Données à récolter pour un travail de surveillance ou d'investigation sur un serveur Web

Afin de commencer un travail d’investigation sur le fonctionnement d’une application Web (erreurs, crashes, performance, fuites mémoire), les données les intéressantes à récupérer d’un serveur Web sont :

- Logs IIS

- Logs HTTPERR

- Journaux d’événements

- Logs perfmon si possible

- Dumps si necessaire

Voici plus de précisions :

Logs IIS

Les logs IIS sont les fichiers contenus dans « C:\windows\system32\logfiles\W3SVCxxxx ». xxxx représente le numéro du site Web.

Vous avez ensuite un ou plusieurs fichiers portant la date du jour

Référence pour les codes IIS :

• Description of Microsoft Internet Information Services (IIS) 5.0 and 6.0 status codes - https://support.microsoft.com/kb/318380/en-us

Logs HTTPERR

Il s'agit des logs de la partie Kernel de Windows qui réceptionne les requêtes et envoie les réponses.

Pour analyser les messages d'erreurs contenus dans ces logs :

• Error logging in HTTP API - https://support.microsoft.com/kb/820729/en-us

Les journaux d’évènements Application, Système et Sécurité

Les journaux donnent des informations pertinentes sur les redemarrages d'IIS/des pools d'applications, sur erreurs remontés par les pools d'applications, etc...

• WWW Service Events (IIS 6.0) - https://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/ea584d51-16b5-4be7-9e70-7c7487ca4500.mspx?mfr=true
• WWW Service Worker Process Events (IIS 6.0) - https://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/ea584d51-16b5-4be7-9e70-7c7487ca4500.mspx?mfr=true

Deux précisions sur les logs IIS :

- Pour apprécier le temps total de traitement des requêtes par le serveur Web, nous vous conseillons d’activer le champ « time-taken » des logs IIS6. Ce champs donne le temps total de traitement de chaque requête à partir du moment où le serveur reçoit la requête jusqu’au moment où il renvoie la réponse HTTP. Cela englobe le temps de traitement Web Service et/ou Base de données sous-jacent.

- Le Win32 Status peut être aussi très utile. Il est possible d’en connaitre la signification avec l’outil « Err.exe » : Microsoft Exchange Server Error Code Look-up - Err.exe