Suivre Utilisez l’API de recherche de logs. Envoyez une requête LEQL pour un log et une fenêtre temporelle à https://<region>.rest.logs.insight.rapid7.com/query/logs/<log-key> avec votre clé API dans l’en-tête X-Api-Key. L’API renvoie les événements par pages et vous donne un lien vers la suivante. La recherche de logs dans l’interface utilisateur peut également exporter les résultats.
InsightIDR collecte les logs des endpoints, du réseau et du cloud pour les clients Rapid7, et la recherche de logs est généralement le point de départ des enquêtes. Prime Core dispose de 23,965 règles de détection pour InsightIDR, mappées à 676 techniques MITRE ATT&CK. Voici comment extraire, assainir et enquêter gratuitement les logs dans LogTotal.
Avant de commencer
Une clé API. Créez-en une dans les paramètres de l’Insight Platform (une clé d’organisation ou une clé utilisateur) avec l’accès à InsightIDR.
Votre région. L’hôte dépend de l’emplacement de vos données : us, us2, us3, eu, ca, au, ap.
Clés de logs. Chaque log a une clé, et les requêtes s’exécutent sur une ou plusieurs d’entre elles. Listez-les avec l’API, comme montré ci-dessous.
Rétention. La profondeur de la recherche de logs dépend de votre abonnement.
Exporter avec l’API de recherche de logs
REGION=us
BASE="https://$REGION.rest.logs.insight.rapid7.com"
FROM=$(date -d '2026-10-19T00:00:00Z' +%s000)
TO=$(date -d '2026-10-20T00:00:00Z' +%s000)
Q=$(printf '%s' 'where(hostname=web-03)' | jq -sRr @uri)
# lister les logs et leurs clés
curl -sS -H "X-Api-Key: $R7_KEY" "$BASE/management/logs" | jq -r '.logs[] | "(.id) (.name)"'
# interroger un log, en suivant les pages
URL="$BASE/query/logs/<log-key>?query=$Q&from=$FROM&to=$TO&per_page=500"
while [ -n "$URL" ]; do
RESP=$(curl -sS -H "X-Api-Key: $R7_KEY" "$URL")
echo "$RESP" | jq -c '.events[]?'
URL=$(echo "$RESP" | jq -r '.links[]? | select(.rel == "Next") | .href' | head -1)
done > r7_web03_1019.jsonl
Les requêtes de longue durée peuvent d’abord répondre avec un lien de sondage au lieu des résultats. Le champ message de chaque événement contient l’entrée de log. Extrayez-la avec jq -r ‘.message’ lorsque la source était du texte.
Télécharger, assainir et revoir dans LogTotal
- Télécharger. Ouvrir logtotal.com et déposer le fichier.
- Assainir. Examinez-le avant de continuer.
- Revoir.
À quoi cela ressemble-t-il sur de vraies données.
Quand cela va mal
| Symptôme | Cause probable | Fix |
|---|---|---|
| 401 ou 403 | Mauvaise clé, ou la clé n’a pas accès à InsightIDR | Vérifiez l’accès produit de la clé |
| Erreurs de connexion | Mauvaise région dans le nom d’hôte | Utilisez votre région de données |
| Erreur de syntaxe de requête | LEQL non encodé en URL | Encodez-le, comme avec @uri ci-dessus |
| Seulement la première page | Lien suivant non suivi | Bouclez jusqu’à ce qu’il n’y ait plus de lien suivant |
| Rien de plus ancien qu’une certaine date | Rétention par abonnement | Vérifiez la rétention de votre plan |
FAQ
Puis-je interroger plusieurs logs à la fois ?
Oui. L’API accepte également les requêtes sur plusieurs clés de logs ou un ensemble de logs.
Qu’en est-il des enquêtes et des alertes ?
Ceux-ci ont leurs propres API. Pour LogTotal, exportez les événements de logs qui les sous-tendent.
