O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Coletar registros do Microsoft IIS

Compatível com:

Google SecOps SIEM

Neste documento, explicamos como ingerir registros do Microsoft Internet Information Services (IIS) no Google Security Operations usando o agente do Bindplane.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

Uma instância do Google SecOps
Um Windows Server 2016 ou mais recente com o IIS instalado
Acesso administrativo ao servidor IIS
Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.

Receber credenciais do Google SecOps para o agente do BindPlane

Para autenticar o agente do Bindplane no Google SecOps, escolha um dos seguintes métodos:

Novas implantações: use a API Chronicle (opção 1).
Implantações legadas: continue usando o arquivo de autenticação de ingestão (opção 2) até que a API Ingestion seja desativada em 20 de julho de 2027.

Opção 1: criar uma conta de serviço para a API Chronicle (recomendado)

Faça login no console doGoogle Cloud e selecione o projeto do Google Cloud vinculado à sua instância do Google SecOps.
Acesse IAM e administrador > Contas de serviço.
Clique em Criar conta de serviço.
Informe os seguintes detalhes de configuração:
- Nome da conta de serviço: insira um nome para a conta (por exemplo, bindplane-ingest).
- Descrição da conta de serviço: insira uma descrição (por exemplo, Bindplane agent log ingestion).
Clique em Criar e continuar.
Na seção Conceder a essa conta de serviço acesso ao projeto, clique em Selecionar uma função e escolha Editor do Chronicle.
Clique em Continuar e depois em Concluído.
Clique na conta de serviço que você criou e acesse a guia Chaves.
Clique em Adicionar chave > Criar nova chave.
Selecione JSON e clique em Criar. O download do arquivo de chave é feito no seu computador.
Salve o arquivo de chave como ingestion-auth.json no diretório do coletor do Bindplane (/opt/observiq-otel-collector/ingestion-auth.json no Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json no Windows) ou atualize creds_file_path em config.yaml para corresponder ao caminho em que você o salvou.
Acesse IAM e administrador > Configurações e copie o número do projeto. Você vai precisar dele para a configuração do exportador.

Opção 2: fazer o download do arquivo de autenticação de ingestão (legado)

Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Agentes de coleta.
Baixe o arquivo de autenticação de ingestão.
Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.

Receber o ID de cliente do Google SecOps

Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Perfil.
Copie e salve o ID de cliente na seção Detalhes da organização.

Configurar a geração de registros estendida do IIS W3C

Ative os campos corretos do W3C no IIS Manager para que o Google SecOps possa analisar seus registros corretamente e as detecções funcionem de maneira confiável.

Abra o Gerenciador do IIS.

Clique em Iniciar.
Digite inetmgr e pressione Enter.
A janela Gerenciador dos Serviços de Informações da Internet (IIS) é aberta.

Método alternativo:

Pressione a tecla Windows + R.
Digite inetmgr e pressione Enter.

Acessar a configuração do Logging

No painel Conexões (lado esquerdo), expanda o nome do servidor.
Para configurar a geração de registros em todo o servidor (recomendado):
- Clique no nome do servidor no nível raiz.
Para configurar o registro específico do site:
- Expanda Sites > clique no site específico (por exemplo, Site padrão).
Na Visualização de recursos (painel central), clique duas vezes em Logging.

Selecione "Formato de registro estendido do W3C"

Na página Logging, na seção Log File:
- Na lista suspensa Formato, selecione W3C.
Clique no botão Selecionar campos.

Configurar campos de registro do W3C

Na caixa de diálogo Campos de registro W3C, selecione os campos de acordo com UM dos seguintes padrões:

Padrão 1: contexto completo do site com string de consulta e bytes

Ative estes campos nesta ordem exata:

Data (data)
Tempo (tempo)
Nome do serviço (s-sitename)
Endereço IP do servidor (s-ip)
Método (cs-method)
Radical do URI (cs-uri-stem)
Consulta de URI (cs-uri-query)
Porta do servidor (s-port)
Nome de usuário (cs-username)
Endereço IP do cliente (c-ip)
User Agent (cs(User-Agent))
Referer (cs(Referer))
Status do protocolo (sc-status)
Bytes enviados (sc-bytes)
Bytes recebidos (cs-bytes)

Use esse padrão quando:seu formato downstream incluir contexto do site + string de consulta e você precisar de bytes enviados/recebidos, e seu pipeline esperar as colunas "username" e "referer" (mesmo que os valores sejam -).

