Segui Usa l’API di Log Search. Invia una query LEQL per un log e un intervallo di tempo a https://<region>.rest.logs.insight.rapid7.com/query/logs/<log-key> con la tua chiave API nell’header X-Api-Key. L’API restituisce eventi in pagine e ti fornisce un link alla prossima. La ricerca log nell’interfaccia utente può esportare anche i risultati.
InsightIDR raccoglie registri endpoint, di rete e cloud per i clienti Rapid7, e il suo Log Search è dove le indagini solitamente iniziano. Prime Core ha 23.965 regole di rilevamento per InsightIDR, mappate a 676 tecniche MITRE ATT&CK. Di seguito è riportato come estrarre i log, sanificarli e indagarli gratuitamente in LogTotal.
Prima di iniziare
Una chiave API. Creane una nelle impostazioni della piattaforma Insight (una chiave organizzativa o personale) con accesso a InsightIDR.
La tua regione. L’host dipende da dove si trovano i tuoi dati: us, us2, us3, eu, ca, au, ap.
Chiavi di log. Ogni log ha una chiave e le query possono essere eseguite su uno o più di essi. Elencali con l’API, come mostrato di seguito.
Conservazione. Quanto tempo indietro vada Log Search dipende dal tuo abbonamento.
Esporta con l’API di Log Search
REGIONE=us
BASE="https://$REGION.rest.logs.insight.rapid7.com"
FROM=$(date -d '2026-10-19T00:00:00Z' +%s000)
TO=$(date -d '2026-10-20T00:00:00Z' +%s000)
Q=$(printf '%s' 'where(hostname=web-03)' | jq -sRr @uri)
# elenca i log e le loro chiavi
curl -sS -H "X-Api-Key: $R7_KEY" "$BASE/management/logs" | jq -r '.logs[] | "(.id) (.name)"'
# esegui una query su un log, seguendo le pagine
URL="$BASE/query/logs/<log-key>?query=$Q&from=$FROM&to=$TO&per_page=500"
while [ -n "$URL" ]; do
RESP=$(curl -sS -H "X-Api-Key: $R7_KEY" "$URL")
echo "$RESP" | jq -c '.events[]?'
URL=$(echo "$RESP" | jq -r '.links[]? | select(.rel == "Next") | .href' | head -1)
done > r7_web03_1019.jsonl
Le query di lunga durata possono prima rispondere con un link per il polling invece dei risultati. Il campo message di ogni evento contiene la voce di log. Estraila con jq -r ‘.message’ quando la fonte era testo.
Carica, sanifica e rivedi in LogTotal
- Carica. Apri logtotal.com e inserisci il file.
- Sanifica. Rivedilo prima di continuare.
- Rivedi.
Che aspetto ha sui dati reali.
Quando qualcosa va storto
| Sintomo | Causa probabile | Fix |
|---|---|---|
| 401 o 403 | Chiave errata, o la chiave manca dell’accesso a InsightIDR | Controlla l’accesso ai prodotti della chiave |
| Errori di connessione | Regione errata nell’hostname | Usa la regione dei tuoi dati |
| Errore di sintassi della query | LEQL non codificato in URL | Codificalo, come con @uri sopra |
| Solo la prima pagina | Link successivo non seguito | Ciclo finché non c’è un link Successivo |
| Niente di più vecchio di una certa data | Conservazione dell’abbonamento | Controlla la conservazione del tuo piano |
FAQ
Posso interrogare diversi log contemporaneamente?
Sì. L’API accetta anche query su più chiavi di log o un set di log.
E per le indagini e gli avvisi?
Quelli hanno le loro API. Per LogTotal, esporta gli eventi di log dietro di esse.
