IIS 検索例クイック ガイド
IIS 検索例クイック ガイドでは、さまざまな用途で役に立つ IIS 検索クエリの例について説明します。
このクイック ガイドの例では、必要に応じて以下のようなアクセス ログ メッセージを使用します。
2015-06-03 00:02:48 GET /myurl dp=mysearch 8200 10.1.1.1 Windows-RSS-Platform/2.0+(IE+11.0;+Windows+NT+6.2) - - abcd.com 200 0 0 2583 271 15
キーワード式
使用例 | Sumo Logic クエリの例 |
メッセージを指定して失敗またはエラーを検索する。 | "ID = 123456" AND (fail* OR error) |
sshd ログのエラーを検索する。デフォルトは AND です。2 重引用符で囲まない限り、大文字と小文字を区別しません。 | sshd (fail* OR error OR allowed OR identity) |
ルータ メッセージを除いて、一般的な承認失敗を検索する。 | (fail* OR error?) NOT _source=routers |
詳細については、「キーワード検索式」を参照してください。
Parse、Count、および Top operator
使用例 | Sumo Logic クエリの例 |
シンプルなワイルドカードを使用して "from" および "to" フィールドを抽出する。たとえば、未処理のイベントに "From: Jane To: John" が含まれている場合は、from=Jane および to=John になります。 | * | parse "From: * To: *" as from, to |
正規表現パターンを使用して IP アドレスを抽出する。 | * | parse regex |
アクセスされたページを特定して、"cs_uri_stem" フィールドとして抽出する。 | _source=IIS |
ステータス コード "200" のメッセージを特定して、"sc_substatus"、"sc_win32_status"、および "sc_bytes" フィールドとして抽出する。 | _source=IIS |
以下の例は、上記の parse の適用を前提としています。 | |
各クライアント IP アドレスに送信された合計バイト数を計算する。 | | count, sum(sc_bytes) by c_ip |
正常な HTTP 応答の平均サイズを計算する。 | | avg (sc_bytes) |
"sc_substatus" フィールドが欠落していても、それらのメッセージを除外しない (nodrop)…それ以外の場合は一致しないものを除外する。 | | parse " 200 * " as sc_substatus nodrop |
ページのアクセス回数を計算する。 | | count by cs_uri_stem |
クライアント IP アドレスごとのページの合計数を計算する。 | | count by c_ip |
クライアント IP アドレスごとのページの合計数を計算して、降順にソートする。 | | count by c_ip desc |
上位 10 ページを特定する。 | | count by cs_uri_stem |
帯域幅使用率の上位 10 クライアント IP アドレスを特定する。 | | sum(sc_bytes) as total_bytes by c_ip |
ヒット数の上位 100 クライアント IP アドレスを特定する。 | | count by c_ip |
Timeslice と Transpose
使用例 | Sumo Logic クエリの例 |
ホストまたはドメインが "abcd.com" の場合に、タイムスライス 15m で sc_status を集計する。 | source=IIS |
結果を転置して、時間を X 軸に sc_status を Y 軸にする (値は凡例に表示可能)。 | | transpose row _timeslice column sc_status |
詳細については、「Timeslice」と「Transpose」を参照してください。
conditional operator
使用例 | Sumo Logic クエリの例 |
Source "IIS" について、クライアント エラー ステータス コードが 400 番台のすべてのメッセージを検索する。 | _source=IIS 40* |
Source "IIS/Access" について、ブラウザごとのヒット数を集計する。 | source=IIS/Access |
where operator を使用して週末日のみ特定する。 | * | parse "day=*:" as day_of_week |
パスにサブディレクトリ "Courses" が含まれている URL をすべて特定する。 | * | parse "GET * " as cs_uri_stem |
数値 2、3 または 6 を含むバージョン番号を検索する。num operator を使用して文字列を数値に変換します。 | * | parse "Version=*." as number |
詳細については、「Where」および「If」を参照してください。
メタデータ フィールドをキーワード式に追加すると、クエリで詳細を指定できます。メタデータ フィールドには、_sourceCategory
、_sourceHost
、および _sourceName
があります。[Collection (コレクション)] タブで Source メタデータを編集します。詳細については、「検索メタデータ」を参照してください。