Padrão 2: básico com substatus, status do Win32 e desempenho (sem referenciador)

Ative estes campos exatamente nesta ordem:

Data (data)
Time (tempo)
Endereço IP do servidor (s-ip)
Método (cs-method)
Radical do URI (cs-uri-stem)
Consulta de URI (cs-uri-query)
Porta do servidor (s-port)
Nome de usuário (cs-username)
Endereço IP do cliente (c-ip)
User agent (cs(User-Agent))
Status do protocolo (sc-status)
Substatus do protocolo (sc-substatus)
Status do Win32 (sc-win32-status)
Tempo gasto (time-taken)

Use esse padrão quando:seu pipeline não inclui o referenciador, mas você precisa de códigos de erro e latência (time-taken) detalhados.

Padrão 3: básico com substatus, status do Win32 e desempenho (com referenciador)

Ative estes campos exatamente nesta ordem:

Data (data)
Time (tempo)
Endereço IP do servidor (s-ip)
Método (cs-method)
Radical do URI (cs-uri-stem)
Consulta de URI (cs-uri-query)
Porta do servidor (s-port)
Nome de usuário (cs-username)
Endereço IP do cliente (c-ip)
User Agent (cs(User-Agent))
Referer (cs(Referer))
Status do protocolo (sc-status)
Substatus do protocolo (sc-substatus)
Status do Win32 (sc-win32-status)
Tempo gasto (time-taken)

Use esse padrão quando:o mesmo que o Padrão 2, mas seu pipeline inclui o referenciador como uma coluna dedicada.

Padrão 4: reconhecimento de TLS/versão do protocolo com referenciador e desempenho

Ative estes campos exatamente nesta ordem:

Data (data)
Time (tempo)
Endereço IP do servidor (s-ip)
Método (cs-method)
Radical do URI (cs-uri-stem)
Consulta de URI (cs-uri-query)
Porta do cliente (c-port)
Nome de usuário (cs-username)
Endereço IP do cliente (c-ip)
Versão do protocolo (cs-version)
User agent (cs(User-Agent))
Referer (cs(Referer))
Status do protocolo (sc-status)
Substatus do protocolo (sc-substatus)
Status do Win32 (sc-win32-status)
Tempo gasto (time-taken)

Use esse padrão quando:seu formato downstream registra explicitamente cs-version (por exemplo, HTTP/1.1) e inclui o tempo, e você também tem a porta do cliente como uma coluna dedicada.

Padrão 5: TLS/Protocol-Version Aware com Referrer (sem desempenho)

Ative estes campos nesta ordem exata:

Data (data)
Time (tempo)
Endereço IP do servidor (s-ip)
Método (cs-method)
Radical do URI (cs-uri-stem)
Consulta de URI (cs-uri-query)
Porta do cliente (c-port)
Nome de usuário (cs-username)
Endereço IP do cliente (c-ip)
Versão do protocolo (cs-version)
User agent (cs(User-Agent))
Referer (cs(Referer))
Status do protocolo (sc-status)
Substatus do protocolo (sc-substatus)
Status do Win32 (sc-win32-status)

Use esse padrão quando:igual ao padrão 4, mas seu pipeline não inclui time-taken.

Padrão 6: com cookie e referenciador (sem desempenho, sem bytes)

Ative estes campos exatamente nesta ordem:

Data (data)
Time (tempo)
Endereço IP do servidor (s-ip)
Método (cs-method)
Radical do URI (cs-uri-stem)
Consulta de URI (cs-uri-query)
Porta do cliente (c-port)
Nome de usuário (cs-username)
Endereço IP do cliente (c-ip)
User Agent (cs(User-Agent))
Cookie (cs(Cookie))
Referer (cs(Referer))
Status do protocolo (sc-status)
Substatus do protocolo (sc-substatus)
Status do Win32 (sc-win32-status)

Use esse padrão quando: o formato downstream espera que Cookie e Referer sejam colunas dedicadas.

Padrão 7: mínimo com referenciador (sem cookie, sem desempenho, sem bytes)

Ative estes campos exatamente nesta ordem:

Data (data)
Time (tempo)
Endereço IP do servidor (s-ip)
Método (cs-method)
Radical do URI (cs-uri-stem)
Consulta de URI (cs-uri-query)
Porta do cliente (c-port)
Nome de usuário (cs-username)
Endereço IP do cliente (c-ip)
User Agent (cs(User-Agent))
Referer (cs(Referer))
Status do protocolo (sc-status)
Substatus do protocolo (sc-substatus)
Status do Win32 (sc-win32-status)

Use esse padrão quando:o formato downstream incluir Referer, mas não Cookie/time/bytes.

