Jak eksportować logi Rapid7 InsightIDR

Użyj API Log Search. Wyślij zapytanie LEQL na dany log i okno czasowe na https://<region>.rest.logs.insight.rapid7.com/query/logs/<log-key> z kluczem API w nagłówku X-Api-Key. API zwraca zdarzenia w stronach i daje link do następnej. Log Search w interfejsie użytkownika może również eksportować wyniki.

InsightIDR zbiera logi z punktów końcowych, sieci i chmury dla klientów Rapid7, a Log Search to miejsce, gdzie zwykle zaczynają się dochodzenia. Prime Core ma 23 965 reguł detekcji dla InsightIDR, przypisanych do 676 technik MITRE ATT&CK. Poniżej znajduje się sposób, jak wydobyć logi, oczyścić je i bezpłatnie zbadać w LogTotal.

Rozpocznij za darmo

Przed rozpoczęciem

Klucz API. Utwórz go w ustawieniach Insight Platform (jako klucz organizacyjny lub użytkownika) z dostępem do InsightIDR.

Twój region. Host zależy od miejsca, gdzie znajdują się Twoje dane: us, us2, us3, eu, ca, au, ap.

Klucze logów. Każdy log ma klucz, a zapytania działają przeciwko jednemu lub większej liczbie z nich. Wymień je za pomocą API, jak pokazano poniżej.

Retencja. Jak daleko sięga Log Search zależy od Twojej subskrypcji.

Eksport z API Log Search

REGION=us
BASE="https://$REGION.rest.logs.insight.rapid7.com"
FROM=$(date -d '2026-10-19T00:00:00Z' +%s000)
TO=$(date -d '2026-10-20T00:00:00Z' +%s000)
Q=$(printf '%s' 'where(hostname=web-03)' | jq -sRr @uri)

# lista logów i ich kluczy
curl -sS -H "X-Api-Key: $R7_KEY" "$BASE/management/logs" | jq -r '.logs[] | "(.id)  (.name)"'

# zapytaj jeden log, śledząc strony
URL="$BASE/query/logs/<log-key>?query=$Q&from=$FROM&to=$TO&per_page=500"
while [ -n "$URL" ]; do
  RESP=$(curl -sS -H "X-Api-Key: $R7_KEY" "$URL")
  echo "$RESP" | jq -c '.events[]?'
  URL=$(echo "$RESP" | jq -r '.links[]? | select(.rel == "Next") | .href' | head -1)
done > r7_web03_1019.jsonl

Długotrwałe zapytania mogą najpierw odpowiedzieć linkiem do strony sondowania zamiast wyników. Pole wiadomości każdego wydarzenia zawiera wpis logu. Wyodrębnij go za pomocą jq -r ’.message’, gdy źródło było tekstem.

Przesyłanie, sanitacja i przegląd w LogTotal

1. Przesyłanie. Otwórz logtotal.com i upuść plik.
2. Sanitacja. Przeglądaj przed kontynuacją.
3. Recenzja.

Jak to wygląda na rzeczywistych danych.

Gdy coś idzie nie tak