‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומני Microsoft IIS

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומנים של Microsoft Internet Information Services ‏ (IIS) ב-Google Security Operations באמצעות סוכן Bindplane.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

מכונה של Google SecOps
‫Windows Server 2016 ואילך עם IIS מותקן
הרשאת אדמין לשרת IIS
אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים אחת מהשיטות הבאות:

פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
פריסות מדור קודם: אפשר להמשיך להשתמש בקובץ האימות של ה-API להעברת נתונים (אפשרות 2) עד שה-API להעברת נתונים יפסיק לפעול ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
נכנסים לדף IAM & Admin > Service Accounts.
לוחצים על Create service account.
מזינים את פרטי ההגדרה הבאים:
- Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
- תיאור חשבון השירות: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
לוחצים על Create and continue.
בקטע Grant this service account access to project לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
לוחצים על המשך ואז על סיום.
לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
לוחצים על Add key > Create new key.
בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדת קובץ אימות להטמעת נתונים (גרסה מדור קודם)

נכנסים למסוף Google SecOps.
עוברים אל הגדרות SIEM > סוכני איסוף.
מורידים את קובץ האימות להטמעת נתונים.
שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings (הגדרות SIEM) > Profile (פרופיל).
מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

הגדרת רישום מורחב ביומן של IIS W3C

כדי ש-Google SecOps יוכל לנתח את היומנים שלכם בצורה תקינה והזיהויים יפעלו בצורה מהימנה, אתם צריכים להפעיל את השדות הנכונים של W3C ב-IIS Manager.

פותחים את IIS Manager.

לוחצים על התחלה.
מקלידים inetmgr ומקישים Enter.
נפתח החלון Internet Information Services (IIS) Manager.

שיטה חלופית:

מקישים על מקש Windows + R.
מקלידים inetmgr ומקישים Enter.

עוברים אל Logging Configuration (הגדרות רישום)

בחלונית Connections (בצד שמאל), מרחיבים את שם השרת.
כדי להגדיר רישום ביומן בכל השרת (מומלץ):
- לוחצים על שם השרת ברמת הבסיס.
כדי להגדיר רישום ביומן ספציפי לאתר:
- מרחיבים את Sites (אתרים) > לוחצים על האתר הספציפי (לדוגמה, Default Web Site).
ב-Features View (החלונית האמצעית), לוחצים לחיצה כפולה על Logging.

בוחרים באפשרות W3C Extended Log Format (פורמט יומן מורחב של W3C).

בדף רישום ביומן, בקטע קובץ יומן:
- ברשימה הנפתחת Format, בוחרים באפשרות W3C.
לוחצים על הכפתור בחירת שדות.

הגדרת שדות של יומן W3C

בתיבת הדו-שיח W3C Logging Fields, בוחרים שדות לפי אחת מהתבניות הבאות:

תבנית 1: הקשר מלא של האתר עם מחרוזת שאילתה ובייטים

מפעילים את השדות האלה בסדר המדויק הבא:

תאריך (תאריך)
זמן (זמן)
שם השירות (s-sitename)
כתובת ה-IP של השרת (s-ip)
שיטה (cs-method)
URI Stem‏ (cs-uri-stem)
שאילתת URI‏ (cs-uri-query)
יציאת השרת (s-port)
שם משתמש (cs-username)
כתובת ה-IP של הלקוח (c-ip)
סוכן משתמש (cs(User-Agent))
‫Referer (cs(Referer))
סטטוס הפרוטוקול (sc-status)
‫Bytes Sent (sc-bytes)
‫Bytes Received (בייטים שהתקבלו) (cs-bytes)

מתי משתמשים בתבנית הזו: כשהפורמט במורד הזרם כולל הקשר של האתר + מחרוזת שאילתה, ואתם צריכים בייטים שנשלחו או התקבלו, והצינור מצפה לעמודות "username" ו-"referer" (גם אם הערכים הם -).

תבנית 2: בסיסית עם סטטוס משנה, סטטוס Win32 וביצועים (ללא מפנה)

מפעילים את השדות האלה בדיוק בסדר הזה:

תאריך (תאריך)
זמן (time)
כתובת ה-IP של השרת (s-ip)
שיטה (cs-method)
URI Stem‏ (cs-uri-stem)
שאילתת URI‏ (cs-uri-query)
יציאת השרת (s-port)
שם משתמש (cs-username)
כתובת ה-IP של הלקוח (c-ip)
סוכן משתמש (cs(User-Agent))
סטטוס הפרוטוקול (sc-status)
סטטוס משנה של פרוטוקול (sc-substatus)
סטטוס Win32 (sc-win32-status)
הזמן שלקח לך (time-taken)

מתי משתמשים בתבנית הזו: כשצינור עיבוד הנתונים לא כולל את Referer, אבל אתם צריכים קודי שגיאה מפורטים וזמן אחזור (time-taken).