Padrão 8: mínimo sem referenciador (sem cookies, sem desempenho, sem bytes)

Ative estes campos nesta ordem exata:

Data (data)
Time (tempo)
Endereço IP do servidor (s-ip)
Método (cs-method)
Radical do URI (cs-uri-stem)
Consulta de URI (cs-uri-query)
Porta do cliente (c-port)
Nome de usuário (cs-username)
Endereço IP do cliente (c-ip)
User agent (cs(User-Agent))
Status do protocolo (sc-status)
Substatus do protocolo (sc-substatus)
Status do Win32 (sc-win32-status)

Use esse padrão quando:o formato downstream não incluir o referenciador e você só precisar do contexto principal da solicitação e dos códigos de status.

NÃO ative campos de vários padrões. O analisador espera uma dessas configurações exatas.

Aplicar configuração

Clique em OK para fechar a caixa de diálogo Campos de registro do W3C.
Verifique o caminho do diretório em que os registros serão gravados.
- Padrão: %SystemDrive%\inetpub\logs\LogFiles
Em Substituição de arquivo de registro, selecione Diária (recomendado para ingestão do Google SecOps).
Clique em Aplicar no painel Ações (lado direito).

Verificar a geração de registros do IIS

Depois de configurar os campos do W3C, verifique se o IIS está gravando os registros corretamente:

Gere tráfego de teste para seu site do IIS abrindo uma página da Web em um navegador.
Navegue até o diretório de registros: C:\inetpub\logs\LogFiles\W3SVC1\
- Observação: W3SVC1 corresponde ao primeiro site (site da Web padrão). Para outros sites, o nome da pasta será W3SVC2, W3SVC3 etc.
Abra o arquivo de registro mais recente (por exemplo, u_ex251217.log) no Bloco de Notas.
Verifique se a linha #Fields: contém todos os campos ativados na ordem exata do padrão escolhido.

Exemplo do padrão 3

Se você configurou o Padrão 3 (Básico com substatus, status do Win32 e desempenho com referenciador), a linha #Fields: será:

#Fields: date time s-ip cs-method cs-uri-stem cs-uri-query s-port cs-username c-ip cs(User-Agent) cs(Referer) sc-status sc-substatus sc-win32-status time-taken

Exemplo de entrada de registro:

2025-12-17 14:23:15 192.168.1.10 GET /index.html - 80 - 203.0.113.45 Mozilla/5.0+(Windows+NT+10.0) https://example.com/previous.html 200 0 0 125

Observações importantes:

Os campos vazios são representados por um hífen (-).
A ordem dos campos precisa corresponder exatamente ao cabeçalho #Fields:.
O analisador vai falhar se os campos estiverem ausentes, reordenados ou forem de vários padrões.

Instalar o agente do Bindplane

Instale o agente do Bindplane no servidor Windows de acordo com as instruções a seguir.

Instalação do Windows

Abra o Prompt de comando ou o PowerShell como administrador.

Execute este comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Outros recursos de instalação

Para mais opções de instalação, consulte o guia de instalação do agente do BindPlane.

Configurar o agente do Bindplane para ingerir registros do IIS e enviar ao Google SecOps

Editar o arquivo de configuração

Localize o arquivo config.yaml.
- Caminho padrão: C:\Program Files\observIQ OpenTelemetry Collector\config.yaml
Abra o arquivo usando um editor de texto (por exemplo, Bloco de Notas, VS Code ou Notepad++) como administrador.

Substitua todo o conteúdo pela seguinte configuração:

receivers:
  iis:
    collection_interval: 60s

processors:
  resourcedetection:
    detectors: ["system"]
    system:
      hostname_sources: ["os"]
  normalizesums:
  batch:

exporters:
  chronicle/iis:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    endpoint: chronicle.googleapis.com
    creds: 'C:\SecOps\ingestion-auth.json'
    log_type: 'IIS'
    override_log_type: false
    raw_log_field: body
    customer_id: '<CUSTOMER_ID>'

service:
  pipelines:
    logs/iis:
      receivers:
        - iis
      processors:
        - resourcedetection
        - normalizesums
        - batch
      exporters:
        - chronicle/iis

Atualizar valores de configuração

Substitua os seguintes marcadores de posição:

creds:: caminho para o arquivo de chave JSON da conta de serviço (Opção 1) (por exemplo, C:\SecOps\ingestion-auth.json).
location: substitua <LOCATION> pela região da sua instância do Google SecOps (por exemplo, us, europe ou asia-southeast1). O exportador adiciona esse valor ao prefixo chronicle.googleapis.com. Consulte Endpoints regionais para ver a lista completa.
project: substitua <PROJECT_NUMBER> pelo número do projeto em IAM e administrador > Configurações.
endpoint: mantenha definido como chronicle.googleapis.com.
customer_id:: seu ID de cliente real do Google SecOps da seção Receber o ID de cliente do Google SecOps.

