Jak číst logy serveru IIS

Úvod

Log soubory webového serveru IIS pomáhají odhalovat chyby, sledovat podezřelou aktivitu a identifikovat bezpečnostní mezery. Ve výchozím nastavení Microsoft Internet Information Services zaznamenává všechny HTTP transakce. Formát souboru můžete zvolit v prvku IIS HTTP Logging a při výběru formátu W3C Extended můžete určit, které pole se mají do logu zapisovat.

Formáty souborů protokolu

IIS ukládá logy jako textové soubory ASCII nebo UTF‑8, oddělené mezerami, které lze otevřít libovolným editorem. Výchozím a nejflexibilnějším formátem je W3C Extended, který umožňuje vybrat až 22 různých polí pro každou HTTP nebo FTP transakci. Formát NCSA Common podporuje pouze HTTP a obsahuje sedm předdefinovaných polí. Při analýze logu je užitečné znát stavové kódy HTTP – například 404 „Page Not Found“ nebo 500 „Internal Server Error“.

Zápis logů do databáze

Místo textových souborů můžete nastavit IIS tak, aby data ukládalo do souboru kompatibilního s ODBC a následně je importovalo do databáze (např. Microsoft SQL Server). Tento způsob však snižuje výkon, protože vypíná kernel‑mode cache. Lepší alternativou je použít nástroj Microsoft Log Parser, který umožňuje provádět SQL‑like dotazy nad logy v libovolném formátu.

Jak nastavit logování v IIS

Pro úpravu formátu logu a zjištění jeho umístění otevřete IIS Manager, v panelu Connections rozbalte název serveru, poté Sites a vyberte požadovaný web. Dvakrát klikněte na položku Logging. Pokud zvolíte formát W3C, můžete dále vybrat konkrétní pole, která se budou zaznamenávat. Umístění souboru logu je zobrazeno ve spodní části okna – stačí jej zkopírovat a otevřít např. ve WordPadu.

Formát W3C

V tomto formátu jsou zaznamenány následující údaje (podle vybraných polí): datum a čas (UTC), IP adresa klienta, uživatelské jméno (pokud je známé), název a IP adresa cílového serveru, port, typ požadavku, požadovaná URI, dotazové řetězce, HTTP stavové a podstavové kódy, Windows stavový kód, počet odeslaných a přijatých bajtů, doba zpracování (ms) a verze protokolu. Dále lze zaznamenat hostitele, user‑agent, cookie a referer.

Formát NCSA Common

Pro každou HTTP žádost jsou v tomto formátu uloženy: IP adresa klienta, vzdálené uživatelské jméno (pokud je známo), uživatelské jméno, datum a čas (lokální čas serveru), požadovaná URI, HTTP stavový kód a počet odeslaných bajtů.