תבנית 3: בסיסית עם סטטוס משנה, סטטוס Win32 וביצועים (עם מפנה)

מפעילים את השדות האלה בסדר המדויק הבא:

תאריך (תאריך)
זמן (time)
כתובת ה-IP של השרת (s-ip)
שיטה (cs-method)
URI Stem‏ (cs-uri-stem)
שאילתת URI‏ (cs-uri-query)
יציאת השרת (s-port)
שם משתמש (cs-username)
כתובת ה-IP של הלקוח (c-ip)
סוכן משתמש (cs(User-Agent))
‫Referer (cs(Referer))
סטטוס הפרוטוקול (sc-status)
סטטוס משנה של פרוטוקול (sc-substatus)
סטטוס Win32 (sc-win32-status)
הזמן שלקח לך (time-taken)

מתי משתמשים בתבנית הזו: כמו בתבנית 2, אבל צינור עיבוד הנתונים כולל את Referer כעמודה ייעודית.

תבנית 4: מודעות ל-TLS/גרסת פרוטוקול עם מפנה וביצועים

מפעילים את השדות האלה בדיוק בסדר הזה:

תאריך (תאריך)
זמן (time)
כתובת ה-IP של השרת (s-ip)
שיטה (cs-method)
URI Stem‏ (cs-uri-stem)
שאילתת URI‏ (cs-uri-query)
יציאת הלקוח (c-port)
שם משתמש (cs-username)
כתובת ה-IP של הלקוח (c-ip)
גרסת הפרוטוקול (cs-version)
סוכן משתמש (cs(User-Agent))
‫Referer (cs(Referer))
סטטוס הפרוטוקול (sc-status)
סטטוס משנה של פרוטוקול (sc-substatus)
סטטוס Win32 (sc-win32-status)
הזמן שלקח לך (time-taken)

מתי משתמשים בתבנית הזו: כשפורמט ה-downstream מתעד באופן מפורש את cs-version (למשל, HTTP/1.1) וכולל תזמון, ויש גם יציאת לקוח כעמודה ייעודית.

תבנית 5: מודעות ל-TLS/גרסת פרוטוקול עם מפנה (ללא ביצועים)

מפעילים את השדות האלה בדיוק בסדר הזה:

תאריך (תאריך)
זמן (time)
כתובת ה-IP של השרת (s-ip)
שיטה (cs-method)
URI Stem‏ (cs-uri-stem)
שאילתת URI‏ (cs-uri-query)
יציאת הלקוח (c-port)
שם משתמש (cs-username)
כתובת ה-IP של הלקוח (c-ip)
גרסת הפרוטוקול (cs-version)
סוכן משתמש (cs(User-Agent))
‫Referer (cs(Referer))
סטטוס הפרוטוקול (sc-status)
סטטוס משנה של פרוטוקול (sc-substatus)
סטטוס Win32 (sc-win32-status)

מתי משתמשים בתבנית הזו: כמו בתבנית 4, אבל צינור עיבוד הנתונים לא כולל את time-taken.

תבנית 6: עם Cookie ו-Referer (ללא ביצועים, ללא בייטים)

מפעילים את השדות האלה בסדר המדויק הבא:

תאריך (תאריך)
זמן (time)
כתובת ה-IP של השרת (s-ip)
שיטה (cs-method)
URI Stem‏ (cs-uri-stem)
שאילתת URI‏ (cs-uri-query)
יציאת הלקוח (c-port)
שם משתמש (cs-username)
כתובת ה-IP של הלקוח (c-ip)
סוכן משתמש (cs(User-Agent))
קובץ Cookie ‏ (cs(Cookie))
מפנה (cs(Referer))
סטטוס הפרוטוקול (sc-status)
סטטוס משנה של פרוטוקול (sc-substatus)
סטטוס Win32 (sc-win32-status)

מתי משתמשים בתבנית הזו: כשפורמט ה-downstream מצפה שגם Cookie וגם Referer יהיו עמודות ייעודיות.

תבנית 7: מינימלית עם מפנה (ללא קובצי Cookie, ללא ביצועים, ללא בייטים)

מפעילים את השדות האלה בסדר המדויק הבא:

תאריך (תאריך)
זמן (time)
כתובת ה-IP של השרת (s-ip)
שיטה (cs-method)
URI Stem‏ (cs-uri-stem)
שאילתת URI‏ (cs-uri-query)
יציאת הלקוח (c-port)
שם משתמש (cs-username)
כתובת ה-IP של הלקוח (c-ip)
סוכן משתמש (cs(User-Agent))
‫Referer (cs(Referer))
סטטוס הפרוטוקול (sc-status)
סטטוס משנה של פרוטוקול (sc-substatus)
סטטוס Win32 (sc-win32-status)

השתמשו בתבנית הזו כש: הפורמט שלכם במורד הזרם כולל Referer אבל לא כולל Cookie/time/bytes.

