Seguir Use a API de Busca de Log. Envie uma consulta LEQL para um log e um intervalo de tempo para https://.rest.logs.insight.rapid7.com/query/logs/ com sua chave de API no cabeçalho X-Api-Key. A API retorna eventos em páginas e fornece um link para a próxima. A Busca de Log na UI também pode exportar resultados.
O InsightIDR coleta logs de endpoint, rede e nuvem para clientes da Rapid7, e sua Busca de Log é onde as investigações geralmente começam. Prime Core possui 23.965 regras de detecção para InsightIDR, mapeadas para 676 técnicas MITRE ATT&CK. Abaixo está como extrair logs, sanitizá-los e investigá-los gratuitamente no LogTotal.
Antes de começar
Uma chave de API. Crie uma nas configurações da Plataforma Insight (uma chave de organização ou uma chave de usuário) com acesso ao InsightIDR.
Sua região. O host depende de onde seus dados estão localizados: us, us2, us3, eu, ca, au, ap.
Chaves de log. Cada log possui uma chave, e as consultas são executadas contra uma ou mais delas. Liste-as com a API, conforme mostrado abaixo.
Retenção. Até onde a Busca de Log vai depende de sua assinatura.
Exporte com a API de Busca de Log
REGION=us
BASE="https://$REGION.rest.logs.insight.rapid7.com"
FROM=$(date -d '2026-10-19T00:00:00Z' +%s000)
TO=$(date -d '2026-10-20T00:00:00Z' +%s000)
Q=$(printf '%s' 'where(hostname=web-03)' | jq -sRr @uri)
# lista logs e suas chaves
curl -sS -H "X-Api-Key: $R7_KEY" "$BASE/management/logs" | jq -r '.logs[] | "(.id) (.name)"'
# consulte um log, seguindo as páginas
URL="$BASE/query/logs/?query=$Q&from=$FROM&to=$TO&per_page=500"
while [ -n "$URL" ]; do
RESP=$(curl -sS -H "X-Api-Key: $R7_KEY" "$URL")
echo "$RESP" | jq -c '.events[]?'
URL=$(echo "$RESP" | jq -r '.links[]? | select(.rel == "Next") | .href' | head -1)
done > r7_web03_1019.jsonl
Consultas de longa duração podem primeiro responder com um link para verificar em vez de resultados. O campo de mensagem de cada evento contém a entrada do log. Extraia-o com jq -r ‘.message’ quando a fonte era texto.
Envie, sanitizse e revise no LogTotal
- Envie. Abra logtotal.com e solte o arquivo.
- Sanitize. Revise antes de continuar.
- Revise.
Como isso parece em dados reais.
Quando algo dá errado
| Sintoma | Causa provável | Fix |
|---|---|---|
| 401 ou 403 | Chave errada, ou a chave não possui acesso ao InsightIDR | Verifique o acesso do produto da chave |
| Erros de conexão | Região errada no hostname | Use a região dos seus dados |
| Erro de sintaxe na consulta | LEQL não codificada em URL | Codifique-a, como com @uri acima |
| Apenas a primeira página | Link Next não seguido | Repita até não haver link Next |
| Nada mais antigo que uma certa data | Retenção da assinatura | Verifique a retenção do seu plano |
FAQ
Posso consultar vários logs de uma vez?
Sim. A API também aceita consultas em várias chaves de log ou em um conjunto de logs.
E quanto a investigações e alertas?
Esses possuem suas próprias APIs. Para o LogTotal, exporte os eventos de log por trás deles.
