Cómo Exportar Registros de Rapid7 InsightIDR

Usa la API de Búsqueda de Logs. Envía una consulta LEQL para un log y una ventana de tiempo a https://<region>.rest.logs.insight.rapid7.com/query/logs/<log-key> con tu clave API en el encabezado X-Api-Key. La API devuelve eventos en páginas y te da un enlace a la siguiente. La Búsqueda de Logs en la interfaz de usuario también puede exportar resultados.

InsightIDR recoge logs de endpoints, redes y nubes para los clientes de Rapid7, y su Búsqueda de Logs es donde usualmente comienzan las investigaciones. Prime Core tiene 23,965 reglas de detección para InsightIDR, mapeadas a 676 técnicas MITRE ATT&CK. A continuación, se explica cómo extraer logs, sanitizarlos e investigarlos gratuitamente en LogTotal.

Comienza Gratis

Antes de empezar

Una clave API. Crea una en la configuración de Insight Platform (una clave de organización o de usuario) con acceso a InsightIDR.

Tu región. El host depende de dónde viven tus datos: us, us2, us3, eu, ca, au, ap.

Claves de logs. Cada log tiene una clave, y las consultas se ejecutan contra uno o más de ellos. Listalos con la API, como se muestra a continuación.

Retención. Hasta qué punto retrocede la Búsqueda de Logs depende de tu suscripción.

Exportar con la API de Búsqueda de Logs

REGION=us
BASE="https://$REGION.rest.logs.insight.rapid7.com"
FROM=$(date -d '2026-10-19T00:00:00Z' +%s000)
TO=$(date -d '2026-10-20T00:00:00Z' +%s000)
Q=$(printf '%s' 'where(hostname=web-03)' | jq -sRr @uri)

# lista logs y sus claves
curl -sS -H "X-Api-Key: $R7_KEY" "$BASE/management/logs" | jq -r '.logs[] | "(.id) (.name)"'

# consulta un log, siguiendo las páginas
URL="$BASE/query/logs/<log-key>?query=$Q&from=$FROM&to=$TO&per_page=500"
while [ -n "$URL" ]; do
  RESP=$(curl -sS -H "X-Api-Key: $R7_KEY" "$URL")
  echo "$RESP" | jq -c '.events[]?'
  URL=$(echo "$RESP" | jq -r '.links[]? | select(.rel == "Next") | .href' | head -1)
done > r7_web03_1019.jsonl

Las consultas de larga duración pueden primero responder con un enlace para hacer polling antes que con resultados. El campo message de cada evento contiene la entrada del log. Extráelo con jq -r ‘.message’ cuando la fuente era texto.

Subir, sanitizar y revisar en LogTotal

1. Subir. Abierto logtotal.com y deja caer el archivo.
2. Sanitizar. Revísalo antes de continuar.
3. Revisar.

Cómo se ve esto en datos reales.

Cuando va mal