תבנית 8: מינימלית בלי מפנה (בלי קובצי Cookie, בלי ביצועים, בלי בייטים)

מפעילים את השדות האלה בסדר המדויק הבא:

תאריך (תאריך)
זמן (time)
כתובת ה-IP של השרת (s-ip)
שיטה (cs-method)
URI Stem‏ (cs-uri-stem)
שאילתת URI‏ (cs-uri-query)
יציאת הלקוח (c-port)
שם משתמש (cs-username)
כתובת ה-IP של הלקוח (c-ip)
סוכן משתמש (cs(User-Agent))
סטטוס הפרוטוקול (sc-status)
סטטוס משנה של פרוטוקול (sc-substatus)
סטטוס Win32 ‏ (sc-win32-status)

משתמשים בדפוס הזה כש: הפורמט במורד הזרם לא כולל את השדה Referer, וצריך רק את ההקשר של בקשת הליבה בתוספת קודי סטטוס.

אל תפעילו שדות מכמה תבניות. המנתח מצפה לאחת מההגדרות המדויקות האלה.

החלת ההגדרות

לוחצים על OK כדי לסגור את תיבת הדו-שיח W3C Logging Fields.
בודקים את הנתיב של הספרייה שבה יירשמו היומנים.
- ברירת מחדל: %SystemDrive%\inetpub\logs\LogFiles
בקטע גלילת קובץ יומן, בוחרים באפשרות יומי (מומלץ להטמעת נתונים ב-Google SecOps).
לוחצים על החלה בחלונית פעולות (בצד שמאל).

אימות הרישום ביומן של IIS

אחרי שמגדירים את השדות של W3C, צריך לוודא ש-IIS כותב את היומנים בצורה נכונה:

כדי ליצור תנועה לצורך בדיקה באתר IIS, פותחים דף אינטרנט בדפדפן.
עוברים לספריית היומנים: C:\inetpub\logs\LogFiles\W3SVC1\
- הערה: W3SVC1 תואם לאתר הראשון (Default Web Site). באתרים אחרים, שם התיקייה יהיה W3SVC2, W3SVC3 וכו'.
פותחים את קובץ היומן האחרון (לדוגמה, u_ex251217.log) בפנקס הרשימות.
מוודאים שהשורה #Fields: מכילה את כל השדות שהפעלתם, בדיוק לפי הסדר של התבנית שבחרתם.

דוגמה לדפוס 3

אם הגדרתם את תבנית 3 (בסיסית עם סטטוס משני, סטטוס Win32 וביצועים עם מפנה), השורה #Fields: צריכה להיות:
```
#Fields: date time s-ip cs-method cs-uri-stem cs-uri-query s-port cs-username c-ip cs(User-Agent) cs(Referer) sc-status sc-substatus sc-win32-status time-taken
```

דוגמה לרשומה ביומן:

2025-12-17 14:23:15 192.168.1.10 GET /index.html - 80 - 203.0.113.45 Mozilla/5.0+(Windows+NT+10.0) https://example.com/previous.html 200 0 0 125

הערות חשובות:

שדות ריקים מיוצגים על ידי מקף (-).
הסדר של השדות צריך להיות זהה לזה של הכותרת #Fields:.
הניתוח ייכשל אם חסרים שדות, אם השדות לא מסודרים או אם הם מגיעים מכמה תבניות.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane בשרת Windows לפי ההוראות הבאות.

התקנה ב-Windows

פותחים את שורת הפקודה או את PowerShell כאדמין.

מריצים את הפקודה הבאה:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות מפורטות במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane להטמעה של יומני IIS ושליחה שלהם ל-Google SecOps

עריכת קובץ התצורה

מאתרים את הקובץ config.yaml.
- נתיב ברירת המחדל: C:\Program Files\observIQ OpenTelemetry Collector\config.yaml
פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, פנקס הרשימות, VS Code או ++Notepad) כמנהלי מערכת.

מחליפים את כל התוכן בהגדרה הבאה:

receivers:
  iis:
    collection_interval: 60s

processors:
  resourcedetection:
    detectors: ["system"]
    system:
      hostname_sources: ["os"]
  normalizesums:
  batch:

exporters:
  chronicle/iis:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    endpoint: chronicle.googleapis.com
    creds: 'C:\SecOps\ingestion-auth.json'
    log_type: 'IIS'
    override_log_type: false
    raw_log_field: body
    customer_id: '<CUSTOMER_ID>'

service:
  pipelines:
    logs/iis:
      receivers:
        - iis
      processors:
        - resourcedetection
        - normalizesums
        - batch
      exporters:
        - chronicle/iis

עדכון ערכי ההגדרות

מחליפים את ה-placeholders הבאים:

‫creds: – הנתיב לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1) (לדוגמה, C:\SecOps\ingestion-auth.json).
‫location: מחליפים את <LOCATION> באזור של מופע Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). ערך זה מתווסף לתחילית chronicle.googleapis.com של הכלי לייצוא. לרשימה המלאה, ראו נקודות קצה אזוריות.
‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
‫endpoint: משאירים את הערך chronicle.googleapis.com.
‫customer_id: – מספר הלקוח בפועל ב-Google SecOps, כפי שמופיע בקטע איך מאתרים את מספר הלקוח ב-Google SecOps.

