運用ワークフローに直接対応するように、ドキュメントのナビゲーション構造を再編成しました。詳しくは、リリースノートとチュートリアル動画をご覧ください。

Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

Microsoft IIS ログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane エージェントを使用して Microsoft インターネットインフォメーションサービス（IIS）ログを Google Security Operations に取り込む方法について説明します。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
IIS がインストールされた Windows Server 2016 以降
IIS サーバーに対する管理者権限
プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォールポートが開いていることを確認します

Google SecOps の取り込み認証ファイルを取得する

Google SecOps コンソールにログインします。
[SIEM Settings] > [Collection Agents] に移動します。
取り込み認証ファイル をダウンロードします。
Bindplane エージェントがインストールされるシステムに、ファイルを安全に保存します。例: C:\SecOps\ingestion-auth.json。

Google SecOps のお客様 ID を取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [プロファイル] に移動します。
[組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

IIS W3C 拡張ロギングを構成する

Google SecOps がログを正しく解析し、検出が確実に機能するように、IIS マネージャーで正しい W3C フィールドを有効にする必要があります。

IIS マネージャーを開く

[開始] をクリックします。
「inetmgr」と入力して Enter キーを押します。
[インターネットインフォメーションサービス（IIS）マネージャー] ウィンドウが開きます。

別の方法:

Windows+R キーを同時に押します。
「inetmgr」と入力して Enter キーを押します。

ロギング構成に移動する

[接続] ペイン（左側）で、サーバー名を開きます。
サーバー全体のロギングを構成するには（推奨）:
- ルートレベルでサーバー名をクリックします。
サイト固有のロギングを構成するには:
- [サイト] を展開し、特定のサイト（[既定の Web サイト] など）をクリックします。
[Features View]（中央ペイン）で、[Logging] をダブルクリックします。

[W3C 拡張ログ形式] を選択します。

[Logging] ページの [Log File] セクションで、次の操作を行います。
- [形式] プルダウンリストで、[W3C] を選択します。
[フィールドを選択] ボタンをクリックします。

W3C ロギングフィールドを構成する

重要: Google SecOps IIS パーサーは、8 つのフィールド構成をサポートしています。次のいずれかのパターンですべてのフィールドを有効にする必要があります。異なるフィールドを有効にしたり、パターンを混在させたりすると、解析が失敗します。

[W3C Logging Fields] ダイアログで、次のいずれかのパターンに従ってフィールドを選択します。ONE

パターン 1: クエリ文字列とバイトを含むサイト全体のコンテキスト

次のフィールドをこの順序で有効にします。

Date（日付）
時間（時間）
サービス名（s-sitename）
サーバーの IP アドレス（s-ip）
メソッド（cs-method）
URI ステム（cs-uri-stem）
URI クエリ（cs-uri-query）
サーバーポート（s-port）
User Name（cs-username）
クライアント IP アドレス（c-ip）
ユーザーエージェント（cs(User-Agent)）
Referer（cs(Referer)）
プロトコルステータス（sc-status）
送信バイト数（sc-bytes）
受信バイト数（cs-bytes）

このパターンは、次の場合に使用します。ダウンストリーム形式にサイトコンテキストとクエリ文字列が含まれており、送受信バイト数が必要で、パイプラインで「username」列と「referer」列が想定されている（値が - の場合でも）。

パターン 2: 基本（サブステータス、Win32 ステータス、パフォーマンスを含む）（リファラーなし）

次のフィールドをこの順序で有効にします。

Date（日付）
時間（時間）
サーバーの IP アドレス（s-ip）
メソッド（cs-method）
URI ステム（cs-uri-stem）
URI クエリ（cs-uri-query）
サーバーポート（s-port）
User Name（cs-username）
クライアント IP アドレス（c-ip）
ユーザーエージェント（cs(User-Agent)）
プロトコルステータス（sc-status）
プロトコルのサブステータス（sc-substatus）
Win32 ステータス（sc-win32-status）
所要時間（time-taken）

