Microsoft IIS-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Microsoft Internet Information Services-Logs (IIS-Logs) mit dem Bindplane-Agent in Google Security Operations aufnehmen.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Windows Server 2016 oder höher mit installiertem IIS
  • Administratorzugriff auf den IIS-Server
  • Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.

Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
  4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert wird. Beispiel: C:\SecOps\ingestion-auth.json.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profile auf.
  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

Erweitertes W3C-Logging für IIS konfigurieren

Sie müssen die richtigen W3C-Felder im IIS Manager aktivieren, damit Google SecOps Ihre Logs richtig parsen und Erkennungen zuverlässig funktionieren kann.

IIS Manager öffnen

  1. Klicken Sie auf Start.
  2. Geben Sie inetmgr ein und drücken Sie die Eingabetaste.
  3. Das Fenster Internet Information Services (IIS) Manager wird geöffnet.

Alternative Methode:

  1. Drücken Sie die Windows-Taste + R.
  2. Geben Sie inetmgr ein und drücken Sie die Eingabetaste.
  1. Maximieren Sie im Bereich Verbindungen (links) den Namen Ihres Servers.
  2. So konfigurieren Sie das serverweite Logging (empfohlen):
    • Klicken Sie auf der Stammebene auf den Servernamen.
  3. So konfigurieren Sie standortspezifisches Logging:
    • Maximieren Sie Sites und klicken Sie dann auf die gewünschte Website (z. B. Default Web Site).
  4. Doppelklicken Sie in der Funktionsansicht (mittlerer Bereich) auf Logging.

Wählen Sie „W3C Extended Log Format“ aus.

  1. Gehen Sie auf der Seite Logging zum Bereich Log File (Protokolldatei):
    • Wählen Sie in der Drop-down-Liste Format die Option W3C aus.
  2. Klicken Sie auf die Schaltfläche Felder auswählen.

W3C-Logging-Felder konfigurieren

Wählen Sie im Dialogfeld W3C-Logging-Felder Felder gemäß EINEM der folgenden Muster aus:

Muster 1: Vollständiger Websitekontext mit Abfragestring und Byte

Aktivieren Sie diese Felder in der folgenden Reihenfolge:

  • Datum (date)
  • Zeit (time)
  • Dienstname (s-sitename)
  • Server-IP-Adresse (s-ip)
  • Methode (cs-method)
  • URI-Stamm (cs-uri-stem)
  • URI-Abfrage (cs-uri-query)
  • Serverport (s-port)
  • Nutzername (cs-username)
  • Client-IP-Adresse (c-ip)
  • User-Agent (cs(User-Agent))
  • Referrer (cs(Referer))
  • Protokollstatus (sc-status)
  • Gesendete Byte (sc-bytes)
  • Empfangene Byte (cs-bytes)

Verwenden Sie dieses Muster, wenn:Ihr Downstream-Format enthält Websitekontext + Abfragestring und Sie benötigen gesendete/empfangene Byte. Außerdem werden in Ihrer Pipeline die Spalten „username“ und „referer“ erwartet (auch wenn die Werte - sind).

Muster 2: Einfach mit Unterstatus, Win32-Status und Leistung (kein Referrer)

Aktivieren Sie diese Felder in der folgenden Reihenfolge:

  • Datum (date)
  • Zeit (time)
  • Server-IP-Adresse (s-ip)
  • Methode (cs-method)
  • URI-Stamm (cs-uri-stem)
  • URI-Abfrage (cs-uri-query)
  • Serverport (s-port)
  • Nutzername (cs-username)
  • Client-IP-Adresse (c-ip)
  • User-Agent (cs(User-Agent))
  • Protokollstatus (sc-status)
  • Unterstatus des Protokolls (sc-substatus)
  • Win32-Status (sc-win32-status)
  • Benötigte Zeit (time-taken)

Verwenden Sie dieses Muster, wenn Ihre Pipeline keinen Referer enthält, Sie aber detaillierte Fehlercodes und Latenz (time-taken) benötigen.

