Microsoft IIS のログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane エージェントを使用して Microsoft Internet Information Services（IIS）ログを Google Security Operations に取り込む方法について説明します。

始める前に

次の前提条件を満たしていることを確認してください。

• Google SecOps インスタンス
• IIS がインストールされた Windows Server 2016 以降
• IIS サーバーに対する管理者権限
• プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。

Google SecOps の取り込み認証ファイルを取得する

1. Google SecOps コンソールにログインします。
2. [SIEM Settings] > [Collection Agents] に移動します。
3. 取り込み認証ファイル をダウンロードします。
4. Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。例: C:\SecOps\ingestion-auth.json。

Google SecOps のお客様 ID を取得する

1. Google SecOps コンソールにログインします。
2. [SIEM 設定] > [プロファイル] に移動します。
3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

IIS W3C 拡張ロギングを構成する

Google SecOps がログを正しく解析し、検出が確実に機能するように、IIS マネージャーで正しい W3C フィールドを有効にする必要があります。

IIS マネージャーを開く

1. [開始] をクリックします。
2. 「inetmgr」と入力して Enter キーを押します。
3. [インターネット インフォメーション サービス（IIS）マネージャー] ウィンドウが開きます。

別の方法:

1. Windows キー + R キーを押します。
2. 「inetmgr」と入力して Enter キーを押します。

ロギングの構成に移動する

1. [接続] ペイン（左側）で、サーバー名を開きます。
2. サーバー全体のロギングを構成するには（推奨）:
   • ルートレベルでサーバー名をクリックします。
3. サイト固有のロギングを構成するには:
   • [サイト] を展開し、特定のサイト（[Default Web Site] など）をクリックします。
4. [Features View]（中央のペイン）で、[Logging] をダブルクリックします。

[W3C 拡張ログ形式] を選択します。

1. [Logging] ページの [Log File] セクションで、次の操作を行います。
   • [形式] プルダウン リストで、[W3C] を選択します。
2. [フィールドを選択] ボタンをクリックします。

W3C ロギング フィールドを構成する

重要: Google SecOps IIS パーサーは、8 つのフィールド構成をサポートしています。パターンの 1 つからすべてのフィールドを有効にする必要があります。異なるフィールドを有効にしたり、パターンを混在させたりすると、解析が失敗します。

[W3C Logging Fields] ダイアログで、次のいずれかのパターンに従ってフィールドを選択します。ONE

パターン 1: クエリ文字列とバイトを含むサイト全体のコンテキスト

次のフィールドをこの順序で有効にします。

• 日付（日付）
• 時間（時間）
• サービス名（s-sitename）
• サーバーの IP アドレス（s-ip）
• メソッド（cs-method）
• URI ステム（cs-uri-stem）
• URI クエリ（cs-uri-query）
• サーバー ポート（s-port）
• ユーザー名（cs-username）
• クライアント IP アドレス（c-ip）
• ユーザー エージェント（cs(User-Agent)）
• リファラー（cs(Referer)）
• プロトコルのステータス（sc-status）
• 送信バイト数（sc-bytes）
• 受信バイト数（cs-bytes）

このパターンは、次のような場合に使用します。ダウンストリーム形式にサイト コンテキストとクエリ文字列が含まれており、送信/受信バイト数が必要で、パイプラインが「username」列と「referer」列を想定している（値が - の場合でも）。

パターン 2: 基本（サブステータス、Win32 ステータス、パフォーマンスあり、リファラーなし）

次のフィールドをこの順序で有効にします。

• 日付（日付）
• 時間（時間）
• サーバーの IP アドレス（s-ip）
• メソッド（cs-method）
• URI ステム（cs-uri-stem）
• URI クエリ（cs-uri-query）
• サーバー ポート（s-port）
• ユーザー名（cs-username）
• クライアント IP アドレス（c-ip）
• ユーザー エージェント（cs(User-Agent)）
• プロトコルのステータス（sc-status）
• プロトコルのサブステータス（sc-substatus）
• Win32 ステータス（sc-win32-status）
• Time Taken（time-taken）