このパターンは、次の場合に使用します。パイプラインに Referer は含まれていないが、詳細なエラーコードとレイテンシ（time-taken）が必要な場合。

パターン 3: 基本（サブステータス、Win32 ステータス、パフォーマンス、リファラーを含む）

次のフィールドをこの順序で有効にします。

Date（日付）
時間（時間）
サーバーの IP アドレス（s-ip）
メソッド（cs-method）
URI ステム（cs-uri-stem）
URI クエリ（cs-uri-query）
サーバーポート（s-port）
User Name（cs-username）
クライアント IP アドレス（c-ip）
ユーザーエージェント（cs(User-Agent)）
Referer（cs(Referer)）
プロトコルステータス（sc-status）
プロトコルのサブステータス（sc-substatus）
Win32 ステータス（sc-win32-status）
所要時間（time-taken）

このパターンは次の場合に使用する: パターン 2 と同じですが、パイプラインに専用の列としてリファラーが含まれています。

パターン 4: TLS/プロトコルバージョンを認識し、リファラーとパフォーマンスを考慮する

次のフィールドをこの順序で有効にします。

Date（日付）
時間（時間）
サーバーの IP アドレス（s-ip）
メソッド（cs-method）
URI ステム（cs-uri-stem）
URI クエリ（cs-uri-query）
クライアントポート（c-port）
User Name（cs-username）
クライアント IP アドレス（c-ip）
プロトコルのバージョン（cs-version）
ユーザーエージェント（cs(User-Agent)）
Referer（cs(Referer)）
プロトコルステータス（sc-status）
プロトコルのサブステータス（sc-substatus）
Win32 ステータス（sc-win32-status）
所要時間（time-taken）

このパターンは、次の場合に使用します。ダウンストリーム形式で cs-version（HTTP/1.1 など）が明示的に記録され、タイミングが含まれており、クライアントポートが専用の列として存在する場合。

パターン 5: TLS/プロトコルバージョンを認識し、リファラーを認識する（パフォーマンスなし）

次のフィールドをこの順序で有効にします。

Date（日付）
時間（時間）
サーバーの IP アドレス（s-ip）
メソッド（cs-method）
URI ステム（cs-uri-stem）
URI クエリ（cs-uri-query）
クライアントポート（c-port）
User Name（cs-username）
クライアント IP アドレス（c-ip）
プロトコルのバージョン（cs-version）
ユーザーエージェント（cs(User-Agent)）
Referer（cs(Referer)）
プロトコルステータス（sc-status）
プロトコルのサブステータス（sc-substatus）
Win32 ステータス（sc-win32-status）

このパターンは次の場合に使用します。パターン 4 と同じですが、パイプラインに time-taken が含まれていません。

パターン 6: Cookie とリファラーあり（パフォーマンスなし、バイト数なし）

次のフィールドをこの順序で有効にします。

Date（日付）
時間（時間）
サーバーの IP アドレス（s-ip）
メソッド（cs-method）
URI ステム（cs-uri-stem）
URI クエリ（cs-uri-query）
クライアントポート（c-port）
User Name（cs-username）
クライアント IP アドレス（c-ip）
ユーザーエージェント（cs(User-Agent)）
Cookie（cs（Cookie））
Referer（cs(Referer)）
プロトコルステータス（sc-status）
プロトコルのサブステータス（sc-substatus）
Win32 ステータス（sc-win32-status）

このパターンは、ダウンストリーム形式で Cookie とリファラーの両方が専用の列として必要とされる場合に使用します。

パターン 7: 最小限（リファラーあり、Cookie なし、パフォーマンスなし、バイト数なし）

次のフィールドをこの順序で有効にします。

Date（日付）
時間（時間）
サーバーの IP アドレス（s-ip）
メソッド（cs-method）
URI ステム（cs-uri-stem）
URI クエリ（cs-uri-query）
クライアントポート（c-port）
User Name（cs-username）
クライアント IP アドレス（c-ip）
ユーザーエージェント（cs(User-Agent)）
Referer（cs(Referer)）
プロトコルステータス（sc-status）
プロトコルのサブステータス（sc-substatus）
Win32 ステータス（sc-win32-status）

