Was steht in Server-Logfiles und was kann daraus analysiert werden?

Grundlagen der Server-Logfiles:

Web-Server-Logfiles sind reine Textfiles (ASCII) und können je nach Server-Plattform unterschiedlich aussehen/aufgebaut sein. Zwar gibt es einzelne Unterschiede, aber generell sind folgende Informationen enthalten:

1. Transfer-Log (Zugriffe)
2. Error-Log (alle Fehler)
3. Referrer-Log (alle verweisenden Webseiten)
4. Agent-Log (Informationen über den Besucher)

Transfer-Log (Access-Log)

Das nachstehende Beispiel stammt von der Stanforduniversity, die diesen Bereich sehr gut beschreibt:

Typischerweise sieht ein Eintrag wie folgt aus:

1Cust216.tnt1.santa-monica.ca.da.uu.net - -[08/May/1999:12:13:03 -0700]
GET /gen/meeting/ssi/next/HTTP/1.0 200 9887 http://www.slac.stanford.edu/
Mozilla/3.01-C-MACOS8 (Macintosh; I; PPC)  GET /gen/meeting/ssi/next/ - HTTP/1.0IP

Was sieht man daraus?

Adresse oder DNS-Eintrag:
1Cust216.tnt1.santa-monica.ca.da.uu.net

Dies ist die Adresse des Rechners, der die Anfrage (HTTP-Request) an das eigene Webangebot richtet. Der Server speichert die IP und schaut dann (wenn so konfiguriert), nach dem DNS-Server. In diesem Fall findet er heraus, dass der Internet-Service-Provider in Santa Monica, California, beheimatet ist.

RFC931 (Identifikation)

Dieser Wert wird selten benutzt (sollte dazu dienen, den Anfragenden zu identifizieren). Meistens wird es durch einen Strich gekennzeichnet, wenn der Wert nicht vorhanden ist.

Authuser (Authentifikation)

Ist der Benutzer ein authentifizierter Benutzer (also jemand, der sich auf Ihren Webseiten anmelden muss), so wird an dieser Stelle der Benutzer mitgeführt (im obigen Fall wieder ein Strich, also kein authentifizierter Benutzer).

Time Stamp (Zeitstempel)

[08/May/1999:12:13:03 -0700]

Der Zeitstempel gibt das Datum und die Uhrzeit an, zu der der Zugriff auf die Website erfolgte. -0700 bedeutet, dass eine 7-Stündige Abweichung von GMT (Greenwich Mean Time) besteht (also die Angabe der Ortszeit).

Wenn man die Zeitstempel zwischen den Einträgen vergleicht, kann man herauslesen, wie lange ein Besucher auf der Website bleibt (und wie er sich darauf bewegt hat).

[08/May/1999:12:20:53 -0700] GET /gen/meeting/ssi/next/index.html HTTP/1.0 200 9887
http://www.slac.stanford.edu/gen/meeting/ssi/

[08/May/1999:12:21:50 -0700] GET / HTTP/1.0 200 13516
http://www.slac.stanford.edu/detailed.html HTTP Request GET /gen/meeting/ssi/next/ HTTP/1.0

GET bzw. POST zeigt die unterschiedlichen Zugriffe auf.

Status Code

Es gibt vier verschiedene Status-Codes

Success (200 Serie) –> Alles Erfolgreich

Redirect (300 Serie) –> Weiterleitungen

Failure (400 Serie) –> Fehler (z.B. 404 Seite nicht gefunden)

Server Error (500 Series) –> Serverfehler (z.B. Server nicht gefunden)

200 bedeutet, dass der Aufruf der Seite erfolgreich war. Oft zu lesende andere Statuscodes sind z.B. 302: Dies bedeutete eine Weiterleitung von einer Seite auf eine andere Seite (automatische Weiterleitung) oder 304 für einen konditionellen GET (passiert dann, wenn der Server schaut, ob die Nachfrage nach einer Grafik aus dem Cache erfolgen kann, weil diese immer noch die aktuelle Grafik ist). Die häufigsten Fehlercodes sind 401 (failed authentication), 403 (forbidden) und 404 (file not found).