Muster 3: Einfach mit Unterstatus, Win32-Status und Leistung (mit Referrer)

Aktivieren Sie diese Felder in der folgenden Reihenfolge:

  • Datum (date)
  • Zeit (time)
  • Server-IP-Adresse (s-ip)
  • Methode (cs-method)
  • URI-Stamm (cs-uri-stem)
  • URI-Abfrage (cs-uri-query)
  • Serverport (s-port)
  • Nutzername (cs-username)
  • Client-IP-Adresse (c-ip)
  • User-Agent (cs(User-Agent))
  • Referrer (cs(Referer))
  • Protokollstatus (sc-status)
  • Unterstatus des Protokolls (sc-substatus)
  • Win32-Status (sc-win32-status)
  • Benötigte Zeit (time-taken)

Verwenden Sie dieses Muster, wenn:wie bei Muster 2, aber Ihre Pipeline enthält „Referer“ als eigene Spalte.

Muster 4: TLS-/Protokollversion mit Referrer und Leistung

Aktivieren Sie diese Felder in der folgenden Reihenfolge:

  • Datum (date)
  • Zeit (time)
  • Server-IP-Adresse (s-ip)
  • Methode (cs-method)
  • URI-Stamm (cs-uri-stem)
  • URI-Abfrage (cs-uri-query)
  • Clientport (c-port)
  • Nutzername (cs-username)
  • Client-IP-Adresse (c-ip)
  • Protokollversion (cs-version)
  • User-Agent (cs(User-Agent))
  • Referrer (cs(Referer))
  • Protokollstatus (sc-status)
  • Unterstatus des Protokolls (sc-substatus)
  • Win32-Status (sc-win32-status)
  • Benötigte Zeit (time-taken)

Verwenden Sie dieses Muster, wenn in Ihrem Downstream-Format cs-version explizit protokolliert wird (z.B. HTTP/1.1), es Zeitangaben enthält und Sie den Clientport als separate Spalte haben.

Muster 5: TLS-/Protokollversionsbewusst mit Referrer (keine Leistung)

Aktivieren Sie diese Felder in der folgenden Reihenfolge:

  • Datum (date)
  • Zeit (time)
  • Server-IP-Adresse (s-ip)
  • Methode (cs-method)
  • URI-Stamm (cs-uri-stem)
  • URI-Abfrage (cs-uri-query)
  • Clientport (c-port)
  • Nutzername (cs-username)
  • Client-IP-Adresse (c-ip)
  • Protokollversion (cs-version)
  • User-Agent (cs(User-Agent))
  • Referrer (cs(Referer))
  • Protokollstatus (sc-status)
  • Unterstatus des Protokolls (sc-substatus)
  • Win32-Status (sc-win32-status)

Verwenden Sie dieses Muster, wenn:wie bei Muster 4, aber Ihre Pipeline enthält nicht time-taken.

Aktivieren Sie diese Felder in der folgenden Reihenfolge:

  • Datum (date)
  • Zeit (time)
  • Server-IP-Adresse (s-ip)
  • Methode (cs-method)
  • URI-Stamm (cs-uri-stem)
  • URI-Abfrage (cs-uri-query)
  • Clientport (c-port)
  • Nutzername (cs-username)
  • Client-IP-Adresse (c-ip)
  • User-Agent (cs(User-Agent))
  • Cookie (cs(Cookie))
  • Referrer (cs(Referer))
  • Protokollstatus (sc-status)
  • Unterstatus des Protokolls (sc-substatus)
  • Win32-Status (sc-win32-status)

Verwenden Sie dieses Muster, wenn für Ihr Downstream-Format sowohl Cookie als auch Referer als separate Spalten erwartet werden.

