팔로우 Log 검색 API를 사용하세요. LEQL 쿼리를 로그와 시간 창에 대해 https://<region>.rest.logs.insight.rapid7.com/query/logs/<log-key>로 전송하고 API 키는 X-Api-Key 헤더에 포함하세요. API는 이벤트를 페이지 형식으로 반환하며 다음 페이지에 대한 링크를 제공합니다. UI의 Log Search에서 결과를 내보낼 수도 있습니다.
InsightIDR은 Rapid7 고객을 위해 엔드포인트, 네트워크 및 클라우드 로그를 수집하며, Log Search는 조사가 일반적으로 시작되는 지점입니다. Prime Core에는 InsightIDR에 대한 23,965개의 탐지 규칙이 있으며, 이는 676개의 MITRE ATT&CK 기법에 매핑되어 있습니다. 아래는 로그를 추출하고, 정리하고, LogTotal에서 무료로 조사하는 방법입니다.
시작하기 전에
API 키. Insight Platform 설정에서 (조직 키 또는 사용자 키) InsightIDR에 액세스할 수 있는 키를 생성하세요.
귀하의 지역. 호스트는 데이터가 있는 위치에 따라 다릅니다: us, us2, us3, eu, ca, au, ap.
로그 키. 각 로그에는 키가 있으며, 쿼리는 하나 이상의 키에 대해 실행됩니다. 아래에 표시된 것처럼 API로 나열하세요.
보존. Log Search가 어느 시점까지 거슬러 올라가는지는 구독에 따라 다릅니다.
Log 검색 API로 내보내기
REGION=us
BASE="https://$REGION.rest.logs.insight.rapid7.com"
FROM=$(date -d '2026-10-19T00:00:00Z' +%s000)
TO=$(date -d '2026-10-20T00:00:00Z' +%s000)
Q=$(printf '%s' 'where(hostname=web-03)' | jq -sRr @uri)
# 로그와 키 목록 나열
curl -sS -H "X-Api-Key: $R7_KEY" "$BASE/management/logs" | jq -r '.logs[] | "(.id) (.name)"'
# 페이지를 따라 하나의 로그 쿼리
URL="$BASE/query/logs/<log-key>?query=$Q&from=$FROM&to=$TO&per_page=500"
while [ -n "$URL" ]; do
RESP=$(curl -sS -H "X-Api-Key: $R7_KEY" "$URL")
echo "$RESP" | jq -c '.events[]?'
URL=$(echo "$RESP" | jq -r '.links[]? | select(.rel == "Next") | .href' | head -1)
done > r7_web03_1019.jsonl
긴 쿼리는 처음에 결과 대신 폴링할 링크를 제공합니다. 각 이벤트의 메시지 필드는 로그 항목을 보유합니다. 소스가 텍스트일 때 jq -r ‘.message’로 추출하세요.
LogTotal에서 업로드, 정리 및 검토
- 업로드. 열기 logtotal.com 및 파일을 드롭하세요.
- 정리. 계속하기 전에 살펴보세요.
- 리뷰.
실제 데이터에서 보이는 모습.
문제가 발생할 때
| 증상 | 가능성 있는 원인 | Fix |
|---|---|---|
| 401 또는 403 | 잘못된 키이거나 키에 InsightIDR 액세스 권한이 없음 | 키의 제품 액세스를 확인하세요 |
| 연결 오류 | 잘못된 호스트 지역 | 데이터 지역을 사용하세요 |
| 쿼리 문법 오류 | LEQL이 URL로 인코딩되지 않음 | 위의 @uri처럼 인코딩하세요 |
| 첫 번째 페이지만 | 다음 링크가 따르지 않음 | 다음 링크가 없을 때까지 반복 |
| 특정 날짜보다 오래된 것이 없음 | 구독 보존 | 계획의 보존 상태 확인 |
FAQ
여러 로그를 한 번에 쿼리할 수 있나요?
예. API는 여러 로그 키나 로그 세트를 대상으로 한 쿼리도 허용합니다.
조사 및 알림은 어떻습니까?
그것들은 자체 API를 가지고 있습니다. LogTotal의 경우, 그 뒤의 로그 이벤트를 내보내세요.
