Rapid7 InsightIDR のログをエクスポートする方法

ログ検索APIを使用します。LEQLクエリをログと時間枠に対して、X-Api-KeyヘッダーにAPIキーを指定して、https://<region>.rest.logs.insight.rapid7.com/query/logs/<log-key>に送信します。APIはイベントをページごとに返し、次へのリンクを提供します。UIのログ検索でも結果をエクスポートできます。

InsightIDRはRapid7の顧客のためにエンドポイント、ネットワーク、クラウドのログを収集し、そのログ検索は通常調査の出発点です。Prime Coreには、InsightIDR用の23,965の検出ルールがあり、676のMITRE ATT&CKテクニックにマッピングされています。以下に、ログを取得し、サニタイズし、無料でLogTotalで調査する方法を示します。

無料で始める

始める前に

APIキー。 InsightIDRへのアクセス権を持つInsight Platform設定で、組織キーまたはユーザーキーのいずれかのAPIキーを作成します。

あなたの地域。 ホストは、データがある場所に依存します：us, us2, us3, eu, ca, au, ap。

ログキー。 各ログにはキーがあり、クエリはそれらの1つ以上に対して実行されます。以下に示すように、APIでそれらを一覧表示します。

保持期間。 ログ検索がどこまで遡れるかは、あなたのサブスクリプションに依存します。

ログ検索APIを使用してエクスポート

REGION=us
BASE="https://$REGION.rest.logs.insight.rapid7.com"
FROM=$(date -d '2026-10-19T00:00:00Z' +%s000)
TO=$(date -d '2026-10-20T00:00:00Z' +%s000)
Q=$(printf '%s' 'where(hostname=web-03)' | jq -sRr @uri)

# ログとそのキーを一覧表示
curl -sS -H "X-Api-Key: $R7_KEY" "$BASE/management/logs" | jq -r '.logs[] | "(.id)  (.name)"'

# ページを追従して1つのログをクエリ
URL="$BASE/query/logs/<log-key>?query=$Q&from=$FROM&to=$TO&per_page=500"
while [ -n "$URL" ]; do
  RESP=$(curl -sS -H "X-Api-Key: $R7_KEY" "$URL")
  echo "$RESP" | jq -c '.events[]?'
  URL=$(echo "$RESP" | jq -r '.links[]? | select(.rel == "Next") | .href' | head -1)
done > r7_web03_1019.jsonl

長時間実行されるクエリは、最初に結果ではなくポーリング用のリンクを返す場合があります。各イベントのmessageフィールドはログエントリを保持します。ソースがテキストである場合はjq -r ‘.message’で抽出します。

LogTotalでアップロード、サニタイズ、レビューする

1. アップロード。 開く logtotal.com ファイルをドロップします。
2. サニタイズ。 続行する前にそれを確認してください。
3. レビュー。

実際のデータでの見た目。

問題が発生した場合