מייצא API להטמעה מדור קודם

אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds לנתיב לקובץ האימות של ההעברה, ואם המופע שלכם נמצא מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/iis:
    compression: gzip
    endpoint: malachiteingestion-pa.googleapis.com
    creds: 'C:\SecOps\ingestion-auth.json'
    log_type: 'IIS'
    override_log_type: false
    raw_log_field: body
    customer_id: '<CUSTOMER_ID>'
```

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, אפשר להשתמש במסוף Services או להזין את הפקודה הבאה:
```
  net stop observiq-otel-collector && net start observiq-otel-collector
```

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM
`@timestamp`	`metadata.event_timestamp`
`__AntiXsrfToken`	`additional.fields`
`__type`	`additional.fields`
`_raw`	`security_result.description`
`_ResourceId`	`target.resource.product_object_id`
`_time`	`metadata.event_timestamp`
`_timestamp`	`metadata.event_timestamp`
`_version`	`metadata.product_version`
`AccountName`	`additional.fields`
`AccountType`	`principal.user.attribute.roles.name`
`Action`	`security_result.action_details`
`addr`	`additional.fields`
`admin_domain`	`principal.administrative_domain`
`agent.ephemeral_id`	`additional.fields`
`agent.hostname`	`observer.hostname`
`agent.name`	`observer.hostname`
`agent.type`	`observer.application`, `observer.asset.asset_id`
`agent.version`	`additional.fields`
`AgentDevice`	`additional.fields`
`AgentLogFile`	`additional.fields`
`AgentLogFormat`	`additional.fields`
`AgentLogProtocol`	`additional.fields`
`apparmor`	`security_result.action`
`ASP.NET_SessionId`	`network.session_id`
`auid`	`additional.fields`
`AUID`	`additional.fields`
`AuthenticationPackageName`	`additional.fields`
`AzureDeploymentID`	`additional.fields`
`beanFactory.0`	`additional.fields`
`beanFactory.1.shareableResources.0`	`additional.fields`
`BU`	`additional.fields`
`c-ip`	`observer.ip`, `intermediary.ip`
`c_ip`	`observer.ip`, `intermediary.ip`
`CalloutKey`	`security_result.about.resource.attribute.labels`
`CalloutName`	`security_result.about.resource.attribute.labels`
`capability`	`security_result.detection_fields`
`capname`	`security_result.detection_fields`
`Category`	`security_result.category_details`
`change_type`	`additional.fields`
`ChangeType`	`security_result.about.resource.attribute.labels`
`Channel`	`security_result.about.resource.attribute.labels`
`ChannelID`	`security_result.about.resource.attribute.labels`
`chronicle_tag`	`additional.fields`
`class`	`security_result.detection_fields`
`cloud_ray_id`	`additional.fields`
`comm`	`principal.application`
`Computer`	`target.hostname`, `target.asset.hostname`
`computername`	`target.hostname`, `target.asset.hostname`
`Conditions`	`security_result.about.resource.attribute.labels`
`ConfigPath`	`additional.fields`
`Configuration`	`additional.fields`
`Connection_IP`	`target.ip`, `target.asset.ip`
`content_type`	`additional.fields`
`cookie`	`additional.fields`
`count`	`additional.fields`
`cribl_breaker`	`additional.fields`
`cribl_host`	`observer.hostname`
‫`cribl_pipe` (רכיב מערך)	`additional.fields`
`cs`(`Referer`)	`network.http.referral_url`
`cs`(`User-Agent`)	`network.http.user_agent`, `network.http.parsed_user_agent`
`cs-bytes`	`network.received_bytes`
`cs-host`	`additional.fields`
`cs-method`	`network.http.method`
`cs-uri-query`	`target.url`
`cs-uri-stem`	`target.url`
`cs-uri-stem`	`target.url`
‫`cs-username` (חלק הדומיין)	`principal.administrative_domain`
`cs-username` (חלק המשתמש)	`principal.user.userid`
`cs-version`	`network.application_protocol_version`
`cs_bytes`	`network.received_bytes`
`cs_host`	`additional.fields`
`cs_method`	`network.http.method`
`cs_referer`	`network.http.referral_url`
`cs_username`	`principal.user.userid`
`csbyte`	`network.received_bytes`
`csBytes`	`network.received_bytes`
`cshost`	`additional.fields`
`csip`	`principal.ip`, `principal.asset.ip`
`csMethod`	`network.http.method`
`csmethod`	`network.http.method`
`csReferer`	`network.http.referral_url`
`csreferer`	`network.http.referral_url`
`csUriStem`	`target.url`