Aktivieren Sie diese Felder in der folgenden Reihenfolge:

  • Datum (date)
  • Zeit (time)
  • Server-IP-Adresse (s-ip)
  • Methode (cs-method)
  • URI-Stamm (cs-uri-stem)
  • URI-Abfrage (cs-uri-query)
  • Clientport (c-port)
  • Nutzername (cs-username)
  • Client-IP-Adresse (c-ip)
  • User-Agent (cs(User-Agent))
  • Referrer (cs(Referer))
  • Protokollstatus (sc-status)
  • Unterstatus des Protokolls (sc-substatus)
  • Win32-Status (sc-win32-status)

Verwenden Sie dieses Muster, wenn Ihr Downstream-Format „Referer“ enthält, aber nicht „Cookie“/„time“/„bytes“.

Aktivieren Sie diese Felder in der folgenden Reihenfolge:

  • Datum (date)
  • Zeit (time)
  • Server-IP-Adresse (s-ip)
  • Methode (cs-method)
  • URI-Stamm (cs-uri-stem)
  • URI-Abfrage (cs-uri-query)
  • Clientport (c-port)
  • Nutzername (cs-username)
  • Client-IP-Adresse (c-ip)
  • User-Agent (cs(User-Agent))
  • Protokollstatus (sc-status)
  • Unterstatus des Protokolls (sc-substatus)
  • Win32-Status (sc-win32-status)

Verwenden Sie dieses Muster, wenn:Ihr Downstream-Format keinen Referer enthält und Sie nur den grundlegenden Anfragekontext sowie Statuscodes benötigen.

Aktivieren Sie KEINE Felder aus mehreren Mustern. Der Parser erwartet eine dieser genauen Konfigurationen.

Konfiguration anwenden

  1. Klicken Sie auf OK, um das Dialogfeld W3C Logging Fields (W3C-Protokollierungsfelder) zu schließen.
  2. Prüfen Sie den Verzeichnispfad, in den Logs geschrieben werden.
    • Standardwert: %SystemDrive%\inetpub\logs\LogFiles
  3. Wählen Sie unter Log File Rollover (Logdatei-Rollover) die Option Daily (Täglich) aus. Diese Option wird für die Google SecOps-Aufnahme empfohlen.
  4. Klicken Sie im Bereich Aktionen (rechte Seite) auf Übernehmen.

IIS-Protokollierung überprüfen

Prüfen Sie nach der Konfiguration der W3C-Felder, ob IIS Protokolle richtig schreibt:

  1. Generieren Sie Test-Traffic für Ihre IIS-Website, indem Sie eine Webseite in einem Browser öffnen.
  2. Rufen Sie das Logverzeichnis auf: C:\inetpub\logs\LogFiles\W3SVC1\
    • Hinweis: W3SVC1 entspricht der ersten Website (Standardwebsite). Bei anderen Websites lautet der Ordnername W3SVC2, W3SVC3 usw.
  3. Öffnen Sie die aktuelle Protokolldatei (z. B. u_ex251217.log) in Notepad.
  4. Prüfen Sie, ob die Zeile #Fields: alle Felder enthält, die Sie aktiviert haben, und zwar in der genauen Reihenfolge des ausgewählten Musters.

Beispiel für Muster 3

  • Wenn Sie Muster 3 (Einfach mit Unterstatus, Win32-Status und Leistung mit Referrer) konfiguriert haben, sollte die #Fields:-Zeile so aussehen:

    #Fields: date time s-ip cs-method cs-uri-stem cs-uri-query s-port cs-username c-ip cs(User-Agent) cs(Referer) sc-status sc-substatus sc-win32-status time-taken

  • Beispiel für einen Logeintrag:

    2025-12-17 14:23:15 192.168.1.10 GET /index.html - 80 - 203.0.113.45 Mozilla/5.0+(Windows+NT+10.0) https://example.com/previous.html 200 0 0 125

Wichtige Hinweise:

  • Leere Felder werden durch einen Bindestrich (-) dargestellt.
  • Die Reihenfolge der Felder muss genau mit dem #Fields:-Header übereinstimmen.
  • Der Parser schlägt fehl, wenn Felder fehlen, neu angeordnet sind oder aus mehreren Mustern stammen.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows-Server gemäß der folgenden Anleitung.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie im Installationsleitfaden für den Bindplane-Agent.