このパターンを使用する場合: ダウンストリーム形式に Referer が含まれているが、Cookie、時間、バイト数が含まれていない。

パターン 8: リファラーなしの最小限（Cookie なし、パフォーマンスなし、バイトなし）

次のフィールドをこの順序で有効にします。

Date（日付）
時間（時間）
サーバーの IP アドレス（s-ip）
メソッド（cs-method）
URI ステム（cs-uri-stem）
URI クエリ（cs-uri-query）
クライアントポート（c-port）
User Name（cs-username）
クライアント IP アドレス（c-ip）
ユーザーエージェント（cs(User-Agent)）
プロトコルステータス（sc-status）
プロトコルのサブステータス（sc-substatus）
Win32 ステータス（sc-win32-status）

このパターンは、次の場合に使用します。ダウンストリーム形式に Referer が含まれておらず、コアリクエストコンテキストとステータスコードのみが必要な場合。

複数のパターンからフィールドを有効にしないでください。パーサーは、これらの正確な構成のいずれかを想定しています。

構成を適用

[OK] をクリックして、[W3C Logging Fields] ダイアログを閉じます。
ログが書き込まれる [ディレクトリ] パスを確認します。
- デフォルト: %SystemDrive%\inetpub\logs\LogFiles
[ログファイルのロールオーバー] で、[毎日] を選択します（Google SecOps の取り込みにおすすめ）。
[アクション] ペイン（右側）で [適用] をクリックします。

IIS ロギングを確認する

W3C フィールドを構成したら、IIS がログを正しく書き込んでいることを確認します。

ブラウザでウェブページを開いて、IIS サイトへのテストトラフィックを生成します。
ログディレクトリに移動します。C:\inetpub\logs\LogFiles\W3SVC1\
- 注: W3SVC1 は最初のサイト（デフォルトのウェブサイト）に対応します。他のサイトの場合、フォルダ名は W3SVC2、W3SVC3 などになります。
メモ帳で最新のログファイル（u_ex251217.log など）を開きます。
#Fields: 行に、選択したパターンで有効にしたすべてのフィールドが、その順序で含まれていることを確認します。

パターン 3 の例

パターン 3（サブステータス、Win32 ステータス、リファラーを含むパフォーマンス）を構成した場合、#Fields: 行は次のようになります。
```
#Fields: date time s-ip cs-method cs-uri-stem cs-uri-query s-port cs-username c-ip cs(User-Agent) cs(Referer) sc-status sc-substatus sc-win32-status time-taken
```

ログエントリの例:

2025-12-17 14:23:15 192.168.1.10 GET /index.html - 80 - 203.0.113.45 Mozilla/5.0+(Windows+NT+10.0) https://example.com/previous.html 200 0 0 125

注意事項:

空のフィールドはハイフン（-）で表されます。
フィールドの順序は #Fields: ヘッダーと完全に一致している必要があります
フィールドが欠落している場合、順序が変更されている場合、複数のパターンにまたがっている場合、パーサーは失敗します

Bindplane エージェントをインストールする

次の手順に沿って、Windows サーバーに Bindplane エージェントをインストールします。

Windows のインストール

管理者としてコマンドプロンプトまたは PowerShell を開きます。

次のコマンドを実行します。

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

その他のインストールリソース

その他のインストールオプションについては、Bindplane エージェントのインストールガイドをご覧ください。

IIS ログを取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを編集する

config.yaml ファイルを見つけます。
- デフォルトパス: C:\Program Files\observIQ OpenTelemetry Collector\config.yaml
テキストエディタ（メモ帳、VS Code、メモ帳++ など）を使用して、管理者としてファイルを開きます。

内容全体を次の構成に置き換えます。

receivers:
  iis:
    collection_interval: 60s

processors:
  resourcedetection:
    detectors: ["system"]
    system:
      hostname_sources: ["os"]
  normalizesums:
  batch:

exporters:
  chronicle/iis:
    endpoint: malachiteingestion-pa.googleapis.com
    creds: 'C:\SecOps\ingestion-auth.json'
    log_type: 'IIS'
    override_log_type: false
    raw_log_field: body
    customer_id: '<CUSTOMER_ID>'
    compression: gzip

service:
  pipelines:
    logs/iis:
      receivers:
        - iis
      processors:
        - resourcedetection
        - normalizesums
        - batch
      exporters:
        - chronicle/iis