このパターンは次の場合に使用します。パイプラインに Referer は含まれていないが、詳細なエラーコードとレイテンシ（time-taken）が必要な場合。

パターン 3: 基本（サブステータス、Win32 ステータス、パフォーマンス（リファラー付き））

次のフィールドをこの順序で有効にします。

• 日付（日付）
• 時間（時間）
• サーバーの IP アドレス（s-ip）
• メソッド（cs-method）
• URI ステム（cs-uri-stem）
• URI クエリ（cs-uri-query）
• サーバー ポート（s-port）
• ユーザー名（cs-username）
• クライアント IP アドレス（c-ip）
• ユーザー エージェント（cs(User-Agent)）
• リファラー（cs(Referer)）
• プロトコルのステータス（sc-status）
• プロトコルのサブステータス（sc-substatus）
• Win32 ステータス（sc-win32-status）
• Time Taken（time-taken）

このパターンを使用する場合: パターン 2 と同じですが、パイプラインに専用の列としてリファラーが含まれています。

パターン 4: TLS/プロトコル バージョンを認識し、リファラーとパフォーマンスを考慮する

次のフィールドをこの順序で有効にします。

• 日付（日付）
• 時間（時間）
• サーバーの IP アドレス（s-ip）
• メソッド（cs-method）
• URI ステム（cs-uri-stem）
• URI クエリ（cs-uri-query）
• クライアント ポート（c-port）
• ユーザー名（cs-username）
• クライアント IP アドレス（c-ip）
• プロトコル バージョン（cs-version）
• ユーザー エージェント（cs(User-Agent)）
• リファラー（cs(Referer)）
• プロトコルのステータス（sc-status）
• プロトコルのサブステータス（sc-substatus）
• Win32 ステータス（sc-win32-status）
• Time Taken（time-taken）

このパターンは、次の場合に使用します。ダウンストリーム形式で cs-version（HTTP/1.1 など）が明示的にログに記録され、タイミングが含まれており、クライアント ポートが専用の列として存在する場合。

パターン 5: TLS/プロトコル バージョンを認識するリファラー（パフォーマンスなし）

次のフィールドをこの順序で有効にします。

• 日付（日付）
• 時間（時間）
• サーバーの IP アドレス（s-ip）
• メソッド（cs-method）
• URI ステム（cs-uri-stem）
• URI クエリ（cs-uri-query）
• クライアント ポート（c-port）
• ユーザー名（cs-username）
• クライアント IP アドレス（c-ip）
• プロトコル バージョン（cs-version）
• ユーザー エージェント（cs(User-Agent)）
• リファラー（cs(Referer)）
• プロトコルのステータス（sc-status）
• プロトコルのサブステータス（sc-substatus）
• Win32 ステータス（sc-win32-status）

このパターンは次の場合に使用します。パターン 4 と同じですが、パイプラインに time-taken が含まれていません。

パターン 6: Cookie とリファラーあり（パフォーマンスなし、バイト数なし）

次のフィールドをこの順序で有効にします。

• 日付（日付）
• 時間（時間）
• サーバーの IP アドレス（s-ip）
• メソッド（cs-method）
• URI ステム（cs-uri-stem）
• URI クエリ（cs-uri-query）
• クライアント ポート（c-port）
• ユーザー名（cs-username）
• クライアント IP アドレス（c-ip）
• ユーザー エージェント（cs(User-Agent)）
• Cookie（cs（Cookie））
• リファラー（cs(Referer)）
• プロトコルのステータス（sc-status）
• プロトコルのサブステータス（sc-substatus）
• Win32 ステータス（sc-win32-status）

このパターンは、ダウンストリーム形式で Cookie とリファラーの両方が専用の列として必要とされる場合に使用します。

パターン 7: リファラーのみ（Cookie なし、パフォーマンスなし、バイト数なし）

次のフィールドをこの順序で有効にします。

• 日付（日付）
• 時間（時間）
• サーバーの IP アドレス（s-ip）
• メソッド（cs-method）
• URI ステム（cs-uri-stem）
• URI クエリ（cs-uri-query）
• クライアント ポート（c-port）
• ユーザー名（cs-username）
• クライアント IP アドレス（c-ip）
• ユーザー エージェント（cs(User-Agent)）
• リファラー（cs(Referer)）
• プロトコルのステータス（sc-status）
• プロトコルのサブステータス（sc-substatus）
• Win32 ステータス（sc-win32-status）

