Rapid7 InsightIDR 告警集成

Rapid7 InsightIDR 是 Rapid7 的云端 SIEM 与检测响应产品。在 InsightIDR 的数据收集器上添加 Universal Webhook 数据导出器后，每生成一个调查（Investigation），收集器都会向 Flashduty On-call 推送一次。每个调查对应一条 Flashduty 告警。 InsightIDR 只推送”调查已创建”，不推送调查的更新或关闭，所以告警不会自动恢复。请在告警所在的协作空间中开启 超时自动关闭，建议窗口为 24 小时，也可按团队处理调查的时效调整。

​

在 Rapid7 InsightIDR 中配置

---

​

事件类型

---

​

Alert Key

---

Flashduty 使用 investigationId（InsightIDR 为每个调查分配的固定编号）作为 Alert Key。标题、描述、时间的变化不会改变它，缺少 investigationId 的请求会被拒绝。

​

状态和告警等级

---

InsightIDR 的推送内容不含严重程度，所有调查都按 Warning 处理。需要区分等级时，可在集成的 告警处理 中按标题或标签调整。

​

标签

---

用户邮箱和 AD 可分辨名（distinguishedName）不会写入标签。

​

关于签名

---

InsightIDR 用 Secret 对请求体做 HMAC 签名（X-Rapid7-Signature）。Flashduty 不校验签名，推送地址中的 integration_key 是唯一的凭证，请妥善保管。也可以在 Custom headers 中添加自定义请求头，Flashduty 不要求它们。

​

排查问题

---

• Flashduty 没有收到推送：收集器由您自行部署，确认它能访问公网，并且 URL 完整且包含 integration_key
• 返回参数错误：提示缺少 investigationId 时，说明推送的不是调查；提示事件类型不支持时，说明 X-Rapid7-Event 不是 idr_investigation_created 或 test
• 告警一直不关闭：InsightIDR 不推送调查关闭，请开启 超时自动关闭
• 测试告警没有关闭：测试请求产生的 Info 告警需要手动关闭

更多信息请参阅 Rapid7 官方的 Universal Webhook 文档。