`csUser-Agent`	`network.http.user_agent`, `network.http.parsed_user_agent`
`csUserAgent`	`network.http.user_agent`, `network.http.parsed_user_agent`
`csuseragent`	`network.http.user_agent`, `network.http.parsed_user_agent`
`csusername`	`principal.user.userid`
`csversion`	`network.application_protocol_version`
`date`	`metadata.event_timestamp`
`DC`	`additional.fields`
`desc`	`metadata.description`
`description`	`security_result.description`
`Domain`	`principal.administrative_domain`
`dst_ip`	`target.ip`, `target.asset.ip`
`dst_ip2`	`target.ip`, `target.asset.ip`
`dst_port`	`target.port`
`duration`	`network.session_duration`, `additional.fields`
`duration`	`network.session_duration.nanos` (if [`duration`] < 1000)
`duration`	`network.session_duration.seconds` (אם [`duration`] > 1000)
`ecs.version`	`additional.fields`
`EnabledFieldsFlags`	`additional.fields`
`error_message`	`security_result.description`
`event.dataset`	`additional.fields`
`event.module`	`additional.fields`
`event_data.dataset`	`additional.fields`
`event_data.module`	`additional.fields`
`EventEnqueuedUtcTime`	`additional.fields`
`EventID`	`metadata.product_log_id`
`EventProcessedUtcTime`	`additional.fields`
`EventReceivedTime`	`metadata.collected_timestamp`
`EventRecordID`	`principal.asset.product_object_id`
`EventTime`	`metadata.event_timestamp`
`EventType`	`metadata.product_event_type`
`exe`	`principal.file.full_path`
`ExecutionProcessID`	`principal.process.pid`
`ExecutionThreadID`	`principal.process.product_specific_process_id`
`facility`	`additional.fields`
`FileOffset`	`additional.fields`
`fileset.name`	`additional.fields`
`FileUri`	`observer.file.full_path`
`filter_action`	`security_result.action`
`filter_type`	`additional.fields`
`FilterId`	`security_result.about.resource.attribute.labels`
`FilterKey`	`security_result.about.resource.attribute.labels`
`FilterName`	`security_result.about.resource.attribute.labels`
`FilterType`	`security_result.about.resource.attribute.labels`
`first_seen`	`additional.fields`
`Flags`	`additional.fields`
`For login events`	`extensions.auth.type` (= "מכונה")
`ftp_command`	`network.ftp.command`
`host`	`target.hostname`, `target.asset.hostname`
`host.architecture`	`target.asset.hardware.cpu_platform`
`host.geo.name`	`additional.fields`
`host.id`	`target.asset.asset_id`
`host.ip`	`target.ip`, `target.asset.ip`
`host.mac`	`target.mac`, `target.asset.mac`
`host.os.build`	`target.platform_patch_level`
`host.os.family`	`additional.fields`
`host.os.kernel`	`additional.fields`
`host.os.name`	`target.platform_version`
`host.os.platform`	`target.platform`
`host.os.type`	`additional.fields`
`host.os.version`	`target.platform_version`
`host_hostname`	`target.hostname`, `target.asset.hostname`
`host_name`	`target.hostname`, `target.asset.hostname`
`Hostname`	`target.hostname`, `target.asset.hostname`
`hostname`	`target.hostname`, `target.asset.hostname`
`HTTP`	`network.application_protocol`
`http_method`	`network.http.method`
`http_response`	`network.http.response_code`
`http_status_code`	`network.http.response_code`
`HTTPS`	`network.application_protocol`
`IIS_source`	`principal.resource.attribute.labels`
`ImpersonationLevel`	`additional.fields`
`input.type`	`additional.fields`
`instance`	`additional.fields`
`Internet Information Server`	`metadata.product_name`
`IpAddress`	‫`principal.ip`,‏ `principal.asset.ip`,‏ `observer.ip`
`IpPort`	`principal.port`
`jndi_java_class`	`additional.fields`
`jndi_payload`	`additional.fields`
`jndiName`	`additional.fields`
`KeyLength`	`additional.fields`
`Keywords`	`additional.fields`
`last_seen`	`additional.fields`
`LayerId`	`security_result.about.resource.attribute.labels`
`LayerKey`	`security_result.about.resource.attribute.labels`
`LayerName`	`security_result.about.resource.attribute.labels`
`Level`	`security_result.severity` (INFORMATIONAL, ERROR, MEDIUM, LOW)
`LevelValue`	`security_result.about.resource.attribute.labels`
`LmPackageName`	`additional.fields`
`log.file.path`	`observer.file.full_path`
`log.offset`	`metadata.product_log_id`
