Стежити Використовуйте API пошуку журналів. Надішліть запит LEQL на журнал та часовий проміжок на https://<region>.rest.logs.insight.rapid7.com/query/logs/<log-key> з вашим ключем API у заголовку X-Api-Key. API повертає події по сторінках і надає вам посилання на наступну. Пошук журналів у інтерфейсі користувача також може експортувати результати.
InsightIDR збирає журнали кінцевих точок, мережі та хмари для клієнтів Rapid7, і пошук журналів – це зазвичай той сайт, з якого починаються розслідування. Prime Core має 23,965 правил виявлення для InsightIDR, які відповідають 676 технікам MITRE ATT&CK. Нижче описується, як отримати журнали, очистити їх та безкоштовно розслідувати у LogTotal.
Перед початком
Ключ API. Створіть його в налаштуваннях платформи Insight (ключ організації або користувача) з доступом до InsightIDR.
Ваш регіон. Хост залежить від місця зберігання ваших даних: us, us2, us3, eu, ca, au, ap.
Ключі журналів. Кожен журнал має ключ, і запити виконуються щодо одного або кількох з них. Список їх з API, як показано нижче.
Збереження. Як далеко назад йде пошук журналів залежить від вашої підписки.
Експорт через API пошуку журналів
REGION=us
BASE="https://$REGION.rest.logs.insight.rapid7.com"
FROM=$(date -d '2026-10-19T00:00:00Z' +%s000)
TO=$(date -d '2026-10-20T00:00:00Z' +%s000)
Q=$(printf '%s' 'where(hostname=web-03)' | jq -sRr @uri)
# список журналів та їх ключі
curl -sS -H "X-Api-Key: $R7_KEY" "$BASE/management/logs" | jq -r '.logs[] | "(.id) (.name)"'
# запит одного журналу, наступне перегортання сторінками
URL="$BASE/query/logs/<log-key>?query=$Q&from=$FROM&to=$TO&per_page=500"
поки [ -n "$URL" ]; зробити
RESP=$(curl -sS -H "X-Api-Key: $R7_KEY" "$URL")
echo "$RESP" | jq -c '.events[]?'
URL=$(echo "$RESP" | jq -r '.links[]? | select(.rel == "Next") | .href' | head -1)
зроблено > r7_web03_1019.jsonl
Запити, що тривають довго, можуть спочатку відповідати посиланням на запит замість результатів. Поле повідомлень кожної події містить запис журналу. Витягніть його за допомогою jq -r ‘.message’, коли джерело було текстом.
Завантажте, очистіть та перегляньте у LogTotal
- Завантажити. Відкрити logtotal.com і вставити файл.
- Очистити. Перед продовженням перегляньте.
- Перегляд.
Як це виглядає на реальних даних.
Коли щось пішло не так
| Симптом | Ймовірна причина | Fix |
|---|---|---|
| 401 чи 403 | Неправильний ключ або ключ не має доступу до InsightIDR | Перевірте доступ ключа до продуктів |
| Помилки з’єднання | Неправильний регіон у назві хоста | Використовуйте ваш регіон даних |
| Помилка синтаксису запиту | LEQL не закодований для URL | Закодуйте його, як з @uri вище |
| Тільки перша сторінка | Не було сліду за посиланням Next | Цикл до тих пір, поки немає Next посилання |
| Немає нічого старшого за певну дату | Збереження підписки | Перевірте утримання вашого плану |
FAQ
Чи можу я запитувати кілька журналів одразу?
Так. API також приймає запити на кілька ключів журналів або набір журналів.
Що щодо розслідувань і сповіщень?
У них є власні API. Для LogTotal експортуйте події журналу, що лежать у їх основі.
