IIS伺服器配置NXLog進行syslog轉發（並解決GMT+8小時時差問題）

NXLog是個跨平臺日誌傳輸插件，支持linux、windows平臺的大部分系統日誌及常見的web日誌，支持tcp、udp、http(s)等協議傳輸。本文通過NXLog將IIS的日誌以syslog的形式轉發至日誌審計伺服器。一、系統環境操作系統：Window Server2012 R2 Dat ...

NXLog是個跨平臺日誌傳輸插件，支持linux、windows平臺的大部分系統日誌及常見的web日誌，支持tcp、udp、http(s)等協議傳輸。

本文通過NXLog將IIS的日誌以syslog的形式轉發至日誌審計伺服器。

一、系統環境

操作系統：Window Server2012 R2 DataCenter

IIS：8.5

NXLog：nxlog-ce-2.10.2150

下載地址：https://nxlog.co/products/nxlog-community-edition/download （Windows請選擇msi文件下載）

二、NXLog的整體實現原理

NXLog整體採用插件架構模式，通過載入可調用的模塊，實現從各種不同的日誌來源讀取日誌數據(Input)，對日誌數據進行解析和轉換(Prosessor)，最後進行輸出(Output)。

IIS的日誌為文本類型的逐行文件，各欄位使用“空格符”進行分割，而其中的日期和時間分屬於兩個不同的欄位。因此IIS的日誌可以通過Input的im_file模塊進行讀取，並經過一定的處理後輸出（轉發）。

在NXLog的安裝路徑C:\Program Files\nxlog（或C:\Program Files (x86)\nxlog）下找到conf\nxlog.conf，用文本編輯器進行編輯。

三、具體配置方法

1. 查看本地IIS日誌格式（在IIS管理器中可以對W3C日誌記錄欄位進行更改。）

#Software: Microsoft Internet Information Services 8.5
#Version: 1.0
#Date: 2020-04-26 06:14:01
#Fields: date time s-ip cs-method cs-uri-stem cs-uri-query s-port cs-username c-ip cs(User-Agent) cs(Referer) cs-host sc-status sc-substatus sc-win32-status time-taken

2. 設置W3C擴展日誌格式（這裡的第一個$datetime是將$date和$time進行了合併，具體見下麵input中的操作。）

<Extension w3c>
    Module xm_csv
    Fields $datetime, $s-ip, $cs-method, $cs-uri-stem, $cs-uri-query, $s-port, $cs-username, $c-ip, $csUser-Agent, $cs-Referer, $cs-host, $sc-status, $sc-substatus, $sc-win32-status, $time-taken
    FieldTypes string, string, string, string, string, string, string, string, string, string, string, string, string, string, string
    Delimiter ' '
    QuoteChar '"'
    EscapeControl TRUE
    UndefValue -
</Extension>

3. 增加Input日誌來源

<Input IISin>
   Module   im_file
   # IIS日誌目錄，文件名支持通配符，文件夾不支持
   File     "C:\inetpub\logs\LogFiles\W3SVC1\u_ex*.log"
   SavePos  TRUE
   # 忽略以#開頭的日誌行
   # 編碼轉換為GBK（我的日誌審計伺服器預設為GBK編碼，而IIS日誌的編碼為UTF-8，請按實際情況設置）
   # 利用替換法將日期與時間合併為一個欄位
   # 解析為CSV格式
   # 通過xm_csv模塊對W3C擴展日誌進行解析
   # 將合併後的日期與時間作為EventTime（發生時間），並增加GMT標誌(+00:00)解決IIS8小時時差問題
   Exec if $raw_event =~ /^#/ drop();                              \
        else                                                       \
        {                                                          \
          convert_fields("AUTO", "GBK");                           \
          $raw_event = replace($raw_event, ' ', '@', 1);           \
          w3c->parse_csv();                                        \
          $raw_event = replace($raw_event, ' ', "\t");             \
          $raw_event = replace($raw_event, '@', ' ', 1);           \
          $EventTime = parsedate(replace($datetime, '@', ' ', 1) + '+00:00'); \
        }
</Input>

4. 增加Output日誌輸出（內網通過UDP方式輸出可以提高運行效率；如果需要高可靠性可採用TCP，但容易造成工作負載過大。使用to_syslog_bsd後，在input段設置的$EventTime才能有效。）

<Output IISout>
   Module om_udp
   Host 10.168.100.1
   Port 514
   Exec to_syslog_bsd();
</Output>