BindPlane-Agent zum Erfassen von IIS-Logs und Senden an Google SecOps konfigurieren

Konfigurationsdatei bearbeiten

  1. Suchen Sie die Datei config.yaml.
    • Standardpfad: C:\Program Files\observIQ OpenTelemetry Collector\config.yaml
  2. Öffnen Sie die Datei mit einem Texteditor (z. B. Notepad, VS Code oder Notepad++) als Administrator.

  3. Ersetzen Sie den gesamten Inhalt durch die folgende Konfiguration:

    receivers:
  iis:
    collection_interval: 60s

processors:
  resourcedetection:
    detectors: ["system"]
    system:
      hostname_sources: ["os"]
  normalizesums:
  batch:

exporters:
  chronicle/iis:
    endpoint: malachiteingestion-pa.googleapis.com
    creds: 'C:\SecOps\ingestion-auth.json'
    log_type: 'IIS'
    override_log_type: false
    raw_log_field: body
    customer_id: '<CUSTOMER_ID>'
    compression: gzip

service:
  pipelines:
    logs/iis:
      receivers:
        - iis
      processors:
        - resourcedetection
        - normalizesums
        - batch
      exporters:
        - chronicle/iis

Konfigurationswerte aktualisieren

Ersetzen Sie die folgenden Platzhalter:

  • creds:: Pfad zur Datei für die Authentifizierung bei der Aufnahme (z. B. C:\SecOps\ingestion-auth.json).
  • endpoint:: Ihr regionaler Endpunkt.
  • customer_id: – Ihre tatsächliche Google SecOps-Kundennummer aus dem Abschnitt Google SecOps-Kundennummer abrufen.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  • Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:

      net stop observiq-otel-collector && net start observiq-otel-collector

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung
@timestamp metadata.event_timestamp
__AntiXsrfToken additional.fields
__type additional.fields
_raw security_result.description
_ResourceId target.resource.product_object_id
_time metadata.event_timestamp
_timestamp metadata.event_timestamp
_version metadata.product_version
AccountName additional.fields
AccountType principal.user.attribute.roles.name
Action security_result.action_details
addr additional.fields
admin_domain principal.administrative_domain
agent.ephemeral_id additional.fields
agent.hostname observer.hostname
agent.name observer.hostname
agent.type observer.application,
observer.asset.asset_id
agent.version additional.fields
AgentDevice additional.fields
AgentLogFile additional.fields
AgentLogFormat additional.fields
AgentLogProtocol additional.fields
apparmor security_result.action
ASP.NET_SessionId network.session_id
auid additional.fields
AUID additional.fields
AuthenticationPackageName additional.fields
AzureDeploymentID additional.fields
beanFactory.0 additional.fields
beanFactory.1.shareableResources.0 additional.fields
BU additional.fields
c-ip observer.ip,
intermediary.ip
c_ip observer.ip,
intermediary.ip
CalloutKey security_result.about.resource.attribute.labels
CalloutName security_result.about.resource.attribute.labels
capability security_result.detection_fields
capname security_result.detection_fields
Category security_result.category_details
change_type additional.fields
ChangeType security_result.about.resource.attribute.labels
Channel security_result.about.resource.attribute.labels
ChannelID security_result.about.resource.attribute.labels
chronicle_tag additional.fields
class security_result.detection_fields
cloud_ray_id additional.fields
comm principal.application
Computer target.hostname,
target.asset.hostname
computername target.hostname,
target.asset.hostname
Conditions security_result.about.resource.attribute.labels
ConfigPath additional.fields
Configuration additional.fields
Connection_IP target.ip,
target.asset.ip
content_type additional.fields
cookie additional.fields
count additional.fields
cribl_breaker additional.fields
cribl_host observer.hostname
cribl_pipe (Arrayelement) additional.fields
cs(Referer) network.http.referral_url
cs(User-Agent) network.http.user_agent,
network.http.parsed_user_agent
cs-bytes network.received_bytes
cs-host additional.fields
cs-method network.http.method
cs-uri-query target.url
cs-uri-stem target.url
cs-uri-stem target.url
cs-username (Domainteil) principal.administrative_domain
cs-username (Nutzerteil) principal.user.userid
cs-version network.application_protocol_version
cs_bytes network.received_bytes
cs_host additional.fields
cs_method network.http.method
cs_referer network.http.referral_url
cs_username principal.user.userid
csbyte network.received_bytes
csBytes network.received_bytes
cshost additional.fields
csip principal.ip,
principal.asset.ip
csMethod network.http.method
csmethod network.http.method
csReferer network.http.referral_url
csreferer network.http.referral_url
csUriStem target.url
csUser-Agent network.http.user_agent,
network.http.parsed_user_agent
csUserAgent network.http.user_agent,
network.http.parsed_user_agent
csuseragent network.http.user_agent,
network.http.parsed_user_agent
csusername principal.user.userid
csversion network.application_protocol_version
date metadata.event_timestamp
DC additional.fields
desc metadata.description
description security_result.description
Domain principal.administrative_domain
dst_ip target.ip,
target.asset.ip
dst_ip2 target.ip,
target.asset.ip
dst_port target.port
duration network.session_duration,
additional.fields
duration network.session_duration.nanos (wenn [duration] < 1.000)
duration network.session_duration.seconds (if [duration] > 1000)
ecs.version additional.fields
EnabledFieldsFlags additional.fields
error_message security_result.description
event.dataset additional.fields
event.module additional.fields
event_data.dataset additional.fields
event_data.module additional.fields
EventEnqueuedUtcTime additional.fields
EventID metadata.product_log_id
EventProcessedUtcTime additional.fields
EventReceivedTime metadata.collected_timestamp
EventRecordID principal.asset.product_object_id