Der nächste Wert zeigt das

Transfer Volumen

9887

Für GET HTTP-Transaktionen zeigt dieses Feld die Anzahl der Bytes, die übertragen wurden (andere Aktionen tragen einen Strich oder eine 0).

Das Transfervolumen ist das Ende des Transfer-Logs. Die restlichen Felder zeigen den Referer (Verweisende Website) und Agent-Log.

Referer URL

http://www.slac.stanford.edu/

Die verweisende URL zeigt, wo sich der Besucher aufhielt, als er zur Website ging (z.B. kann hieraus gelesen werden, ob er von einer Suchmaschine kommt).

Zum Beispiel kann man daraus auch die Bewegung innerhalb des Webangebots nachvollziehen:

http://www.slac.stanford.edu/ -> /gen/meeting/ssi/next/

User Agent

Mozilla/3.01-C-MACOS8 (Macintosh; I; PPC)

Der User-Agent sagt aus, mit welchem Browser der Besucher auf die Website kommt, welche Version es ist und mit welchem Betriebssystem sein Computer arbeitet. Aus diesen Werten lässt sich herauslesen, ob die Website für bestimmte Browser optimiert werden muss (weil diese z.B. häufig darauf zugreifen).

Hierüber lassen sich auch Spider und Robots identifizieren.

Man kann auch herausfinden, mit welchen Suchworten und von welcher Suchmaschine ein Besucher kommt:

http://www.altavista.com/cgi-bin/query?pg=q&user=yahoo&q=computer+programming+videos+&stq=20&c9k –->
/comp/edu/classes.html

Error Log

Das folgende Beispiel zeigt ein typisches Error-Log:

[Wed Aug 4 00:02:21 1999] HTTPd: send aborted for adsl-209-233-19-101.dsl.snfc21.pacbell.net,
URL: /_vti_bin/_vti_aut/author.exe

Hits, Views und Visits.

Der Unterschied zwischen Hits, Views und Visits wird von vielen Anfängern nicht richtig gewertet bzw. falsch aus den Logfiles herausgelesen:

Was ist ein HIT?
Tatsächlich kann die Anfrage an eine einzelne Website viele HITs für den Server generieren. Erster HIT ist z.B. die Prüfung, ob die Domain mit einem / endet (http://www.domain.de). Ist dieser nicht vorhanden, wird nach (http://www.domain.de/) umgeleitet. Dann gibt es HITS auf der HTML-Seite für jede Grafik. Beinhaltet die Website noch sechs Grafiken in einer Navigationszeile, so können daraus 8 individuelle Hits entstehen (6+1+1). Diese “Ansammlung an Hits” bezeichnet man als VIEW, denn es darin ist alles enthalten, was für die Betrachtung der Website notwendig ist. Als nächstes muss durch die Views geschaut werden, um den Web des Besuchers durch die Website zu rekonstruieren. Die Ansammlung mehrerer VIEWS eines Besuchers ist der VISIT.

Also: Ein Visit kann aus 10 Views und 120 Hits bestehen - locker. Es handelt sich dabei also um 1 Besucher, und nicht um 10 oder 120 Besucher, wie fälschlicherweise interpretiert wird.

Wie man sieht, kann aus der Weblogauswertung viel an Information gewonnen werden, was z.B. durch Page-Tagging nicht geschehen kann.

Beides zusammen ist sehr sinnvoll.

Möchten Sie selbst Logfiles lesen können, so besuchen Sie eines meiner Seminare oder buchen Sie die Logfileanalyse als Dienstleistung für Ihr Unternehmen.

(Dieser Artikel beruht auf der Information der Stanford-University, die in der originalsprache hier erhältlich ist: http://www.si.umich.edu/Classes/540/Readings/ServerLogFileAnalysis.htm. Ich habe den Artikel übersetzt und geändert.)

Drucken, Versenden und Empfehlen Sie diesen Beitrag: