis formatas, leidžiantis pasirinkti iki 22 skirtingų laukų kiekvienai HTTP arba FTP transakcijai. Kitas variantas – NCSA Common (National Center for Supercomputing Applications) formatas, kuriame yra tik septyni iš anksto apibrėžti laukai ir jis palaiko tik HTTP.

Peržiūrint žurnalus, naudinga žinoti HTTP būsenos kodus, kad greitai atpažintumėte klaidas, pvz., 404 „Puslapis nerastas“ arba 500 „Serverio klaida“.

Įrašymas į duomenų bazę

Vietoj tekstinių failų galite IIS konfigūruoti taip, kad išrinkti laukai būtų įrašomi į ODBC suderinamą duomenų bazę. IIS turi šabloną, skirtą duomenims įkelti į Microsoft SQL Server. Šis metodas gali sulėtinti serverio veikimą, nes išjungia branduolio (kernel‑mode) talpyklą. Patogesnis sprendimas – naudoti Microsoft Log Parser įrankį, leidžiantį atlikti SQL‑panašius užklausimus nepriklausomai nuo failo formato.

Žurnalų konfigūravimas IIS

Norėdami pakeisti žurnalo formatą ir sužinoti, kur saugomi failai, atidarykite IIS Manager, išskleiskite serverio pavadinimą „Connections“ skiltyje, tada „Sites“ ir pasirinkite norimą svetainę. Dukart spustelėkite „Logging“ pagrindiniame skydelyje. Pasirinkę W3C formatą, galėsite pasirinkti atskirus laukus, kuriuos norite įrašyti. Žurnalo failo vietą matysite ekrano apačioje – ją nukopijuokite ir atidarykite, pavyzdžiui, WordPad programoje.

W3C formatas

W3C išplėstinis formatas įrašo šiuos duomenis (priklausomai nuo jūsų pasirinkimo): datą ir laiką (UTC), šaltinio IP adresą, vartotojo vardą (jei žinomas), paskirties svetainės ir kompiuterio pavadinimą, paskirties IP ir prievadą, užklausos tipą, prašomą URI, užklausos parametrus, HTTP būsenos ir sub‑būsenos kodus, Windows būsenos kodą, išsiųstų ir gautų baitų skaičių, apdorojimo trukmę milisekundėmis, protokolo versiją, serverio vardą, naudotojo agentą, slapukus ir refererį.

NCSA bendras formatas

NCSA Common formatas įrašo šiuos laukus: šaltinio IP adresą, nuotolinio vartotojo vardą (jei žinomas), vartotojo vardą (jei žinomas), datą ir laiką (lokaliame serverio laike), užklausos URI, HTTP būsenos kodą ir išsiųstų baitų skaičių.