このパターンを使用する場合: ダウンストリーム形式に Referer が含まれているが、Cookie、時間、バイト数が含まれていない。

パターン 8: リファラーなしの最小限（Cookie なし、パフォーマンスなし、バイトなし）

次のフィールドをこの順序で有効にします。

• 日付（日付）
• 時間（時間）
• サーバーの IP アドレス（s-ip）
• メソッド（cs-method）
• URI ステム（cs-uri-stem）
• URI クエリ（cs-uri-query）
• クライアント ポート（c-port）
• ユーザー名（cs-username）
• クライアント IP アドレス（c-ip）
• ユーザー エージェント（cs(User-Agent)）
• プロトコルのステータス（sc-status）
• プロトコルのサブステータス（sc-substatus）
• Win32 ステータス（sc-win32-status）

このパターンを使用する場合: ダウンストリーム形式に Referer が含まれておらず、コア リクエスト コンテキストとステータス コードのみが必要な場合。

複数のパターンからフィールドを有効にしないでください。パーサーは、これらの構成のいずれかを想定しています。

構成を適用

1. [OK] をクリックして、[W3C Logging Fields] ダイアログを閉じます。
2. ログが書き込まれる [Directory] パスを確認します。
   • デフォルト: %SystemDrive%\inetpub\logs\LogFiles
3. [ログファイルのロールオーバー] で、[毎日] を選択します（Google SecOps 取り込みにおすすめ）。
4. [アクション] ペイン（右側）で [適用] をクリックします。

IIS ロギングを確認する

W3C フィールドを構成したら、IIS がログを正しく書き込んでいることを確認します。

1. ブラウザでウェブページを開いて、IIS サイトへのテスト トラフィックを生成します。
2. ログ ディレクトリに移動します。C:\inetpub\logs\LogFiles\W3SVC1\
   • 注: W3SVC1 は最初のサイト（デフォルトのウェブサイト）に対応します。他のサイトの場合、フォルダ名は W3SVC2、W3SVC3 などになります。
3. メモ帳で最新のログファイル（u_ex251217.log など）を開きます。
4. #Fields: 行に、選択したパターンと同じ順序で有効にしたすべてのフィールドが含まれていることを確認します。

パターン 3 の例

• パターン 3（サブステータス、Win32 ステータス、リファラー付きパフォーマンスを含む基本）を構成した場合、#Fields: 行は次のようになります。

  #Fields: date time s-ip cs-method cs-uri-stem cs-uri-query s-port cs-username c-ip cs(User-Agent) cs(Referer) sc-status sc-substatus sc-win32-status time-taken
  

• ログエントリの例:

  2025-12-17 14:23:15 192.168.1.10 GET /index.html - 80 - 203.0.113.45 Mozilla/5.0+(Windows+NT+10.0) https://example.com/previous.html 200 0 0 125
  

注意事項:

• 空のフィールドはハイフン（-）で表されます。
• フィールドの順序は #Fields: ヘッダーと完全に一致している必要があります。
• フィールドが欠落している場合、順序が変更されている場合、複数のパターンにまたがっている場合、パーサーは失敗します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows サーバーに Bindplane エージェントをインストールします。

Windows のインストール

1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

2. 次のコマンドを実行します。

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

その他のインストール リソース

その他のインストール オプションについては、Bindplane エージェントのインストール ガイドをご覧ください。

IIS ログを取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを編集します。

1. config.yaml ファイルを見つけます。
   • デフォルトのパス: C:\Program Files\observIQ OpenTelemetry Collector\config.yaml
2. テキスト エディタ（メモ帳、VS Code、メモ帳++ など）を使用して、管理者としてファイルを開きます。