`loginTimeout`	`additional.fields`
`LogonGuid`	`security_result.about.resource.attribute.labels`
`LogonProcessName`	`additional.fields`
`LogonType`	`extensions.auth.auth_details`
`logstash.collect.host`	`observer.hostname`
`logstash.collect.timestamp`	`metadata.collected_timestamp`
`logstash.ingest.timestamp`	`additional.fields`
`logstash.irm_environment`	`additional.fields`
`logstash.irm_region`	`additional.fields`
`logstash.irm_site`	`additional.fields`
`logstash.process.host`	`intermediary.hostname`
`logstash.process.timestamp`	`additional.fields`
`ManagementGroupName`	`additional.fields`
`message_data`	`security_result.description`
`MethodName`	`additional.fields`
`MG`	`additional.fields`
`Microsoft`	`metadata.vendor_name`
`ministry`	`additional.fields`
`misc`	`security_result.summary`
`msg`	`security_result.description`
`network_direction`	‫`network.direction` (נסיעות יוצאות או נסיעות נכנסות)
`NewValue`	`additional.fields`
`node`	`principal.hostname`, `principal.asset.hostname`
`ObjectInstance.__type`	`additional.fields`
`ObjectInstance.StartInfo.__type`	`additional.fields`
`ObjectInstance.StartInfo.Arguments`	`additional.fields`
`ObjectInstance.StartInfo.FileName`	`additional.fields`
`obs_app`	`observer.application`
`obs_host`	`observer.ip`
`obs_pid`	`observer.process.pid`
`OldValue`	`additional.fields`
`Opcode`	`additional.fields`
`OpcodeValue`	`additional.fields`
`operation`	`security_result.detection_fields`
`OS_Platform`	`additional.fields`
`OS_Release`	`additional.fields`
`OS_Timezone`	`additional.fields`
`OS_type`	`target.platform`
`OS_Version_ID`	`additional.fields`
`OutlookSession`	`additional.fields`
`PartitionId`	`additional.fields`
`PhysicalPath`	`target.file.full_path`
`pid`	`principal.process.pid`
`PluginVersion`	`additional.fields`
`prin_ip`	`observer.ip`
`prin_ip`	`principal.ip`, `principal.asset.ip`
`principal_ip` (מותנה)	`intermediary.ip`
`principal_ip` (conditionally)	`observer.ip`
`principal_or_intermediary_ip`	`intermediary.ip`
`priority`	`additional.fields`
`process_file`	`target.process.file.full_path`
`process_id`	`additional.fields`
`ProcessID`	`principal.process.pid`
`ProcessName`	`principal.process.file.full_path`
`profile`	`security_result.detection_fields`
`propertyPath`	`additional.fields`
`ProviderGuid`	`security_result.about.resource.attribute.labels`
`ProviderKey`	`security_result.about.resource.attribute.labels`
`ProviderName`	`security_result.about.resource.attribute.labels`
`RecordNumber`	`additional.fields`
`request_url`	`target.url`
`res`	`security_result.action`
`res`	‫`security_result.action` (ALLOW אם התוצאה היא 'success')
`response_content`	`additional.fields`
`Role`	`additional.fields`
`RoleInstance`	`additional.fields`
`s-computername`	`target.hostname`, `target.asset.hostname`
`s-ip`	`target.ip`, `target.asset.ip`
`s-port`	`target.port`
`s-sitename`	`target.application`
`s_sitename`	`target.application`
`sComputerName`	`target.hostname`, `target.asset.hostname`
`scope_id`	`additional.fields`
`sc-bytes`	`network.sent_bytes`
`sc-status`	`network.http.response_code`
`sc-substatus`	`additional.fields`
`sc-win32-status`	`additional.fields`
`sc_bytes`	`network.sent_bytes`
`sc_substatus`	`additional.fields`
`sc_win32_status`	`additional.fields`
`scbyte`	`network.sent_bytes`
`scBytes`	`network.sent_bytes`
`scStatus`	`network.http.response_code`
`scstatus`	`network.http.response_code`
`sec_desc`	`security_result.description`
`service.type`	`additional.fields`
`ses`	`network.session_id`
`Severity`	`security_result.severity` (INFORMATIONAL, ERROR, MEDIUM, LOW)
`severity`	`security_result.severity` (INFORMATIONAL, ERROR, MEDIUM, LOW)
`SeverityValue`	`security_result.about.resource.attribute.labels`
`site`	`additional.fields`
`sitename`	`target.application`
`source`	`observer.file.full_path`
`SourceModuleName`	`observer.resource.name`
`SourceModuleType`	`observer.application`
`SourceName`	`additional.fields`
`SourceSystem`	`observer.application`
`src_host` (אם `Hostname`)	`principal.hostname`, `principal.asset.hostname`