構成値を更新する

各プレースホルダを次のように置き換えます。

creds: - 取り込み認証ファイルのパス（例: C:\SecOps\ingestion-auth.json）。
endpoint: - リージョンエンドポイント。
customer_id: - Google SecOps のお客様 ID を取得するセクションで取得した実際の Google SecOps のお客様 ID。

Bindplane エージェントを再起動して変更を適用する

Windows で Bindplane エージェントを再起動するには、サービス コンソールを使用するか、次のコマンドを入力します。
```
  net stop observiq-otel-collector && net start observiq-otel-collector
```

UDM マッピングテーブル

ログフィールド	UDM マッピング	ロジック
@timestamp	metadata.event_timestamp	未加工ログに記録されたイベントのタイムスタンプ。
@version	metadata.product_version	IIS サーバーのバージョン。
AgentDevice	additional.fields.AgentDevice.value.string_value	ログを生成したデバイス。
AgentLogFile	additional.fields.AgentLogFile.value.string_value	ログファイルの名前。
ASP.NET_SessionId	network.session_id	ユーザーのセッション ID。
c-ip	principal.ip	クライアントの IP アドレス。
チャンネル	security_result.about.resource.attribute.labels.Channel.value	イベントが記録されたチャネル。
ChannelID	security_result.about.resource.attribute.labels.ChannelID.value	イベントが記録されたチャンネルの ID。
パソコン	target.hostname	ターゲットマシンのホスト名。
cs-bytes	network.received_bytes	クライアントから受信したバイト数。
cs-host	principal.hostname、principal.asset.hostname	クライアントのホスト名。
cs-method	network.http.method	クライアントで使用される HTTP メソッド。
cs-uri-query	target.url	クライアントがリクエストした URL のクエリ文字列。
cs-uri-stem	target.url	クライアントによってリクエストされた URL のパス。
cs-username	principal.user.user_display_name	クライアントのユーザー名。
cs-version	network.tls.version_protocol	クライアントで使用される HTTP バージョン。
cs（Cookie）		Cookie 情報を抽出するために使用されます。
cs(Referer)	network.http.referral_url	クライアントを現在のページに誘導した URL。
cs(User-Agent)	network.http.user_agent	クライアントのユーザーエージェント。
csbyte	network.received_bytes	クライアントから受信したバイト数。
cshost	principal.hostname、principal.asset.hostname	クライアントのホスト名。
csip	principal.ip、principal.asset.ip	クライアントの IP アドレス。
csmethod	network.http.method	クライアントで使用される HTTP メソッド。
csreferer	network.http.referral_url	クライアントを現在のページに誘導した URL。
csuseragent	network.http.user_agent	クライアントのユーザーエージェント。
csusername	principal.user.user_display_name	クライアントのユーザー名。
csversion	network.tls.version_protocol	クライアントで使用される HTTP バージョン。
日付		未加工ログのタイムスタンプが無効な場合に、イベントタイムスタンプの作成に使用されます。
説明	security_result.description	イベントの説明。
devicename	target.hostname	ターゲットマシンのホスト名。
dst_ip	target.ip、target.asset.ip	ターゲットマシンの IP アドレス。
dst_port	target.port	ターゲットマシンのポート番号。
duration		リクエストの所要時間（ミリ秒単位）。
EventEnqueuedUtcTime	additional.fields.EventEnqueuedUtcTime.value.string_value	イベントがキューに登録された時刻（UTC）。
EventID	metadata.product_log_id	イベントの ID。
EventProcessedUtcTime	additional.fields.EventProcessedUtcTime.value.string_value	イベントが処理された時刻（UTC）。
EventTime	metadata.event_timestamp	イベントのタイムスタンプ。
EventType	metadata.product_event_type	イベントのタイプ。
file_path	target.file.full_path	イベントに関連するファイルのフルパス。
FilterId	security_result.about.resource.attribute.labels.FilterId.value	フィルタの ID。
FilterKey	security_result.about.resource.attribute.labels.FilterKey.value	フィルタのキー。
FilterName	security_result.about.resource.attribute.labels.FilterName.value	フィルタの名前。
FilterType	security_result.about.resource.attribute.labels.FilterType.value	フィルタのタイプ。
ホスト	target.hostname	ターゲットマシンのホスト名。
host.architecture	principal.asset.hardware.cpu_platform	ホストマシンのアーキテクチャ。
host.geo.name	additional.fields.geo_name.value.string_value	ホストマシンの地理的位置。
host.hostname	target.hostname、target.asset.hostname	ホストマシンのホスト名。
host.id	observer.asset_id	ホストマシンの ID。
host.ip	principal.ip、principal.asset.ip	ホストマシンの IP アドレス。
host.mac	principal.mac	ホストマシンの MAC アドレス。
host.os.build	additional.fields.os_build.value.string_value	ホストマシンのオペレーティングシステムのビルド番号。
host.os.kernel	principal.platform_patch_level	ホストマシンのオペレーティングシステムのカーネルバージョン。