3. 内容全体を次の構成に置き換えます。

   receivers:
     iis:
       collection_interval: 60s
   
   processors:
     resourcedetection:
       detectors: ["system"]
       system:
         hostname_sources: ["os"]
     normalizesums:
     batch:
   
   exporters:
     chronicle/iis:
       endpoint: malachiteingestion-pa.googleapis.com
       creds: 'C:\SecOps\ingestion-auth.json'
       log_type: 'IIS'
       override_log_type: false
       raw_log_field: body
       customer_id: '<CUSTOMER_ID>'
       compression: gzip
   
   service:
     pipelines:
       logs/iis:
         receivers:
           - iis
         processors:
           - resourcedetection
           - normalizesums
           - batch
         exporters:
           - chronicle/iis
   

構成値を更新する

各プレースホルダを次のように置き換えます。

• creds: - 取り込み認証ファイルのパス（例: C:\SecOps\ingestion-auth.json）。
• endpoint: - リージョン エンドポイント。
• customer_id: - Google SecOps のお客様 ID を取得するセクションで取得した実際の Google SecOps のお客様 ID。

注: リージョン エンドポイントの完全なリストについては、リージョン エンドポイントのドキュメントをご覧ください。

Bindplane エージェントを再起動して変更を適用する

• Windows で Bindplane エージェントを再起動するには、サービス コンソールを使用するか、次のコマンドを入力します。

    net stop observiq-otel-collector && net start observiq-otel-collector
  

UDM マッピング テーブル

ログフィールド	UDM マッピング
@timestamp	metadata.event_timestamp
__AntiXsrfToken	additional.fields
__type	additional.fields
_raw	security_result.description
_ResourceId	target.resource.product_object_id
_time	metadata.event_timestamp
_timestamp	metadata.event_timestamp
_version	metadata.product_version
AccountName	additional.fields
AccountType	principal.user.attribute.roles.name
Action	security_result.action_details
addr	additional.fields
admin_domain	principal.administrative_domain
agent.ephemeral_id	additional.fields
agent.hostname	observer.hostname
agent.name	observer.hostname
agent.type	observer.application、 observer.asset.asset_id
agent.version	additional.fields
AgentDevice	additional.fields
AgentLogFile	additional.fields
AgentLogFormat	additional.fields
AgentLogProtocol	additional.fields
apparmor	security_result.action
ASP.NET_SessionId	network.session_id
auid	additional.fields
AUID	additional.fields
AuthenticationPackageName	additional.fields
AzureDeploymentID	additional.fields
beanFactory.0	additional.fields
beanFactory.1.shareableResources.0	additional.fields
BU	additional.fields
c-ip	observer.ip、 intermediary.ip
c_ip	observer.ip、 intermediary.ip
CalloutKey	security_result.about.resource.attribute.labels
CalloutName	security_result.about.resource.attribute.labels
capability	security_result.detection_fields
capname	security_result.detection_fields
Category	security_result.category_details
change_type	additional.fields
ChangeType	security_result.about.resource.attribute.labels
Channel	security_result.about.resource.attribute.labels
ChannelID	security_result.about.resource.attribute.labels
chronicle_tag	additional.fields
class	security_result.detection_fields
cloud_ray_id	additional.fields
comm	principal.application
Computer	target.hostname、 target.asset.hostname
computername	target.hostname、 target.asset.hostname
Conditions	security_result.about.resource.attribute.labels
ConfigPath	additional.fields
Configuration	additional.fields
Connection_IP	target.ip、 target.asset.ip
content_type	additional.fields
cookie	additional.fields
count	additional.fields
cribl_breaker	additional.fields
cribl_host	observer.hostname
cribl_pipe（配列要素）	additional.fields
cs(Referer)	network.http.referral_url
cs(User-Agent)	network.http.user_agent、 network.http.parsed_user_agent
