跳转到主要内容
Rapid7 InsightIDR 是 Rapid7 的云端 SIEM 与检测响应产品。在 InsightIDR 的数据收集器上添加 Universal Webhook 数据导出器后，每生成一个调查（Investigation），收集器都会向 Flashduty On-call 推送一次。每个调查对应一条 Flashduty 告警。 InsightIDR 只推送”调查已创建”，不推送调查的更新或关闭，所以告警不会自动恢复。请在告警所在的协作空间中开启 超时自动关闭，建议窗口为 24 小时，也可按团队处理调查的时效调整。

在 Flashduty On-call

您可通过以下两种方式获取集成推送地址，任选其一即可。

使用专属集成

  1. 进入 Flashduty 控制台，选择 协作空间，打开一个协作空间
  2. 选择 配置 → 集成数据 → 专属集成，点击 新增集成
  3. 选择 Rapid7 InsightIDR，点击 保存
  4. 打开生成的集成卡片，复制 推送地址

使用共享集成

  1. 进入 Flashduty 控制台，选择 集成中心 → 告警事件
  2. 选择 Rapid7 InsightIDR，填写集成名称
  3. 配置默认路由并选择协作空间；创建后可在 路由 中增加更多规则
  4. 点击 保存，复制生成的 推送地址

在 Rapid7 InsightIDR 中配置

1

在 InsightIDR 中添加 Universal Webhook 数据导出器

操作路径：Rapid7 InsightIDR › Data Connectors › SIEM › Data Collectors › Data Exporters › Add Data Exporter填写完成后点击 Save。InsightIDR 没有恢复通知的设置：它只推送”调查已创建”，不推送调查的更新或关闭，请在接收该集成的协作空间开启超时自动关闭（见上文）。
2

验证

操作路径：Rapid7 InsightIDR › Data Connectors › SIEM › Data Collectors › Data Exporters保存数据导出器、启动或停止它、修改其配置时，InsightIDR 会发送一条测试请求（X-Rapid7-Event: test）。Flashduty 会创建一条 Info 级别的测试告警，标题为 Rapid7 InsightIDR test notification，它不会自动恢复，验证后请手动关闭。测试请求只证明连通，要验证真实调查，请等待 InsightIDR 生成一个调查，Flashduty 会收到对应告警。

事件类型

Alert Key

Flashduty 使用 investigationId（InsightIDR 为每个调查分配的固定编号）作为 Alert Key。标题、描述、时间的变化不会改变它，缺少 investigationId 的请求会被拒绝。

状态和告警等级

InsightIDR 的推送内容不含严重程度，所有调查都按 Warning 处理。需要区分等级时，可在集成的 告警处理 中按标题或标签调整。

标签

用户邮箱和 AD 可分辨名（distinguishedName）不会写入标签。

关于签名

InsightIDR 用 Secret 对请求体做 HMAC 签名（X-Rapid7-Signature）。Flashduty 不校验签名，推送地址中的 integration_key 是唯一的凭证，请妥善保管。也可以在 Custom headers 中添加自定义请求头，Flashduty 不要求它们。

排查问题

  • Flashduty 没有收到推送：收集器由您自行部署，确认它能访问公网，并且 URL 完整且包含 integration_key
  • 返回参数错误：提示缺少 investigationId 时，说明推送的不是调查；提示事件类型不支持时，说明 X-Rapid7-Event 不是 idr_investigation_created 或 test
  • 告警一直不关闭：InsightIDR 不推送调查关闭，请开启 超时自动关闭
  • 测试告警没有关闭：测试请求产生的 Info 告警需要手动关闭
更多信息请参阅 Rapid7 官方的 Universal Webhook 文档。