Exportador da API de ingestão legada

Se você usar o arquivo de autenticação de ingestão da Opção 2, substitua o bloco exporters pelo seguinte. Defina creds como o caminho para o arquivo de autenticação de ingestão e, se a instância estiver fora dos EUA, substitua malachiteingestion-pa.googleapis.com pelo endpoint regional (por exemplo, europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/iis:
    compression: gzip
    endpoint: malachiteingestion-pa.googleapis.com
    creds: 'C:\SecOps\ingestion-auth.json'
    log_type: 'IIS'
    override_log_type: false
    raw_log_field: body
    customer_id: '<CUSTOMER_ID>'
```

Reinicie o agente do Bindplane para aplicar as mudanças:

Para reiniciar o agente do Bindplane no Windows, use o console Serviços ou digite o seguinte comando:
```
  net stop observiq-otel-collector && net start observiq-otel-collector
```

Tabela de mapeamento de UDM

Campo de registro	mapeamento de UDM
`@timestamp`	`metadata.event_timestamp`
`__AntiXsrfToken`	`additional.fields`
`__type`	`additional.fields`
`_raw`	`security_result.description`
`_ResourceId`	`target.resource.product_object_id`
`_time`	`metadata.event_timestamp`
`_timestamp`	`metadata.event_timestamp`
`_version`	`metadata.product_version`
`AccountName`	`additional.fields`
`AccountType`	`principal.user.attribute.roles.name`
`Action`	`security_result.action_details`
`addr`	`additional.fields`
`admin_domain`	`principal.administrative_domain`
`agent.ephemeral_id`	`additional.fields`
`agent.hostname`	`observer.hostname`
`agent.name`	`observer.hostname`
`agent.type`	`observer.application`, `observer.asset.asset_id`
`agent.version`	`additional.fields`
`AgentDevice`	`additional.fields`
`AgentLogFile`	`additional.fields`
`AgentLogFormat`	`additional.fields`
`AgentLogProtocol`	`additional.fields`
`apparmor`	`security_result.action`
`ASP.NET_SessionId`	`network.session_id`
`auid`	`additional.fields`
`AUID`	`additional.fields`
`AuthenticationPackageName`	`additional.fields`
`AzureDeploymentID`	`additional.fields`
`beanFactory.0`	`additional.fields`
`beanFactory.1.shareableResources.0`	`additional.fields`
`BU`	`additional.fields`
`c-ip`	`observer.ip`, `intermediary.ip`
`c_ip`	`observer.ip`, `intermediary.ip`
`CalloutKey`	`security_result.about.resource.attribute.labels`
`CalloutName`	`security_result.about.resource.attribute.labels`
`capability`	`security_result.detection_fields`
`capname`	`security_result.detection_fields`
`Category`	`security_result.category_details`
`change_type`	`additional.fields`
`ChangeType`	`security_result.about.resource.attribute.labels`
`Channel`	`security_result.about.resource.attribute.labels`
`ChannelID`	`security_result.about.resource.attribute.labels`
`chronicle_tag`	`additional.fields`
`class`	`security_result.detection_fields`
`cloud_ray_id`	`additional.fields`
`comm`	`principal.application`
`Computer`	`target.hostname`, `target.asset.hostname`
`computername`	`target.hostname`, `target.asset.hostname`
`Conditions`	`security_result.about.resource.attribute.labels`
`ConfigPath`	`additional.fields`
`Configuration`	`additional.fields`
`Connection_IP`	`target.ip`, `target.asset.ip`
`content_type`	`additional.fields`
`cookie`	`additional.fields`
`count`	`additional.fields`
`cribl_breaker`	`additional.fields`
`cribl_host`	`observer.hostname`
`cribl_pipe` (elemento de matriz)	`additional.fields`
`cs`(`Referer`)	`network.http.referral_url`
`cs`(`User-Agent`)	`network.http.user_agent`, `network.http.parsed_user_agent`
`cs-bytes`	`network.received_bytes`
`cs-host`	`additional.fields`
`cs-method`	`network.http.method`
`cs-uri-query`	`target.url`
`cs-uri-stem`	`target.url`
`cs-uri-stem`	`target.url`
`cs-username` (parte do domínio)	`principal.administrative_domain`
`cs-username` (parte do usuário)	`principal.user.userid`
`cs-version`	`network.application_protocol_version`
`cs_bytes`	`network.received_bytes`
`cs_host`	`additional.fields`
`cs_method`	`network.http.method`
`cs_referer`	`network.http.referral_url`
`cs_username`	`principal.user.userid`
`csbyte`	`network.received_bytes`
`csBytes`	`network.received_bytes`
`cshost`	`additional.fields`
`csip`	`principal.ip`, `principal.asset.ip`
`csMethod`	`network.http.method`
`csmethod`	`network.http.method`
`csReferer`	`network.http.referral_url`