cs-bytes	network.received_bytes
cs-host	additional.fields
cs-method	network.http.method
cs-uri-query	target.url
cs-uri-stem	target.url
cs-uri-stem	target.url
cs-username（ドメイン部分）	principal.administrative_domain
cs-username（ユーザー部分）	principal.user.userid
cs-version	network.application_protocol_version
cs_bytes	network.received_bytes
cs_host	additional.fields
cs_method	network.http.method
cs_referer	network.http.referral_url
cs_username	principal.user.userid
csbyte	network.received_bytes
csBytes	network.received_bytes
cshost	additional.fields
csip	principal.ip、 principal.asset.ip
csMethod	network.http.method
csmethod	network.http.method
csReferer	network.http.referral_url
csreferer	network.http.referral_url
csUriStem	target.url
csUser-Agent	network.http.user_agent、 network.http.parsed_user_agent
csUserAgent	network.http.user_agent、 network.http.parsed_user_agent
csuseragent	network.http.user_agent、 network.http.parsed_user_agent
csusername	principal.user.userid
csversion	network.application_protocol_version
date	metadata.event_timestamp
DC	additional.fields
desc	metadata.description
description	security_result.description
Domain	principal.administrative_domain
dst_ip	target.ip、 target.asset.ip
dst_ip2	target.ip、 target.asset.ip
dst_port	target.port
duration	network.session_duration、 additional.fields
duration	network.session_duration.nanos（[duration] < 1,000 の場合）
duration	network.session_duration.seconds（[duration] > 1000 の場合）
ecs.version	additional.fields
EnabledFieldsFlags	additional.fields
error_message	security_result.description
event.dataset	additional.fields
event.module	additional.fields
event_data.dataset	additional.fields
event_data.module	additional.fields
EventEnqueuedUtcTime	additional.fields
EventID	metadata.product_log_id
EventProcessedUtcTime	additional.fields
EventReceivedTime	metadata.collected_timestamp
EventRecordID	principal.asset.product_object_id
EventTime	metadata.event_timestamp
EventType	metadata.product_event_type
exe	principal.file.full_path
ExecutionProcessID	principal.process.pid
ExecutionThreadID	principal.process.product_specific_process_id
facility	additional.fields
FileOffset	additional.fields
fileset.name	additional.fields
FileUri	observer.file.full_path
filter_action	security_result.action
filter_type	additional.fields
FilterId	security_result.about.resource.attribute.labels
FilterKey	security_result.about.resource.attribute.labels
FilterName	security_result.about.resource.attribute.labels
FilterType	security_result.about.resource.attribute.labels
first_seen	additional.fields
Flags	additional.fields
For login events	extensions.auth.type（= "MACHINE"）
ftp_command	network.ftp.command
host	target.hostname、 target.asset.hostname
host.architecture	target.asset.hardware.cpu_platform
host.geo.name	additional.fields
host.id	target.asset.asset_id
host.ip	target.ip、 target.asset.ip
host.mac	target.mac、 target.asset.mac
host.os.build	target.platform_patch_level
host.os.family	additional.fields
host.os.kernel	additional.fields
host.os.name	target.platform_version
host.os.platform	target.platform
host.os.type	additional.fields
host.os.version	target.platform_version
host_hostname	target.hostname、 target.asset.hostname
host_name	target.hostname、 target.asset.hostname
Hostname	target.hostname、 target.asset.hostname
hostname	target.hostname、 target.asset.hostname
HTTP	network.application_protocol
http_method	network.http.method
http_response	network.http.response_code