`src_ip`	`observer.ip`, `intermediary.ip`
`src_port`	`principal.port`
`sSiteName`	`target.application`
`StorageAccount`	`additional.fields`
`streamid`	`additional.fields`
`SubFleetName`	`additional.fields`
`subj`	`principal.resource.attribute.labels`
`SubjectDomainName`	`principal.administrative_domain`
`SubjectLogonId`	`principal.resource.attribute.labels`
`SubjectUserName`	`principal.user.userid`
`SubjectUserSid`	`principal.user.windows_sid`
`syslog_facility`	`security_result.detection_fields`
`syslog_facility_code`	`security_result.detection_fields`
`syslog_pri`	`security_result.priority_details`
`syslog_severity`	`security_result.severity_details`
`syslog_severity_code`	`security_result.detection_fields`
`SyslogFacility`	`security_result.about.resource.attribute.labels`
`SyslogFacilityValue`	`security_result.about.resource.attribute.labels`
`SyslogSeverity`	`security_result.about.resource.attribute.labels`
`SyslogSeverityValue`	`security_result.about.resource.attribute.labels`
`system`	`target.platform`
‫`tags` (רכיבי מערך)	`additional.fields`
`target_host`	`target.hostname`, `target.asset.hostname`
`targetBeanName`	`additional.fields`
`TargetDomainName`	`target.administrative_domain`
`TargetLogonId`	`target.resource.attribute.labels`
`TargetUserName`	`target.user.userid`
`TargetUserSid`	`target.user.windows_sid`
`task`	`additional.fields`
`TaskValue`	`additional.fields`
`TenantId`	`additional.fields`
`ThreadID`	`additional.fields`
`time`	`metadata.event_timestamp`
`time-taken`	`additional.fields`
`time-taken`	`network.session_duration`
`time_taken`	`additional.fields`
`time_taken`	`network.session_duration`
`TimeGenerated`	`security_result.about.resource.attribute.labels`
`timestamp`	`metadata.event_timestamp`
`total_CPU`	`target_hardware.cpu_number_cores`
`total_memory`	`additional.fields`
`transletBytecodes.0`	`additional.fields`
`transletName`	`additional.fields`
`TransmittedServices`	`additional.fields`
`Type`	`additional.fields`
`type`	`metadata.product_event_type`
`UID`	`principal.user.user_display_name`
`uid`	`principal.user.userid`
`unit`	`target.application`
`uristem`	`target.url`
`user_agent`	`network.http.user_agent`, `network.http.parsed_user_agent`
‫`user_agent` (אם ניתוח ה-JSON נכשל)	`additional.fields`
`UserID`	`principal.user.windows_sid`
`UserName`	`target.user.userid`
`UserSid`	`principal.user.windows_sid`
`Version`	`metadata.product_version`
`version`	`metadata.product_version`
`Weight`	`security_result.about.resource.attribute.labels`
`WorkstationName`	`additional.fields`
`X-BackEndCookie`	`additional.fields`
`xff_ip`	`principal.ip`, `principal.asset.ip`
`xforwardedfor`	`principal.ip`, `principal.asset.ip` (לכתובת ה-IP הראשונה), `intermediary.ip` (לשאר כתובות ה-IP)

הפניה לדלתא של מיפוי UDM

ב-16 ביולי 2026, Google SecOps השיקה גרסה חדשה של המנתח של Microsoft Internet Information Services ‏ (IIS), שכוללת שינויים משמעותיים במיפוי של שדות ביומן של Microsoft Internet Information Services לשדות UDM.

בטבלה הבאה מפורטים השינויים במיפוי של שדות היומן של Microsoft Internet Information Services ל-UDM, שנחשפו לפני 16 ביולי 2026 ואחרי התאריך הזה (מופיעים בעמודות מיפוי ישן ומיפוי נוכחי בהתאמה):

שדה ביומן	מיפוי ישן	המיפוי הנוכחי
`AccountType`	`principal.user.role_name`	`principal.user.attribute.roles[].name`
`Action`	`security_result.about.resource.attribute.labels`	`securtiy_result.action_details`
`agent.type`	`principal.application`	`observer.application`
`agent.type + host_id`	`observer.asset_id`	‫`target.asset.asset_id => host_id: %{host_id}`, `observer.asset.asset_id => agent.type + agent.id` , (במיפוי הישן, שדות היומן `agent.type` ו-`host_id` מוזגו ומופו ל-`observer.assetid`. במיפוי הנוכחי, `host_id` ממופה אל `target.asset.asset_id` ו-`agent.type` ממופה אל `observer.asset.asset_id`.)
`app_name`	`principal.application`	`target.hostname`
`c_ip`	`principal.ip`, `principal.asset.ip`	אם xff_ip קיים: `intermediary.ip`
`comm`	`target.process.command_line`	`principal.application`
`cookie`		`additional.fields`
`cribl_breaker`	`target.resource.attribute.labels`	`additional.fields`