`csreferer`	`network.http.referral_url`
`csUriStem`	`target.url`
`csUser-Agent`	`network.http.user_agent`, `network.http.parsed_user_agent`
`csUserAgent`	`network.http.user_agent`, `network.http.parsed_user_agent`
`csuseragent`	`network.http.user_agent`, `network.http.parsed_user_agent`
`csusername`	`principal.user.userid`
`csversion`	`network.application_protocol_version`
`date`	`metadata.event_timestamp`
`DC`	`additional.fields`
`desc`	`metadata.description`
`description`	`security_result.description`
`Domain`	`principal.administrative_domain`
`dst_ip`	`target.ip`, `target.asset.ip`
`dst_ip2`	`target.ip`, `target.asset.ip`
`dst_port`	`target.port`
`duration`	`network.session_duration`, `additional.fields`
`duration`	`network.session_duration.nanos` (se [`duration`] < 1000)
`duration`	`network.session_duration.seconds` (se [`duration`] > 1000)
`ecs.version`	`additional.fields`
`EnabledFieldsFlags`	`additional.fields`
`error_message`	`security_result.description`
`event.dataset`	`additional.fields`
`event.module`	`additional.fields`
`event_data.dataset`	`additional.fields`
`event_data.module`	`additional.fields`
`EventEnqueuedUtcTime`	`additional.fields`
`EventID`	`metadata.product_log_id`
`EventProcessedUtcTime`	`additional.fields`
`EventReceivedTime`	`metadata.collected_timestamp`
`EventRecordID`	`principal.asset.product_object_id`
`EventTime`	`metadata.event_timestamp`
`EventType`	`metadata.product_event_type`
`exe`	`principal.file.full_path`
`ExecutionProcessID`	`principal.process.pid`
`ExecutionThreadID`	`principal.process.product_specific_process_id`
`facility`	`additional.fields`
`FileOffset`	`additional.fields`
`fileset.name`	`additional.fields`
`FileUri`	`observer.file.full_path`
`filter_action`	`security_result.action`
`filter_type`	`additional.fields`
`FilterId`	`security_result.about.resource.attribute.labels`
`FilterKey`	`security_result.about.resource.attribute.labels`
`FilterName`	`security_result.about.resource.attribute.labels`
`FilterType`	`security_result.about.resource.attribute.labels`
`first_seen`	`additional.fields`
`Flags`	`additional.fields`
`For login events`	`extensions.auth.type` (= "MACHINE")
`ftp_command`	`network.ftp.command`
`host`	`target.hostname`, `target.asset.hostname`
`host.architecture`	`target.asset.hardware.cpu_platform`
`host.geo.name`	`additional.fields`
`host.id`	`target.asset.asset_id`
`host.ip`	`target.ip`, `target.asset.ip`
`host.mac`	`target.mac`, `target.asset.mac`
`host.os.build`	`target.platform_patch_level`
`host.os.family`	`additional.fields`
`host.os.kernel`	`additional.fields`
`host.os.name`	`target.platform_version`
`host.os.platform`	`target.platform`
`host.os.type`	`additional.fields`
`host.os.version`	`target.platform_version`
`host_hostname`	`target.hostname`, `target.asset.hostname`
`host_name`	`target.hostname`, `target.asset.hostname`
`Hostname`	`target.hostname`, `target.asset.hostname`
`hostname`	`target.hostname`, `target.asset.hostname`
`HTTP`	`network.application_protocol`
`http_method`	`network.http.method`
`http_response`	`network.http.response_code`
`http_status_code`	`network.http.response_code`
`HTTPS`	`network.application_protocol`
`IIS_source`	`principal.resource.attribute.labels`
`ImpersonationLevel`	`additional.fields`
`input.type`	`additional.fields`
`instance`	`additional.fields`
`Internet Information Server`	`metadata.product_name`
`IpAddress`	`principal.ip`, `principal.asset.ip`, `observer.ip`
`IpPort`	`principal.port`
`jndi_java_class`	`additional.fields`
`jndi_payload`	`additional.fields`
`jndiName`	`additional.fields`
`KeyLength`	`additional.fields`
`Keywords`	`additional.fields`
`last_seen`	`additional.fields`
`LayerId`	`security_result.about.resource.attribute.labels`
`LayerKey`	`security_result.about.resource.attribute.labels`
`LayerName`	`security_result.about.resource.attribute.labels`
`Level`	`security_result.severity` (INFORMATIONAL, ERROR, MEDIUM, LOW)
`LevelValue`	`security_result.about.resource.attribute.labels`
`LmPackageName`	`additional.fields`
`log.file.path`	`observer.file.full_path`
`log.offset`	`metadata.product_log_id`
`loginTimeout`	`additional.fields`
`LogonGuid`	`security_result.about.resource.attribute.labels`
`LogonProcessName`	`additional.fields`
`LogonType`	`extensions.auth.auth_details`