5. 增加轉發規則

<Route 1>
   Path IISin => IISout
</Route>

　　
四、啟動NXLog

可以通過服務管理器services.msc中啟動nxlog服務，或者在安裝路徑中雙擊nxlog.exe運行。

五、排錯

檢查安裝路徑\data\nxlog.log日誌文件，併進行排錯。如果提示如下內容（ERROR if-else failed），大多數是因為<Extension w3c>段中配置的欄位和日誌中的欄位不匹配。

2020-04-26 14:04:24 ERROR if-else failed at line 43, character 315 in C:\Program Files (x86)\nxlog\conf\nxlog.conf. statement execution has been aborted; procedure 'parse_csv' failed at line 43, character 181 in C:\Program Files (x86)\nxlog\conf\nxlog.conf. statement execution has been aborted; Too many fields in CSV input, expected 15, got 16 in input '...此處略去具體日誌內容...'

六、實際效果

七、完整配置文件：conf\nxlog.conf

Panic Soft
#NoFreeOnExit TRUE

define ROOT     C:\Program Files (x86)\nxlog
define CERTDIR  %ROOT%\cert
define CONFDIR  %ROOT%\conf
define LOGDIR   %ROOT%\data
define LOGFILE  %LOGDIR%\nxlog.log
LogFile %LOGFILE%

Moduledir %ROOT%\modules
CacheDir  %ROOT%\data
Pidfile   %ROOT%\data\nxlog.pid
SpoolDir  %ROOT%\data

<Extension w3c>
    Module xm_csv
    Fields $datetime, $s-ip, $cs-method, $cs-uri-stem, $cs-uri-query, $s-port, $cs-username, $c-ip, $csUser-Agent, $cs-Referer, $cs-host, $sc-status, $sc-substatus, $sc-win32-status, $time-taken
    FieldTypes string, string, string, string, string, string, string, string, string, string, string, string, string, string, string
    Delimiter ' '
    QuoteChar '"'
    EscapeControl TRUE
    UndefValue -
</Extension>

<Extension _syslog>
    Module      xm_syslog
</Extension>

<Extension _charconv>
    Module      xm_charconv
    AutodetectCharsets iso8859-2, utf-8, utf-16, utf-32
</Extension>

<Extension _exec>
    Module      xm_exec
</Extension>

<Extension _fileop>
    Module      xm_fileop

    # Check the size of our log file hourly, rotate if larger than 5MB
    <Schedule>
        Every   1 hour
        Exec    if (file_exists('%LOGFILE%') and \
                   (file_size('%LOGFILE%') >= 5M)) \
                    file_cycle('%LOGFILE%', 8);
    </Schedule>

    # Rotate our log file every week on Sunday at midnight
    <Schedule>
        When    @weekly
        Exec    if file_exists('%LOGFILE%') file_cycle('%LOGFILE%', 8);
    </Schedule>
</Extension>

<Input IISin>
   Module   im_file
   # IIS日誌目錄，文件名支持通配符，文件夾不支持
   File     "C:\inetpub\logs\LogFiles\W3SVC1\u_ex*.log"
   SavePos  TRUE
   # 忽略以#開頭的日誌行
   # 編碼轉換為GBK（我的日誌審計伺服器預設為GBK編碼，而IIS日誌的編碼為UTF-8，請按實際情況設置）
   # 合併日期與時間為一個欄位
   # 解析為CSV格式
   # 通過xm_csv模塊對W3C擴展日誌進行解析
   # 將合併後的日期與時間作為EventTime（發生時間），並增加GMT標誌(+00:00)解決IIS8小時時差問題
   Exec if $raw_event =~ /^#/ drop();                              \
        else                                                       \
        {                                                          \
          convert_fields("AUTO", "GBK");                           \
          $raw_event = replace($raw_event, ' ', '@', 1);           \
          w3c->parse_csv();                                        \
          $raw_event = replace($raw_event, ' ', "\t");             \
          $raw_event = replace($raw_event, '@', ' ', 1);           \
          $EventTime = parsedate(replace($datetime, '@', ' ', 1) + '+00:00'); \
        }
</Input>

<Output IISout>
   Module om_udp
   Host 10.168.100.1
   Port 514
   Exec to_syslog_bsd();
</Output>

<Route 1>
   Path IISin => IISout
</Route>

參考資料：

1. 官方文檔：https://nxlog.co/documentation

2. 利用nxlog以syslog方式發送iis日誌 https://blog.csdn.net/weixin_34111819/article/details/91882420

3. Nxlog配置 https://blog.csdn.net/zmb419/article/details/85229737