http_status_code	network.http.response_code
HTTPS	network.application_protocol
IIS_source	principal.resource.attribute.labels
ImpersonationLevel	additional.fields
input.type	additional.fields
instance	additional.fields
Internet Information Server	metadata.product_name
IpAddress	principal.ip、 principal.asset.ip、 observer.ip
IpPort	principal.port
jndi_java_class	additional.fields
jndi_payload	additional.fields
jndiName	additional.fields
KeyLength	additional.fields
Keywords	additional.fields
last_seen	additional.fields
LayerId	security_result.about.resource.attribute.labels
LayerKey	security_result.about.resource.attribute.labels
LayerName	security_result.about.resource.attribute.labels
Level	security_result.severity（INFORMATIONAL、ERROR、MEDIUM、LOW）
LevelValue	security_result.about.resource.attribute.labels
LmPackageName	additional.fields
log.file.path	observer.file.full_path
log.offset	metadata.product_log_id
loginTimeout	additional.fields
LogonGuid	security_result.about.resource.attribute.labels
LogonProcessName	additional.fields
LogonType	extensions.auth.auth_details
logstash.collect.host	observer.hostname
logstash.collect.timestamp	metadata.collected_timestamp
logstash.ingest.timestamp	additional.fields
logstash.irm_environment	additional.fields
logstash.irm_region	additional.fields
logstash.irm_site	additional.fields
logstash.process.host	intermediary.hostname
logstash.process.timestamp	additional.fields
ManagementGroupName	additional.fields
message_data	security_result.description
MethodName	additional.fields
MG	additional.fields
Microsoft	metadata.vendor_name
ministry	additional.fields
misc	security_result.summary
msg	security_result.description
network_direction	network.direction（OUTBOUND または INBOUND）
NewValue	additional.fields
node	principal.hostname、 principal.asset.hostname
ObjectInstance.__type	additional.fields
ObjectInstance.StartInfo.__type	additional.fields
ObjectInstance.StartInfo.Arguments	additional.fields
ObjectInstance.StartInfo.FileName	additional.fields
obs_app	observer.application
obs_host	observer.ip
obs_pid	observer.process.pid
OldValue	additional.fields
Opcode	additional.fields
OpcodeValue	additional.fields
operation	security_result.detection_fields
OS_Platform	additional.fields
OS_Release	additional.fields
OS_Timezone	additional.fields
OS_type	target.platform
OS_Version_ID	additional.fields
OutlookSession	additional.fields
PartitionId	additional.fields
PhysicalPath	target.file.full_path
pid	principal.process.pid
PluginVersion	additional.fields
prin_ip	observer.ip
prin_ip	principal.ip、 principal.asset.ip
principal_ip（条件付き）	intermediary.ip
principal_ip（条件付き）	observer.ip
principal_or_intermediary_ip	intermediary.ip
priority	additional.fields
process_file	target.process.file.full_path
process_id	additional.fields
ProcessID	principal.process.pid
ProcessName	principal.process.file.full_path
profile	security_result.detection_fields
propertyPath	additional.fields
ProviderGuid	security_result.about.resource.attribute.labels
ProviderKey	security_result.about.resource.attribute.labels
ProviderName	security_result.about.resource.attribute.labels
RecordNumber	additional.fields
request_url	target.url
res	security_result.action
res	security_result.action（「成功」の場合に許可）
response_content	additional.fields
Role	additional.fields
RoleInstance	additional.fields
s-computername	target.hostname、 target.asset.hostname
s-ip	target.ip、 target.asset.ip
s-port	target.port
s-sitename	target.application
s_sitename	target.application