host.os.name	additional.fields.os_name.value.string_value	ホストマシンのオペレーティングシステムの名前。
host.os.platform	principal.platform	ホストマシンのオペレーティングシステムのプラットフォーム。
host.os.version	principal.platform_version	ホストマシンのオペレーティングシステムのバージョン。
http_method	network.http.method	クライアントで使用される HTTP メソッド。
http_response	network.http.response_code	HTTP レスポンスコード
http_status_code	network.http.response_code	レスポンスの HTTP ステータスコード。
http_substatus	additional.fields.sc_substatus.value.string_value	レスポンスの HTTP サブステータスコード。
インスタンス	additional.fields.instance.value.string_value	タスクのインスタンス ID。
intermediary_devicename	intermediary.hostname、intermediary.asset.hostname	仲介デバイスのホスト名。
json_message		JSON 形式の未加工のログメッセージ。
kv_fields		未加工ログのメッセージから Key-Value ペアを抽出するために使用されます。
LayerKey	security_result.about.resource.attribute.labels.LayerKey.value	レイヤのキー。
LayerName	security_result.about.resource.attribute.labels.LayerName.value	レイヤの名前。
LayerId	security_result.about.resource.attribute.labels.LayerId.value	レイヤの ID。
log.file.path	target.file.full_path	ログファイルのフルパス。
log.offset	metadata.product_log_id	ログファイル内のイベントのオフセット。
logstash.collect.host	observer.hostname	ログを収集したマシンのホスト名。
logstash.process.host	intermediary.hostname	ログを処理したマシンのホスト名。
logstash_json_message		JSON 形式の未加工のログメッセージ。
メッセージ	security_result.description	未加工のログメッセージ。
ミニストリー	additional.fields.ministry.value.string_value	イベントに関連付けられている省庁。
name		エンティティの名前。
NewValue	additional.fields.NewValue.value.string_value	構成設定の新しい値。
OldValue	additional.fields.OldValue.value.string_value	構成設定の古い値。
ポート	principal.port	クライアントのポート番号。
priority_code		syslog メッセージの優先度コード。
ProcessID	principal.process.pid	イベントを生成したプロセスのプロセス ID。
ProviderGuid	security_result.about.resource.attribute.labels.ProviderGuid.value	プロバイダの GUID。
ProviderKey	security_result.about.resource.attribute.labels.ProviderKey.value	プロバイダのキー。
ProviderName	security_result.about.resource.attribute.labels.ProviderName.value	プロバイダの名前。
referrer_url	network.http.referral_url	クライアントを現在のページに誘導した URL。
request_url	target.url	クライアントによってリクエストされた URL。
s-computername	target.hostname	ターゲットマシンのホスト名。
s-ip	target.ip、target.asset.ip	ターゲットマシンの IP アドレス。
s-port	target.port	ターゲットマシンのポート番号。
s-sitename	additional.fields.sitename.value.string_value	サイトの名前。
sc-bytes	network.sent_bytes	クライアントに送信されたバイト数。
sc-status	network.http.response_code	レスポンスの HTTP ステータスコード。
sc-substatus	additional.fields.sc_substatus.value.string_value	レスポンスの HTTP サブステータスコード。
sc-win32-status		レスポンスの Windows ステータスコード。
scbyte	network.sent_bytes	クライアントに送信されたバイト数。
scstatus	network.http.response_code	レスポンスの HTTP ステータスコード。
重要度	security_result.severity	イベントの重大度。
service.type	additional.fields.service_type.value.string_value	サービスのタイプ。
sIP	principal.ip、principal.asset.ip	クライアントの IP アドレス。
sPort	principal.port	クライアントのポート番号。
sSiteName	additional.fields.sitename.value.string_value	サイトの名前。
src_ip	principal.ip、principal.asset.ip、observer.ip	クライアントの IP アドレス。
src_port	principal.port	クライアントのポート番号。
sysdate		syslog メッセージの日時。
syslog_facility	security_result.severity_details	syslog メッセージのファシリティ。
syslog_pri		syslog メッセージの優先度。
syslog_severity	security_result.severity_details	syslog メッセージの重大度。
syslog_severity_code		syslog メッセージの重大度コード。
タグ	security_result.rule_name	イベントに関連付けられたタグ。
タスク	additional.fields.task.value.string_value	タスクの名前。
時間		未加工ログのタイムスタンプが無効な場合に、イベントタイムスタンプの作成に使用されます。
time-taken		リクエストの所要時間（ミリ秒単位）。
uri_query	target.url	クライアントがリクエストした URL のクエリ文字列。
user_agent	network.http.user_agent	クライアントのユーザーエージェント。
ユーザー名	target.user.userid	ユーザーのユーザー名。
UserSid	target.user.windows_sid	ユーザーの Windows SID。