`logstash.collect.host`	`observer.hostname`
`logstash.collect.timestamp`	`metadata.collected_timestamp`
`logstash.ingest.timestamp`	`additional.fields`
`logstash.irm_environment`	`additional.fields`
`logstash.irm_region`	`additional.fields`
`logstash.irm_site`	`additional.fields`
`logstash.process.host`	`intermediary.hostname`
`logstash.process.timestamp`	`additional.fields`
`ManagementGroupName`	`additional.fields`
`message_data`	`security_result.description`
`MethodName`	`additional.fields`
`MG`	`additional.fields`
`Microsoft`	`metadata.vendor_name`
`ministry`	`additional.fields`
`misc`	`security_result.summary`
`msg`	`security_result.description`
`network_direction`	`network.direction` (OUTBOUND ou INBOUND)
`NewValue`	`additional.fields`
`node`	`principal.hostname`, `principal.asset.hostname`
`ObjectInstance.__type`	`additional.fields`
`ObjectInstance.StartInfo.__type`	`additional.fields`
`ObjectInstance.StartInfo.Arguments`	`additional.fields`
`ObjectInstance.StartInfo.FileName`	`additional.fields`
`obs_app`	`observer.application`
`obs_host`	`observer.ip`
`obs_pid`	`observer.process.pid`
`OldValue`	`additional.fields`
`Opcode`	`additional.fields`
`OpcodeValue`	`additional.fields`
`operation`	`security_result.detection_fields`
`OS_Platform`	`additional.fields`
`OS_Release`	`additional.fields`
`OS_Timezone`	`additional.fields`
`OS_type`	`target.platform`
`OS_Version_ID`	`additional.fields`
`OutlookSession`	`additional.fields`
`PartitionId`	`additional.fields`
`PhysicalPath`	`target.file.full_path`
`pid`	`principal.process.pid`
`PluginVersion`	`additional.fields`
`prin_ip`	`observer.ip`
`prin_ip`	`principal.ip`, `principal.asset.ip`
`principal_ip` (condicionalmente)	`intermediary.ip`
`principal_ip` (condicionalmente)	`observer.ip`
`principal_or_intermediary_ip`	`intermediary.ip`
`priority`	`additional.fields`
`process_file`	`target.process.file.full_path`
`process_id`	`additional.fields`
`ProcessID`	`principal.process.pid`
`ProcessName`	`principal.process.file.full_path`
`profile`	`security_result.detection_fields`
`propertyPath`	`additional.fields`
`ProviderGuid`	`security_result.about.resource.attribute.labels`
`ProviderKey`	`security_result.about.resource.attribute.labels`
`ProviderName`	`security_result.about.resource.attribute.labels`
`RecordNumber`	`additional.fields`
`request_url`	`target.url`
`res`	`security_result.action`
`res`	`security_result.action` (ALLOW se "success")
`response_content`	`additional.fields`
`Role`	`additional.fields`
`RoleInstance`	`additional.fields`
`s-computername`	`target.hostname`, `target.asset.hostname`
`s-ip`	`target.ip`, `target.asset.ip`
`s-port`	`target.port`
`s-sitename`	`target.application`
`s_sitename`	`target.application`
`sComputerName`	`target.hostname`, `target.asset.hostname`
`scope_id`	`additional.fields`
`sc-bytes`	`network.sent_bytes`
`sc-status`	`network.http.response_code`
`sc-substatus`	`additional.fields`
`sc-win32-status`	`additional.fields`
`sc_bytes`	`network.sent_bytes`
`sc_substatus`	`additional.fields`
`sc_win32_status`	`additional.fields`
`scbyte`	`network.sent_bytes`
`scBytes`	`network.sent_bytes`
`scStatus`	`network.http.response_code`
`scstatus`	`network.http.response_code`
`sec_desc`	`security_result.description`
`service.type`	`additional.fields`
`ses`	`network.session_id`
`Severity`	`security_result.severity` (INFORMATIONAL, ERROR, MEDIUM, LOW)
`severity`	`security_result.severity` (INFORMATIONAL, ERROR, MEDIUM, LOW)
`SeverityValue`	`security_result.about.resource.attribute.labels`
`site`	`additional.fields`
`sitename`	`target.application`
`source`	`observer.file.full_path`
`SourceModuleName`	`observer.resource.name`
`SourceModuleType`	`observer.application`
`SourceName`	`additional.fields`
`SourceSystem`	`observer.application`
`src_host` (se `Hostname`)	`principal.hostname`, `principal.asset.hostname`
`src_ip`	`observer.ip`, `intermediary.ip`
`src_port`	`principal.port`
`sSiteName`	`target.application`
`StorageAccount`	`additional.fields`
`streamid`	`additional.fields`
`SubFleetName`	`additional.fields`
`subj`	`principal.resource.attribute.labels`
`SubjectDomainName`	`principal.administrative_domain`
`SubjectLogonId`	`principal.resource.attribute.labels`
`SubjectUserName`	`principal.user.userid`