sComputerName	target.hostname、 target.asset.hostname
scope_id	additional.fields
sc-bytes	network.sent_bytes
sc-status	network.http.response_code
sc-substatus	additional.fields
sc-win32-status	additional.fields
sc_bytes	network.sent_bytes
sc_substatus	additional.fields
sc_win32_status	additional.fields
scbyte	network.sent_bytes
scBytes	network.sent_bytes
scStatus	network.http.response_code
scstatus	network.http.response_code
sec_desc	security_result.description
service.type	additional.fields
ses	network.session_id
Severity	security_result.severity（INFORMATIONAL、ERROR、MEDIUM、LOW）
severity	security_result.severity（INFORMATIONAL、ERROR、MEDIUM、LOW）
SeverityValue	security_result.about.resource.attribute.labels
site	additional.fields
sitename	target.application
source	observer.file.full_path
SourceModuleName	observer.resource.name
SourceModuleType	observer.application
SourceName	additional.fields
SourceSystem	observer.application
src_host（Hostname の場合）	principal.hostname、 principal.asset.hostname
src_ip	observer.ip、 intermediary.ip
src_port	principal.port
sSiteName	target.application
StorageAccount	additional.fields
streamid	additional.fields
SubFleetName	additional.fields
subj	principal.resource.attribute.labels
SubjectDomainName	principal.administrative_domain
SubjectLogonId	principal.resource.attribute.labels
SubjectUserName	principal.user.userid
SubjectUserSid	principal.user.windows_sid
syslog_facility	security_result.detection_fields
syslog_facility_code	security_result.detection_fields
syslog_pri	security_result.priority_details
syslog_severity	security_result.severity_details
syslog_severity_code	security_result.detection_fields
SyslogFacility	security_result.about.resource.attribute.labels
SyslogFacilityValue	security_result.about.resource.attribute.labels
SyslogSeverity	security_result.about.resource.attribute.labels
SyslogSeverityValue	security_result.about.resource.attribute.labels
system	target.platform
tags（配列要素）	additional.fields
target_host	target.hostname、 target.asset.hostname
targetBeanName	additional.fields
TargetDomainName	target.administrative_domain
TargetLogonId	target.resource.attribute.labels
TargetUserName	target.user.userid
TargetUserSid	target.user.windows_sid
task	additional.fields
TaskValue	additional.fields
TenantId	additional.fields
ThreadID	additional.fields
time	metadata.event_timestamp
time-taken	additional.fields
time-taken	network.session_duration
time_taken	additional.fields
time_taken	network.session_duration
TimeGenerated	security_result.about.resource.attribute.labels
timestamp	metadata.event_timestamp
total_CPU	target_hardware.cpu_number_cores
total_memory	additional.fields
transletBytecodes.0	additional.fields
transletName	additional.fields
TransmittedServices	additional.fields
Type	additional.fields
type	metadata.product_event_type
UID	principal.user.user_display_name
uid	principal.user.userid
unit	target.application
uristem	target.url
user_agent	network.http.user_agent、 network.http.parsed_user_agent
user_agent（JSON 解析が失敗した場合）	additional.fields
UserID	principal.user.windows_sid
UserName	target.user.userid
UserSid	principal.user.windows_sid
Version	metadata.product_version
version	metadata.product_version
Weight	security_result.about.resource.attribute.labels
WorkstationName	additional.fields
X-BackEndCookie	additional.fields
xff_ip	principal.ip、 principal.asset.ip
xforwardedfor	principal.ip、 principal.asset.ip（最初の IP アドレスの場合）、 intermediary.ip（残りの IP アドレスの場合）

