So exportieren Sie Rapid7 InsightIDR-Logs

Verwenden Sie die Log Search API. Senden Sie eine LEQL-Abfrage für ein Protokoll und ein Zeitfenster an https://<region>.rest.logs.insight.rapid7.com/query/logs/<log-key> mit Ihrem API-Schlüssel im X-Api-Key-Header. Die API liefert Ereignisse in Seiten zurück und gibt Ihnen einen Link zur nächsten Seite. Auch Log Search in der Benutzeroberfläche kann Ergebnisse exportieren.

InsightIDR sammelt Endpunkt-, Netzwerk- und Cloud-Protokolle für Rapid7-Kunden, und die Log Search ist der Ort, an dem Untersuchungen in der Regel beginnen. Prime Core hat 23.965 Erkennungsregeln für InsightIDR, die 676 MITRE ATT&CK Techniken zugeordnet sind. Nachfolgend wird beschrieben, wie man Protokolle extrahiert, bereinigt und kostenlos in LogTotal untersucht.

Kostenlos loslegen

Bevor Sie anfangen

Ein API-Schlüssel. Erstellen Sie einen im Insight Platform-Einstellungen (einen Organisations- oder Benutzerschlüssel) mit Zugriff auf InsightIDR.

Ihre Region. Der Host hängt davon ab, wo sich Ihre Daten befinden: us, us2, us3, eu, ca, au, ap.

Protokollschlüssel. Jedes Protokoll hat einen Schlüssel, und Abfragen werden gegen einen oder mehrere davon ausgeführt. Listen Sie sie mit der API auf, wie nachfolgend gezeigt.

Aufbewahrung. Wie weit Log Search zurückgeht, hängt von Ihrem Abonnement ab.

Mit der Log Search API exportieren

REGION=us
BASE="https://$REGION.rest.logs.insight.rapid7.com"
FROM=$(date -d '2026-10-19T00:00:00Z' +%s000)
TO=$(date -d '2026-10-20T00:00:00Z' +%s000)
Q=$(printf '%s' 'where(hostname=web-03)' | jq -sRr @uri)

# Protokolle und ihre Schlüssel auflisten
curl -sS -H "X-Api-Key: $R7_KEY" "$BASE/management/logs" | jq -r '.logs[] | "(.id)  (.name)"'

# eine Protokollabfrage durchführen, den Seiten folgen
URL="$BASE/query/logs/<log-key>?query=$Q&from=$FROM&to=$TO&per_page=500"
while [ -n "$URL" ]; do
  RESP=$(curl -sS -H "X-Api-Key: $R7_KEY" "$URL")
  echo "$RESP" | jq -c '.events[]?'
  URL=$(echo "$RESP" | jq -r '.links[]? | select(.rel == "Next") | .href' | head -1)
done > r7_web03_1019.jsonl

Langlaufende Abfragen können zuerst mit einem Link zum Abfragen statt Ergebnissen antworten. Das Nachrichtenfeld jedes Ereignisses enthält den Protokolleintrag. Extrahieren Sie es mit jq -r ‚.message‘, wenn die Quelle Text war.

Hochladen, bereinigen und in LogTotal prüfen

1. Hochladen. Öffnen Sie logtotal.com und ziehen Sie die Datei hinein.
2. Bereinigen. Überprüfen Sie es, bevor Sie weitermachen.
3. Prüfen.

Wie das bei echten Daten aussieht.

Wenn es schiefgeht