`SubjectUserSid`	`principal.user.windows_sid`
`syslog_facility`	`security_result.detection_fields`
`syslog_facility_code`	`security_result.detection_fields`
`syslog_pri`	`security_result.priority_details`
`syslog_severity`	`security_result.severity_details`
`syslog_severity_code`	`security_result.detection_fields`
`SyslogFacility`	`security_result.about.resource.attribute.labels`
`SyslogFacilityValue`	`security_result.about.resource.attribute.labels`
`SyslogSeverity`	`security_result.about.resource.attribute.labels`
`SyslogSeverityValue`	`security_result.about.resource.attribute.labels`
`system`	`target.platform`
`tags` (elementos de matriz)	`additional.fields`
`target_host`	`target.hostname`, `target.asset.hostname`
`targetBeanName`	`additional.fields`
`TargetDomainName`	`target.administrative_domain`
`TargetLogonId`	`target.resource.attribute.labels`
`TargetUserName`	`target.user.userid`
`TargetUserSid`	`target.user.windows_sid`
`task`	`additional.fields`
`TaskValue`	`additional.fields`
`TenantId`	`additional.fields`
`ThreadID`	`additional.fields`
`time`	`metadata.event_timestamp`
`time-taken`	`additional.fields`
`time-taken`	`network.session_duration`
`time_taken`	`additional.fields`
`time_taken`	`network.session_duration`
`TimeGenerated`	`security_result.about.resource.attribute.labels`
`timestamp`	`metadata.event_timestamp`
`total_CPU`	`target_hardware.cpu_number_cores`
`total_memory`	`additional.fields`
`transletBytecodes.0`	`additional.fields`
`transletName`	`additional.fields`
`TransmittedServices`	`additional.fields`
`Type`	`additional.fields`
`type`	`metadata.product_event_type`
`UID`	`principal.user.user_display_name`
`uid`	`principal.user.userid`
`unit`	`target.application`
`uristem`	`target.url`
`user_agent`	`network.http.user_agent`, `network.http.parsed_user_agent`
`user_agent` (se a análise JSON falhar)	`additional.fields`
`UserID`	`principal.user.windows_sid`
`UserName`	`target.user.userid`
`UserSid`	`principal.user.windows_sid`
`Version`	`metadata.product_version`
`version`	`metadata.product_version`
`Weight`	`security_result.about.resource.attribute.labels`
`WorkstationName`	`additional.fields`
`X-BackEndCookie`	`additional.fields`
`xff_ip`	`principal.ip`, `principal.asset.ip`
`xforwardedfor`	`principal.ip`, `principal.asset.ip` (para o primeiro endereço IP), `intermediary.ip` (para o restante dos endereços IP)

Referência de delta de mapeamento de UDM

Em 16 de julho de 2026, o Google SecOps lançou uma nova versão do analisador do Microsoft Internet Information Services (IIS), que inclui mudanças significativas no mapeamento dos campos de registro do Microsoft Internet Information Services para os campos do UDM.

A tabela a seguir lista o delta de mapeamento para campos de registro dos Serviços de Informações da Internet da Microsoft para UDM expostos antes de 16 de julho de 2026 e posteriormente (listados nas colunas Mapeamento antigo e Mapeamento atual, respectivamente):

Campo de registro	Mapeamento antigo	Mapeamento atual
`AccountType`	`principal.user.role_name`	`principal.user.attribute.roles[].name`
`Action`	`security_result.about.resource.attribute.labels`	`securtiy_result.action_details`
`agent.type`	`principal.application`	`observer.application`
`agent.type + host_id`	`observer.asset_id`	`target.asset.asset_id => host_id: %{host_id}`, `observer.asset.asset_id => agent.type + agent.id` , No mapeamento antigo, os campos de registro `agent.type` e `host_id` foram mesclados e mapeados para `observer.assetid`. No mapeamento atual, `host_id` é mapeado para `target.asset.asset_id` e `agent.type` é mapeado para `observer.asset.asset_id`.)
`app_name`	`principal.application`	`target.hostname`
`c_ip`	`principal.ip`, `principal.asset.ip`	Se xff_ip estiver presente: `intermediary.ip`
`comm`	`target.process.command_line`	`principal.application`
`cookie`		`additional.fields`
`cribl_breaker`	`target.resource.attribute.labels`	`additional.fields`
`cs`(`User-Agent`)	`network.http.user_agent`	O analisador agora inclui uma verificação condicional para evitar o mapeamento de valores "-", o que remove o mapeamento `network.http.user_agent` quando `cs`(`User-Agent`) tem apenas "-".
`cs-uri-query`	Os campos de dados foram extraídos e mapeados individualmente.	Concatenado com `cs-uri-stem` e mapeado para `target.url`. Removidos mapeamentos extraídos individualmente para preservar o significado completo dos dados de URL.