`cs`(`User-Agent`)	`network.http.user_agent`	הניתוח כולל עכשיו בדיקה מותנית כדי למנוע מיפוי של ערכים מסוג '-', וכך מסיר מיפוי של `network.http.user_agent` כש-`cs`(`User-Agent`) מכיל רק '-'.
`cs-uri-query`	שדות הנתונים חולצו ממנו ומופו בנפרד.	משורשר עם `cs-uri-stem` וממופה אל `target.url`. הסרנו מיפויים שחולצו בנפרד כדי לשמור על המשמעות המלאה של נתוני כתובות ה-URL.
`cs-version`	`network.tls.version`	`network.application_protocol`, `network.application_protocol_version`
`cs_version`	`network.tls.version`	`network.application_protocol`, `network.application_protocol_version`
`csversion`	`network.tls.version`	`network.application_protocol`, `network.application_protocol_version`
`Domain`	`principal.user.userid`	`principal.administrative_domain`
`ecs.version`	`principal.asset.attribute.labels`	`additional.fields`
`ftp_command`	`principal.application`	`network.ftp.command`
`host`	`principal.hostname`, `principal.asset.hostname`	‫`target.hostname`, `target.asset.hostname`, `observer.hostname` (שרת האינטרנט המטורגט בהיעדר שדה שקשור לשם המחשב. אחרת, השדה משמש כמזהה של המכונה שצופה.)
`host.architecture`	`principal.asset.hardware.cpu_platform`	`target.asset.hardware.cpu_platform`
`host.mac`	`principal.mac`	`target.mac`
`host.os.build`	`additional.fields`	`target.platform_patch_level`
`host.os.kernel`	`principal.platform_patch_level`	`additional.fields`
`host.os.platform`	`principal.platform`	`target.platform`
`intermediary_device_name`	‫`intermediary.hostname`, `observer.hostname` (במיפוי הישן, נתוני השרת נלקחו על ידי מנתח התוכן כשני שדות. עכשיו המנתח מקבל שדה אחד וממפה נתונים שקשורים לשרת לפרטי היעד הרלוונטיים.)	`target.hostname`
`log.file.path`	`target.file.full_path`	`observer.file.full_path`
`LogonType`	`additional.fields`	`extensions.auth.auth_details`
`name`	`target.resource.name`, `additional.fields` (במיפוי הישן, הערך `name` חולץ מתבנית ומופה באופן שגוי).	`target.application`
`observer_devicename`	`intermediary.hostname`, `observer.hostname` (במיפוי הישן, המנתח חילץ את `observer_devicename` מתבנית ומיפה באופן שגוי את הנתונים שקשורים לשרת כשני שדות. עכשיו המנתח מקבל שדה אחד וממפה נתונים שקשורים לשרת לפרטי היעד הרלוונטיים.)	`target.hostname`
`OS_type`	`principal.asset.platform_software.platform`	`target.platform`
`s-sitename`	`target.resource.name`, `additional.fields`	`target.application`
‫`s_port` (חולץ מדפוסים מעודכנים)	`principal.port`	`target.port`
`s_sitename`	`target.resource.name`, `additional.fields`	`target.application`
`sitename`	`target.resource.name`, `additional.fields`	`target.application`
`source`	`principal.resource.attribute.labels`	`observer.file.full_path`
`SourceName`	`security_result.about.resource.attribute.labels`	`additional.fields`
`SourceSystem`	`security_result.detection_fields`	`observer.application`
`sSiteName`	`target.resource.name`, `additional.fields`	`target.application`
`SubjectUserName`	`principal.user.userid`, `principal.hostname`	`principal.user.userid`
`tags`	`security_result.rule_name`	`additional.fields`
`UID`	`target.user.userid`	`principal.user.user_display_name`
`UserSid`	`target.user.windows_sid`	`principal.user.windows_sid`
`xforwardedfor`	`principal.ip`, `target.ip`, `intermediary.ip` (במקרים שונים)	`principal.ip` (כתובת ה-IP הראשונה), `intermediary.ip` (כל שאר כתובות ה-IP)
פרטי יומן IIS שמופיעים ב-`_raw` או ב-`message`	`security_result.description`	הוא מוסר אם הפורמט מנותח על ידי המסנן הפנימי.
שורות ביומן של בקשות ותגובות של שרת אינטרנט מ-IIS שמפרטות את עסקת ה-HTTP, כלומר בקשת GET שמובילה להפניה אוטומטית, ולא לתוצאה של אימות.	`metadata.event_type = USER_LOGIN`	`metadata.event_type = NETWORK_HTTP`
לא רלוונטי	`network.http.parsed_user_agent` (במיפוי הישן, המנתח מיפה באופן שגוי שדה ביומן לסוכן המשתמש. במיפוי הנוכחי, מנתח התוכן ממפה בצורה נכונה שדה מתאים ל-`network.http.parsed_user_agent`.)
לא רלוונטי	`principal.port`	`network.http.response_code` (במיפוי הישן, המיפוי היה לא תקין. במיפוי הנוכחי, המנתח ממפה כראוי שדה מתאים ל-`network.http.response_code`.)

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.