Cosa sono i file di log IIS (Internet Information Services)

IIS (Internet Information Services) è il server web Microsoft per Windows Server, usato per ospitare siti web, applicazioni ASP.NET, API, servizi WCF. Per monitoraggio, analisi traffico, sicurezza e troubleshooting, IIS genera file di log strutturati che registrano ogni richiesta elaborata.

Formati di log supportati

• W3C Extended Log File Format (default): Testo, campi personalizzabili (data, ora, IP client, metodo, URI, status, user-agent, referrer, tempo risposta, byte inviati/ricevuti, ecc.). Standard industriale.
• IIS Log File Format: Formato proprietario Microsoft, simile a NCSA Common Log.
• NCSA Common Log File Format: Formato storico, campi fissi.
• ODBC Logging: Scrive log direttamente in database SQL (legacy, deprecato).

Informazioni tipiche registrate (formato W3C)

Ogni riga = una richiesta HTTP/HTTPS. Campi chiave:

• date time - Timestamp UTC (configurabile fuso orario)
• s-ip - IP server
• cs-method - Metodo HTTP (GET, POST, PUT, DELETE...)
• cs-uri-stem - Risorsa richiesta (/index.html, /api/users)
• cs-uri-query - Query string (?id=123&lang=it)
• s-port - Porta server (80, 443)
• cs-username - Utente autenticato (se autenticazione Windows/Basic)
• c-ip - IP client (visitor)
• cs(User-Agent) - Browser/bot/app
• cs(Referer) - Pagina di provenienza
• sc-status - Codice stato HTTP (200, 301, 404, 500...)
• sc-substatus - Sottostato IIS (es. 404.3 = estensione non configurata)
• sc-win32-status - Codice errore Win32 (es. 64 = nome rete non più disponibile)
• time-taken - Tempo elaborazione richiesta (millisecondi)

Utilità dei log IIS

• Analisi traffico: Pagine più visitate, orari picco, geolocalizzazione IP, browser/OS usati.
• Sicurezza: Rilevare attacchi (SQL injection in query string, scansione directory, brute force login - molti 401/403), bot malevoli.
• Performance: Identificare URL lenti (time-taken alto), errori 5xx ricorrenti.
• SEO: Verificare crawling bot (Googlebot, Bingbot), errori 404/500 su pagine importanti.
• Debug: Ricostruire sequenza richieste per errore utente specifico (via IP + timestamp).

Gestione e analisi

• Log si trovano in %SystemDrive%\inetpub\logs\LogFiles\W3SVC[SiteID]\ (es. C:\inetpub\logs\LogFiles\W3SVC1\u_ex240115.log).
• Rotazione: giornaliera (default), oraria, per dimensione. Configurabile in "Logging" del sito in Gestione IIS.
• Strumenti analisi: Log Parser 2.2 (Microsoft, query SQL-like su log), GoAccess (HTML report interattivo), ELK Stack (Elasticsearch+Logstash+Kibana), Splunk, Azure Monitor / Log Analytics, Awstats, Webalizer.