Sacar estadísticas de IIS 7.5

Este mini artículo es compatible con IIS 7.5, 6.0 y los logs de apache, es posible también aplicarlo a exportación de datos en TXT o TAB (como archivos de la sunat).

A fin de año puedes requerir revisar el uso del servidor IIS, para eso lo primero es ubicar los logs eso es en LOGFILES dentro de la carpeta INETPUP\LOGS.

Cada archivo por día contiene todas las visitas separado por TABS.

Para consultar estos archivos se debe usar la siguiente herramienta

logparser file:Consulta.sql -i:W3C

INSTALAR LOG PARSER 2.2
Descargarlo desde el sitio web de microsoft LogParser, es una linea de comando asi que se requiere cierta habilidada con los comandos DOS

EJECUTANDO COMANDOS
Se debe crear un archivo con extensión SQL, por ejemplo Consulta.sql

logparser file:Consulta.sql -i:W3C

Ejemplo de archivo.

SELECT TOP 10 TO_LOWERCASE(cs-uri-stem) AS File, COUNT(*) As Hits
FROM 'C:\inetpub\logs\logsfiles\ex*'
   WHERE EXTRACT_EXTENSION(File) IN ( 'aspx'; 'php')
GROUP BY File
ORDER BY Hits DESC

LOG PARSER STUDIO
Un nueva UI para LOGPARSER ha sido publicada en el siguiente enlace, ahora es mas fácil porque provee un catalogo de consultas comunes y la posibilidad de generar gráficos en una sola aplicación.

UN PASO ADELANTE CONTRA ATAQUES DOS e INTRUSIONES
Desde la implementacion de POWERSHELL los programas MICROSOFT pueden interactuar con multiples fuentes de datos, con LOGPARSER se puede consultar el monitor de red NETMON para sacar data para detectar ataques DOS

Linea de comando
Logparser.exe file:.sql?capfile=capture.cap -i:netmon

SELECT
    TCPFlags,
    Count(*) AS Packets,
    TO_INT(MUL(100.0,PropCount(*))) AS
     Percent
INTO DATAGRID
FROM %capfile%
GROUP BY TCPFlags
ORDER BY Packets DESC

Este contador muestra los valores S para SYN y A para ACK que son los valores del protocolo TCP IP para entablara conexiones. Si los montos suben demasiado es que estan enviando consultas masivas al servidor

Symantec ademas ha publicado querys para analizar la data el log (ver enlace)

En general se pueden sacar web administrativas accedidas desde fuera de la red, imagenes, etc.

En el enlace de MICROSOFT estan otros querys referidos para medir el consumo de ancho de banda, visitas y paginas que devolvieron error en el IIS (ver enlace).