重み	security_result.about.resource.attribute.labels.Weight.value	フィルタの重み。
win32_status		レスポンスの Windows ステータスコード。
xforwardedfor		IP アドレスのカンマ区切りのリストを含む X-Forwarded-For ヘッダー。
	metadata.log_type	"IIS"
	network.direction	"INBOUND"
	metadata.vendor_name	"Microsoft"
	metadata.product_name	「Internet Information Server」
	metadata.event_type	"NETWORK_HTTP"、"USER_UNCATEGORIZED"、"GENERIC_EVENT"、"STATUS_UPDATE"、"USER_LOGOUT"、"USER_LOGIN"
	extensions.auth.type	"MACHINE"
`time_taken`	`event.idm.read_only_udm.network.session_duration`	変更履歴からマッピング
`AUID`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`host.architecture`	`event.idm.read_only_udm.principal.asset.hardware.cpu_platform`	変更履歴からマッピング
`host.os.kernel`	`event.idm.read_only_udm.principal.platform_patch_level`	変更履歴からマッピング
`host.os.version`	`event.idm.read_only_udm.principal.platform_version`	変更履歴からマッピング
`host.os.platform`	`event.idm.read_only_udm.principal.platform`	変更履歴からマッピング
`host.os.name`	`event.idm.read_only_udm.additional.fields["os_name"]`	変更履歴からマッピング
`host.os.build`	`event.idm.read_only_udm.additional.fields["os_build"]`	変更履歴からマッピング
`host.geo.name`	`event.idm.read_only_udm.additional.fields["geo_name"]`	変更履歴からマッピング
`agent.type`	`event.idm.read_only_udm.observer.asset_id`	変更履歴からマッピング
`host.id`	`event.idm.read_only_udm.observer.asset_id`	変更履歴からマッピング
`log.file.path`	`event.idm.read_only_udm.target.file.full_path`	変更履歴からマッピング
`agent.version`	`event.idm.read_only_udm.metadata.product_version`	変更履歴からマッピング
`agent.id`	`event.idm.read_only_udm.metadata.product_log_id`	変更履歴からマッピング
`agent.type`	`event.idm.read_only_udm.principal.application`	変更履歴からマッピング
`ecs.version`	`event.idm.read_only_udm.principal.asset.attribute.labels["ecs:version"]`	変更履歴からマッピング
`host.ip`	`event.idm.read_only_udm.principal.ip`	変更履歴からマッピング
`host.ip`	`event.idm.read_only_udm.principal.asset.ip`	変更履歴からマッピング
`host.mac`	`event.idm.read_only_udm.principal.mac`	変更履歴からマッピング
`host.mac`	`event.idm.read_only_udm.principal.asset.mac`	変更履歴からマッピング
`tags`	`event.idm.read_only_udm.security_result.rule_name`	変更履歴からマッピング
`EventReceivedTime`	`event.idm.read_only_udm.metadata.collected_timestamp`	変更履歴からマッピング
`facility`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`priority`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`csUser-Agent`	`event.idm.read_only_udm.network.http.user_agent`	変更履歴からマッピング
`csUser-Agent`	`event.idm.read_only_udm.network.http.parsed_user_agent`	変更履歴からマッピング
`csReferer`	`event.idm.read_only_udm.network.http.referral_url`	変更履歴からマッピング
`cs-uri-query`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`s_principal_user_userid`	`event.idm.read_only_udm.principal.user.userid`	変更履歴からマッピング
`j_admin_domain`	`event.idm.read_only_udm.principal.administrative_domain`	変更履歴からマッピング
`bytes`	`event.idm.read_only_udm.network.sent_bytes`	変更履歴からマッピング
`"time_taken"`	`event1.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`"time-taken"`	`event1.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`"sc_win32_status"`	`event1.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`"sc-win32-status"`	`event1.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`"sc-substatus"`	`event1.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`and "sc_substatus"`	`event1.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`cloud_ray_id`	`event1.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`X-ARR-LOG-ID`	`event1.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`x_forwarded_for`	`event1.idm.read_only_udm.intermediary.ip`	変更履歴からマッピング