UDM マッピング デルタ リファレンス

2026 年 7 月 16 日に、Google SecOps は Microsoft Internet Information Services（IIS）パーサーの新しいバージョンをリリースしました。このバージョンには、Microsoft Internet Information Services ログフィールドから UDM フィールドへのマッピングに対する大幅な変更が含まれています。

次の表に、2026 年 7 月 16 日より前に公開され、その後も公開されている Microsoft Internet Information Services ログから UDM フィールドへのマッピングの差分を示します（それぞれ [以前のマッピング] 列と [現在のマッピング] 列に記載）。

ログフィールド	古いマッピング	現在のマッピング
AccountType	principal.user.role_name	principal.user.attribute.roles[].name
Action	security_result.about.resource.attribute.labels	securtiy_result.action_details
agent.type	principal.application	observer.application
agent.type + host_id	observer.asset_id	target.asset.asset_id => host_id: %{host_id}、 observer.asset.asset_id => agent.type + agent.id、 （以前のマッピングでは、ログフィールド agent.type と host_id が統合され、observer.assetid にマッピングされていました。現在のマッピングでは、host_id は target.asset.asset_id にマッピングされ、agent.type は observer.asset.asset_id にマッピングされます）。
app_name	principal.application	target.hostname
c_ip	principal.ip、 principal.asset.ip	xff_ip が存在する場合: intermediary.ip
comm	target.process.command_line	principal.application
cookie		additional.fields
cribl_breaker	target.resource.attribute.labels	additional.fields
cs(User-Agent)	network.http.user_agent	パーサーに条件付きチェックが追加され、値「-」のマッピングが回避されるようになりました。これにより、cs（User-Agent）に「-」のみが含まれている場合、network.http.user_agent マッピングが削除されます。
cs-uri-query	データ フィールドが抽出され、個別にマッピングされました。	cs-uri-stem と連結され、target.url にマッピングされます。URL データの意味全体を保持するため、個別に抽出されたマッピングを削除しました。
cs-version	network.tls.version	network.application_protocol、 network.application_protocol_version
cs_version	network.tls.version	network.application_protocol、 network.application_protocol_version
csversion	network.tls.version	network.application_protocol、 network.application_protocol_version
Domain	principal.user.userid	principal.administrative_domain
ecs.version	principal.asset.attribute.labels	additional.fields
ftp_command	principal.application	network.ftp.command
host	principal.hostname、 principal.asset.hostname	target.hostname、 target.asset.hostname、 observer.hostname（コンピュータ名関連のフィールドがない場合のターゲット ウェブサーバー。それ以外の場合、このフィールドはオブザーバー マシンの識別子として機能します）。
host.architecture	principal.asset.hardware.cpu_platform	target.asset.hardware.cpu_platform
host.mac	principal.mac	target.mac
host.os.build	additional.fields	target.platform_patch_level
host.os.kernel	principal.platform_patch_level	additional.fields
host.os.platform	principal.platform	target.platform
intermediary_device_name	intermediary.hostname、 observer.hostname （以前のマッピングでは、パーサーはサーバー関連のデータを 2 つのフィールドとして取得していました。パーサーは単一のフィールドを受け取り、サーバー関連のデータを関連するターゲットの詳細にマッピングします。	target.hostname
log.file.path	target.file.full_path	observer.file.full_path
LogonType	additional.fields	extensions.auth.auth_details
name	target.resource.name、 additional.fields （以前のマッピングでは、name がパターンから抽出され、不適切にマッピングされていました）。	target.application
observer_devicename	intermediary.hostname、 observer.hostname （以前のマッピングでは、パーサーがパターンから observer_devicename を抽出し、サーバー関連のデータを 2 つのフィールドとして不適切にマッピングしていました。パーサーは単一のフィールドを受け取り、サーバー関連のデータを関連するターゲットの詳細にマッピングします。	target.hostname
OS_type	principal.asset.platform_software.platform	target.platform
s-sitename	target.resource.name、 additional.fields	target.application
s_port（更新されたパターンから抽出）	principal.port	target.port
s_sitename	target.resource.name、 additional.fields	target.application
sitename	target.resource.name、 additional.fields	target.application
source	principal.resource.attribute.labels	observer.file.full_path
SourceName	security_result.about.resource.attribute.labels	additional.fields
SourceSystem	security_result.detection_fields	observer.application
sSiteName	target.resource.name、 additional.fields	target.application
SubjectUserName	principal.user.userid、 principal.hostname	principal.user.userid
tags	security_result.rule_name	additional.fields
UID	target.user.userid	principal.user.user_display_name
UserSid	target.user.windows_sid	principal.user.windows_sid
xforwardedfor	principal.ip、 target.ip、 intermediary.ip （さまざまなケース）	principal.ip（最初の IP アドレス）、 intermediary.ip（残りのすべての IP アドレス）
_raw または message にカプセル化された IIS ログの詳細	security_result.description	形式が内部フィルタによって解析されると削除されます。
HTTP トランザクションの詳細を示す IIS のウェブサーバー リクエスト / レスポンス ログ行。つまり、認証結果ではなく、リダイレクトが発生した GET リクエスト。	metadata.event_type = USER_LOGIN	metadata.event_type = NETWORK_HTTP
なし	network.http.parsed_user_agent （以前のマッピングでは、パーサーがログフィールドをユーザー エージェントに誤ってマッピングしていました。現在のマッピングでは、パーサーは適切なフィールドを network.http.parsed_user_agent に適切にマッピングします。
なし	principal.port	network.http.response_code（以前のマッピングでは、マッピングが不適切でした。現在のマッピングでは、パーサーは適切なフィールドを network.http.response_code に適切にマッピングします。

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。