`cs-version`	`network.tls.version`	`network.application_protocol`, `network.application_protocol_version`
`cs_version`	`network.tls.version`	`network.application_protocol`, `network.application_protocol_version`
`csversion`	`network.tls.version`	`network.application_protocol`, `network.application_protocol_version`
`Domain`	`principal.user.userid`	`principal.administrative_domain`
`ecs.version`	`principal.asset.attribute.labels`	`additional.fields`
`ftp_command`	`principal.application`	`network.ftp.command`
`host`	`principal.hostname`, `principal.asset.hostname`	`target.hostname`, `target.asset.hostname`, `observer.hostname` (o servidor da Web de destino na ausência de um campo relacionado ao nome do computador. Caso contrário, o campo vai funcionar como um identificador da máquina observadora.
`host.architecture`	`principal.asset.hardware.cpu_platform`	`target.asset.hardware.cpu_platform`
`host.mac`	`principal.mac`	`target.mac`
`host.os.build`	`additional.fields`	`target.platform_patch_level`
`host.os.kernel`	`principal.platform_patch_level`	`additional.fields`
`host.os.platform`	`principal.platform`	`target.platform`
`intermediary_device_name`	`intermediary.hostname`, `observer.hostname` (No mapeamento antigo, o analisador extraía os dados relacionados ao servidor como dois campos. O analisador agora usa um único campo e mapeia dados relacionados ao servidor para os detalhes de destino relevantes.	`target.hostname`
`log.file.path`	`target.file.full_path`	`observer.file.full_path`
`LogonType`	`additional.fields`	`extensions.auth.auth_details`
`name`	`target.resource.name`, `additional.fields` (No mapeamento antigo, `name` foi extraído de um padrão e mapeado incorretamente.)	`target.application`
`observer_devicename`	`intermediary.hostname`, `observer.hostname` (No mapeamento antigo, o analisador extraía `observer_devicename` de um padrão e mapeava incorretamente os dados relacionados ao servidor como dois campos. O analisador agora usa um único campo e mapeia dados relacionados ao servidor para os detalhes de destino relevantes.	`target.hostname`
`OS_type`	`principal.asset.platform_software.platform`	`target.platform`
`s-sitename`	`target.resource.name`, `additional.fields`	`target.application`
`s_port` (extraído de padrões atualizados)	`principal.port`	`target.port`
`s_sitename`	`target.resource.name`, `additional.fields`	`target.application`
`sitename`	`target.resource.name`, `additional.fields`	`target.application`
`source`	`principal.resource.attribute.labels`	`observer.file.full_path`
`SourceName`	`security_result.about.resource.attribute.labels`	`additional.fields`
`SourceSystem`	`security_result.detection_fields`	`observer.application`
`sSiteName`	`target.resource.name`, `additional.fields`	`target.application`
`SubjectUserName`	`principal.user.userid`, `principal.hostname`	`principal.user.userid`
`tags`	`security_result.rule_name`	`additional.fields`
`UID`	`target.user.userid`	`principal.user.user_display_name`
`UserSid`	`target.user.windows_sid`	`principal.user.windows_sid`
`xforwardedfor`	`principal.ip`, `target.ip`, `intermediary.ip` (em casos diferentes)	`principal.ip` (o primeiro endereço IP), `intermediary.ip` (todos os outros endereços IP)
Detalhes do registro do IIS encapsulados em `_raw` ou `message`	`security_result.description`	Removido se o formato for analisado pelo filtro interno.
Linhas de registro de solicitação-resposta do servidor da Web do IIS que detalham a transação HTTP, ou seja, uma solicitação GET que resulta em um redirecionamento, não em um resultado de autenticação.	`metadata.event_type = USER_LOGIN`	`metadata.event_type = NETWORK_HTTP`
N/A	`network.http.parsed_user_agent` (No mapeamento antigo, o analisador mapeava incorretamente um campo de registro para o user agent. No mapeamento atual, o analisador mapeia corretamente um campo adequado para `network.http.parsed_user_agent`.)
N/A	`principal.port`	`network.http.response_code` (No mapeamento antigo, o mapeamento era inadequado. No mapeamento atual, o analisador mapeia corretamente um campo adequado para `network.http.response_code`.)

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.