EventTime metadata.event_timestamp
EventType metadata.product_event_type
exe principal.file.full_path
ExecutionProcessID principal.process.pid
ExecutionThreadID principal.process.product_specific_process_id
facility additional.fields
FileOffset additional.fields
fileset.name additional.fields
FileUri observer.file.full_path
filter_action security_result.action
filter_type additional.fields
FilterId security_result.about.resource.attribute.labels
FilterKey security_result.about.resource.attribute.labels
FilterName security_result.about.resource.attribute.labels
FilterType security_result.about.resource.attribute.labels
first_seen additional.fields
Flags additional.fields
For login events extensions.auth.type (= "MACHINE")
ftp_command network.ftp.command
host target.hostname,
target.asset.hostname
host.architecture target.asset.hardware.cpu_platform
host.geo.name additional.fields
host.id target.asset.asset_id
host.ip target.ip,
target.asset.ip
host.mac target.mac,
target.asset.mac
host.os.build target.platform_patch_level
host.os.family additional.fields
host.os.kernel additional.fields
host.os.name target.platform_version
host.os.platform target.platform
host.os.type additional.fields
host.os.version target.platform_version
host_hostname target.hostname,
target.asset.hostname
host_name target.hostname,
target.asset.hostname
Hostname target.hostname,
target.asset.hostname
hostname target.hostname,
target.asset.hostname
HTTP network.application_protocol
http_method network.http.method
http_response network.http.response_code
http_status_code network.http.response_code
HTTPS network.application_protocol
IIS_source principal.resource.attribute.labels
ImpersonationLevel additional.fields
input.type additional.fields
instance additional.fields
Internet Information Server metadata.product_name
IpAddress principal.ip,
principal.asset.ip,
observer.ip
IpPort principal.port
jndi_java_class additional.fields
jndi_payload additional.fields
jndiName additional.fields
KeyLength additional.fields
Keywords additional.fields
last_seen additional.fields
LayerId security_result.about.resource.attribute.labels
LayerKey security_result.about.resource.attribute.labels
LayerName security_result.about.resource.attribute.labels
Level security_result.severity (INFORMATIONAL, ERROR, MEDIUM, LOW)
LevelValue security_result.about.resource.attribute.labels
LmPackageName additional.fields
log.file.path observer.file.full_path
log.offset metadata.product_log_id
loginTimeout additional.fields
LogonGuid security_result.about.resource.attribute.labels
LogonProcessName additional.fields
LogonType extensions.auth.auth_details
logstash.collect.host observer.hostname
logstash.collect.timestamp metadata.collected_timestamp
logstash.ingest.timestamp additional.fields
logstash.irm_environment additional.fields
logstash.irm_region additional.fields
logstash.irm_site additional.fields
logstash.process.host intermediary.hostname
logstash.process.timestamp additional.fields
ManagementGroupName additional.fields
message_data security_result.description
MethodName additional.fields
MG additional.fields
Microsoft metadata.vendor_name
ministry additional.fields
misc security_result.summary
msg security_result.description
network_direction network.direction (AUSGEHEND oder EINGEHEND)
NewValue additional.fields
node principal.hostname,
principal.asset.hostname
ObjectInstance.__type additional.fields
ObjectInstance.StartInfo.__type additional.fields
ObjectInstance.StartInfo.Arguments additional.fields
ObjectInstance.StartInfo.FileName additional.fields
obs_app observer.application
obs_host observer.ip
obs_pid observer.process.pid
OldValue additional.fields
Opcode additional.fields
OpcodeValue additional.fields
operation security_result.detection_fields
OS_Platform additional.fields
OS_Release additional.fields
OS_Timezone additional.fields
OS_type target.platform
OS_Version_ID additional.fields
OutlookSession additional.fields
PartitionId additional.fields
PhysicalPath target.file.full_path
pid principal.process.pid
PluginVersion additional.fields
prin_ip observer.ip
prin_ip principal.ip,
principal.asset.ip
principal_ip (bedingt) intermediary.ip
principal_ip (bedingt) observer.ip
principal_or_intermediary_ip intermediary.ip
priority additional.fields