`uid`	`event1.idm.read_only_udm.principal.user.userid`	変更履歴からマッピング
`ses`	`event1.idm.read_only_udm.network.session_id`	変更履歴からマッピング
`exe`	`event1.idm.read_only_udm.target.process.file.full_path`	変更履歴からマッピング
`hostname`	`event1.idm.read_only_udm.target.hostname` と `event1.idm.read_only_udm.target.asset.hostname`	変更履歴からマッピング
`comm`	`event1.idm.read_only_udm.target.process.command_line`	変更履歴からマッピング
`res`	`security_result.action_details`	変更履歴からマッピング
`subj`	`event1.idm.read_only_udm.principal.resource.attribute.labels`	変更履歴からマッピング
`UID`	`event1.idm.read_only_udm.target.user.userid`	変更履歴からマッピング
`tls_version`	`event1.idm.read_only_udm.network.tls.version`	変更履歴からマッピング
`GID`	`event1.idm.read_only_udm.target.group.product_object_id`	変更履歴からマッピング
`type`	`event1.idm.read_only_udm.metadata.product_event_type`	変更履歴からマッピング
`pid`	`event1.idm.read_only_udm.principal.process.pid`	変更履歴からマッピング
`OUID`	`event1.idm.read_only_udm.target.user.user_display_name`	変更履歴からマッピング
`ouid`	`event1.idm.read_only_udm.target.user.userid`	変更履歴からマッピング
`targetip`	`target.ip`	変更履歴からマッピング
`targetport`	`target.port`	変更履歴からマッピング
`streamid`	`additional.fields`	変更履歴からマッピング
`observer_ip`	`observer.ip`	変更履歴からマッピング
`observer_devicename`	`observer.hostname`	変更履歴からマッピング
`principal_xff_ips`	`principal.ip`	変更履歴からマッピング
`principal_or_intermediary_ip`	`intermediary.ip`	変更履歴からマッピング
`principal_or_intermediary_ip`	`principal.ip`	変更履歴からマッピング
`dst_ip2`	`target.ip`	変更履歴からマッピング
`X-BackEndCookie","exchangecookie", "OutlookSession", "MapiContext", "MapiRouting", "content_type" and "MapiSequence`	`additional.fields`	変更履歴からマッピング
`Message`	`security_result.description`	変更履歴からマッピング
`PhysicalPath`	`target.file.full_path`	変更履歴からマッピング
`OldValue", "NewValue", "Configuration" and "ConfigPath`	`additional.fields`	変更履歴からマッピング
`_user`	`principal.user.userid`	変更履歴からマッピング
`cIP`	`target.ip`	変更履歴からマッピング
`csUriStem`	``	変更履歴からマッピング
`csUserAgent`	`http.user_agent`	変更履歴からマッピング
`csMethod`	`network.http.method`	変更履歴からマッピング
`scStatus`	`http.response_code`	変更履歴からマッピング
`sComputerName`	`target.hostname`	変更履歴からマッピング
`_resourceId`	`target.resource.id`	変更履歴からマッピング
`scBytes`	`network.sent_bytes`	変更履歴からマッピング
`csBytes`	`network.received_bytes`	変更履歴からマッピング
`sSiteName", "TenantId", "EventProcessedUtcTime", "ManagementGroupName", and "EventEnqueuedUtcTime`	`additional.fields`	変更履歴からマッピング
`TimeGenerated`	`about.resource.attribute.labels`	変更履歴からマッピング
`SourceSystem`	`security_result.detection_fields`	変更履歴からマッピング
`uristem`	`target.url`	変更履歴からマッピング
`sport`	`target.port`	変更履歴からマッピング
`date" and "time`	`metadata.event_timestamp`	変更履歴からマッピング
`token_data`	`security_result.detection_fields`	変更履歴からマッピング
`principal_username`	`principal.user.userid`	変更履歴からマッピング
`Devicename`	`target.hostname`	変更履歴からマッピング
`src_ip`	`intermediary.ip`	変更履歴からマッピング
`xff_ips`	`principal.ip`	変更履歴からマッピング
`Severity`	`security_result.severity`	変更履歴からマッピング
`Conditions`	`security_result.about.resource.attribute.labels`	変更履歴からマッピング
`Action`	`security_result.about.resource.attribute.labels`	変更履歴からマッピング
`CalloutKey`	`security_result.about.resource.attribute.labels`	変更履歴からマッピング
`CalloutName`	`security_result.about.resource.attribute.labels`	変更履歴からマッピング
`SourceName`	`security_result.about.resource.attribute.labels`	変更履歴からマッピング
`SyslogSeverity`	`security_result.about.resource.attribute.labels`	変更履歴からマッピング
`Category`	`security_result.category_details`	変更履歴からマッピング
`SourceModuleName`	`target.resource.name`	変更履歴からマッピング
`SourceModuleType`	`observer.application`	変更履歴からマッピング