process_file target.process.file.full_path
process_id additional.fields
ProcessID principal.process.pid
ProcessName principal.process.file.full_path
profile security_result.detection_fields
propertyPath additional.fields
ProviderGuid security_result.about.resource.attribute.labels
ProviderKey security_result.about.resource.attribute.labels
ProviderName security_result.about.resource.attribute.labels
RecordNumber additional.fields
request_url target.url
res security_result.action
res security_result.action (ZULASSEN, wenn „success“)
response_content additional.fields
Role additional.fields
RoleInstance additional.fields
s-computername target.hostname,
target.asset.hostname
s-ip target.ip,
target.asset.ip
s-port target.port
s-sitename target.application
s_sitename target.application
sComputerName target.hostname,
target.asset.hostname
scope_id additional.fields
sc-bytes network.sent_bytes
sc-status network.http.response_code
sc-substatus additional.fields
sc-win32-status additional.fields
sc_bytes network.sent_bytes
sc_substatus additional.fields
sc_win32_status additional.fields
scbyte network.sent_bytes
scBytes network.sent_bytes
scStatus network.http.response_code
scstatus network.http.response_code
sec_desc security_result.description
service.type additional.fields
ses network.session_id
Severity security_result.severity (INFORMATIONAL, ERROR, MEDIUM, LOW)
severity security_result.severity (INFORMATIONAL, ERROR, MEDIUM, LOW)
SeverityValue security_result.about.resource.attribute.labels
site additional.fields
sitename target.application
source observer.file.full_path
SourceModuleName observer.resource.name
SourceModuleType observer.application
SourceName additional.fields
SourceSystem observer.application
src_host (wenn Hostname) principal.hostname,
principal.asset.hostname
src_ip observer.ip,
intermediary.ip
src_port principal.port
sSiteName target.application
StorageAccount additional.fields
streamid additional.fields
SubFleetName additional.fields
subj principal.resource.attribute.labels
SubjectDomainName principal.administrative_domain
SubjectLogonId principal.resource.attribute.labels
SubjectUserName principal.user.userid
SubjectUserSid principal.user.windows_sid
syslog_facility security_result.detection_fields
syslog_facility_code security_result.detection_fields
syslog_pri security_result.priority_details
syslog_severity security_result.severity_details
syslog_severity_code security_result.detection_fields
SyslogFacility security_result.about.resource.attribute.labels
SyslogFacilityValue security_result.about.resource.attribute.labels
SyslogSeverity security_result.about.resource.attribute.labels
SyslogSeverityValue security_result.about.resource.attribute.labels
system target.platform
tags (Arrayelemente) additional.fields
target_host target.hostname,
target.asset.hostname
targetBeanName additional.fields
TargetDomainName target.administrative_domain
TargetLogonId target.resource.attribute.labels
TargetUserName target.user.userid
TargetUserSid target.user.windows_sid
task additional.fields
TaskValue additional.fields
TenantId additional.fields
ThreadID additional.fields
time metadata.event_timestamp
time-taken additional.fields
time-taken network.session_duration
time_taken additional.fields
time_taken network.session_duration
TimeGenerated security_result.about.resource.attribute.labels
timestamp metadata.event_timestamp
total_CPU target_hardware.cpu_number_cores
total_memory additional.fields
transletBytecodes.0 additional.fields
transletName additional.fields
TransmittedServices additional.fields
Type additional.fields
type metadata.product_event_type
UID principal.user.user_display_name
uid principal.user.userid
unit target.application
uristem target.url
user_agent network.http.user_agent,
network.http.parsed_user_agent
user_agent (wenn das JSON-Parsing fehlschlägt) additional.fields
UserID principal.user.windows_sid
UserName target.user.userid
UserSid principal.user.windows_sid
Version metadata.product_version
version metadata.product_version
Weight security_result.about.resource.attribute.labels
WorkstationName additional.fields
X-BackEndCookie additional.fields
xff_ip principal.ip,
principal.asset.ip
xforwardedfor principal.ip,
principal.asset.ip (für die erste IP-Adresse),
intermediary.ip (für die restlichen IP-Adressen)