変更履歴

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。

Microsoft IIS ログを収集する

始める前に

Google SecOps の取り込み認証ファイルを取得する

Google SecOps のお客様 ID を取得する

IIS W3C 拡張ロギングを構成する

IIS マネージャーを開く

ロギング構成に移動する

[W3C 拡張ログ形式] を選択します。

W3C ロギング フィールドを構成する

パターン 1: クエリ文字列とバイトを含むサイト全体のコンテキスト

パターン 2: 基本（サブステータス、Win32 ステータス、パフォーマンスを含む）（リファラーなし）

パターン 3: 基本（サブステータス、Win32 ステータス、パフォーマンス、リファラーを含む）

パターン 4: TLS/プロトコル バージョンを認識し、リファラーとパフォーマンスを考慮する

パターン 5: TLS/プロトコル バージョンを認識し、リファラーを認識する（パフォーマンスなし）

パターン 6: Cookie とリファラーあり（パフォーマンスなし、バイト数なし）

パターン 7: 最小限（リファラーあり、Cookie なし、パフォーマンスなし、バイト数なし）

パターン 8: リファラーなしの最小限（Cookie なし、パフォーマンスなし、バイトなし）

構成を適用

IIS ロギングを確認する

パターン 3 の例

Bindplane エージェントをインストールする

Windows のインストール

その他のインストール リソース

IIS ログを取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを編集する

構成値を更新する

Bindplane エージェントを再起動して変更を適用する

UDM マッピング テーブル

変更履歴

W3C ロギングフィールドを構成する

パターン 4: TLS/プロトコルバージョンを認識し、リファラーとパフォーマンスを考慮する

パターン 5: TLS/プロトコルバージョンを認識し、リファラーを認識する（パフォーマンスなし）

その他のインストールリソース

UDM マッピングテーブル