UDM-Zuordnungsdelta-Referenz

Am 16. Juli 2026 hat Google SecOps eine neue Version des Microsoft Internet Information Services (IIS)-Parsers veröffentlicht, die erhebliche Änderungen bei der Zuordnung von Microsoft Internet Information Services-Logfeldern zu UDM-Feldern enthält.

In der folgenden Tabelle ist das Zuordnungsdelta für Microsoft Internet Information Services-Log-zu-UDM-Felder aufgeführt, die vor dem 16. Juli 2026 und danach verfügbar waren (in den Spalten Alte Zuordnung bzw. Aktuelle Zuordnung):

Logfeld Alte Zuordnung Aktuelle Zuordnung
AccountType principal.user.role_name principal.user.attribute.roles[].name
Action security_result.about.resource.attribute.labels securtiy_result.action_details
agent.type principal.application observer.application
agent.type + host_id observer.asset_id target.asset.asset_id => host_id: %{host_id},
observer.asset.asset_id => agent.type + agent.id ,
(In der alten Zuordnung wurden die Logfelder agent.type und host_id zusammengeführt und observer.assetid zugeordnet. In der aktuellen Zuordnung wird host_id target.asset.asset_id und agent.type observer.asset.asset_id zugeordnet.)
app_name principal.application target.hostname
c_ip principal.ip,
principal.asset.ip		 Wenn „xff_ip“ vorhanden ist: intermediary.ip
comm target.process.command_line principal.application
cookie additional.fields
cribl_breaker target.resource.attribute.labels additional.fields
cs(User-Agent) network.http.user_agent Der Parser enthält jetzt eine bedingte Prüfung, um die Zuordnung von „-“-Werten zu vermeiden. Dadurch wird die network.http.user_agent-Zuordnung entfernt, wenn cs(User-Agent) nur „-“ enthält.
cs-uri-query Daraus wurden Datenfelder extrahiert und einzeln zugeordnet. Mit cs-uri-stem verkettet und target.url zugeordnet. Einzeln extrahierte Zuordnungen wurden entfernt, um die Gesamtbedeutung der URL-Daten zu erhalten.
cs-version network.tls.version network.application_protocol,
network.application_protocol_version
cs_version network.tls.version network.application_protocol,
network.application_protocol_version
csversion network.tls.version network.application_protocol,
network.application_protocol_version
Domain principal.user.userid principal.administrative_domain
ecs.version principal.asset.attribute.labels additional.fields
ftp_command principal.application network.ftp.command
host principal.hostname,
principal.asset.hostname		 target.hostname,
target.asset.hostname,
observer.hostname (Der Zielwebserver ohne ein Feld für den Computernamen. Andernfalls dient das Feld als Kennung des Beobachtercomputers.)
host.architecture principal.asset.hardware.cpu_platform target.asset.hardware.cpu_platform
host.mac principal.mac target.mac
host.os.build additional.fields target.platform_patch_level
host.os.kernel principal.platform_patch_level additional.fields
host.os.platform principal.platform target.platform
intermediary_device_name intermediary.hostname,
observer.hostname
(In der alten Zuordnung hat der Parser die serverbezogenen Daten als zwei Felder erfasst. Der Parser verwendet jetzt ein einzelnes Feld und ordnet serverbezogene Daten den entsprechenden Zieldetails zu.)		 target.hostname
log.file.path target.file.full_path observer.file.full_path
LogonType additional.fields extensions.auth.auth_details
name target.resource.name,
additional.fields
(In der alten Zuordnung wurde name aus einem Muster extrahiert und falsch zugeordnet.)		 target.application
observer_devicename intermediary.hostname,
observer.hostname
(In der alten Zuordnung hat der Parser observer_devicename aus einem Muster extrahiert und die serverbezogenen Daten fälschlicherweise als zwei Felder zugeordnet. Der Parser verwendet jetzt ein einzelnes Feld und ordnet serverbezogene Daten den entsprechenden Zieldetails zu.)		 target.hostname
OS_type principal.asset.platform_software.platform target.platform
s-sitename target.resource.name,
additional.fields		 target.application
s_port (aus aktualisierten Mustern extrahiert) principal.port target.port
s_sitename target.resource.name,
additional.fields		 target.application
sitename target.resource.name,
additional.fields		 target.application
source principal.resource.attribute.labels observer.file.full_path
SourceName security_result.about.resource.attribute.labels additional.fields
SourceSystem security_result.detection_fields observer.application
sSiteName target.resource.name,
additional.fields		 target.application
SubjectUserName principal.user.userid,
principal.hostname		 principal.user.userid
tags security_result.rule_name additional.fields
UID target.user.userid principal.user.user_display_name
UserSid target.user.windows_sid principal.user.windows_sid
xforwardedfor principal.ip,
target.ip,
intermediary.ip
(In different cases)		 principal.ip (die erste IP-Adresse),
intermediary.ip (alle anderen IP-Adressen)
IIS-Logdetails in _raw oder message security_result.description Wird entfernt, wenn das Format vom internen Filter geparst wird.
Webserver-Anfrage-Antwort-Logzeilen von IIS, die die HTTP-Transaktion beschreiben, d. h. eine GET-Anfrage, die zu einer Weiterleitung führt, nicht zu einem Authentifizierungsergebnis. metadata.event_type = USER_LOGIN metadata.event_type = NETWORK_HTTP
– network.http.parsed_user_agent
(In der alten Zuordnung wurde ein Logfeld vom Parser fälschlicherweise dem User-Agent zugeordnet. In der aktuellen Zuordnung ordnet der Parser ein geeignetes Feld richtig network.http.parsed_user_agent zu.)
– principal.port network.http.response_code (In der alten Zuordnung war die Zuordnung nicht korrekt. In der aktuellen Zuordnung ordnet der Parser ein geeignetes Feld richtig network.http.response_code zu.)

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten