Como Exportar Logs do Carbon Black

Para uma extração direcionada do Carbon Black Cloud, use a API de Pesquisa de Plataforma. Crie um trabalho de busca de processos, espere até que todos os backends tenham respondido e então obtenha os resultados como JSON. Para exportação em massa e contínua, configure o Reencaminhador de Dados, que grava eventos de endpoint, alertas e acertos de listas de observação no seu próprio bucket S3 como JSON compactado. O Carbon Black EDR, o produto on-premises anteriormente chamado Response, possui uma API diferente.

Carbon Black, agora parte da Broadcom, registra atividade de processos em muitos endpoints corporativos. O Prime Core possui 15.590 regras de detecção para Carbon Black, mapeadas para 638 técnicas MITRE ATT&CK. Abaixo está como extrair os dados, sanitizá-los e investigá-los gratuitamente no LogTotal.

Comece Grátis

Antes de começar

Uma chave de API e sua chave de organização. Crie uma chave de API cujo nível de acesso permita a pesquisa de processos e anote o ID da API e o segredo. A chave da organização é mostrada nas configurações de acesso à API do console. Juntos, eles formam o cabeçalho X-Auth-Token: <secret>/<id>.

O host do seu ambiente. O Carbon Black Cloud executa vários ambientes, cada um com seu próprio nome de host (por exemplo, defense.conferdeploy.net ou defense-eu.conferdeploy.net). Use o que está no URL do seu console.

Retenção. Os dados de processos são mantidos por um tempo limitado, dependendo da sua assinatura. O Reencaminhador de Dados é como você mantém mais.

Opção 1: API de busca de processos

CBC="https://defense.conferdeploy.net"
ORG="<org_key>"
H="X-Auth-Token: $CB_API_SECRET/$CB_API_ID"

# 1. inicie o trabalho de pesquisa
JOB=$(curl -sS -X POST "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs" 
  -H "$H" -H 'Content-Type: application/json' 
  -d '{"query": "device_name:ws-042", "time_range": {"start": "2026-10-19T00:00:00Z", "end": "2026-10-20T00:00:00Z"}, "fields": ["*"], "rows": 10000}' 
  | jq -r '.job_id')

# 2. espere até cada backend ter respondido
until curl -sS -H "$H" "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs/$JOB/results?rows=0" 
      | jq -e '.contacted == .completed' >/dev/null; do sleep 3; done

# 3. obtenha os resultados
curl -sS -H "$H" "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs/$JOB/results?start=0&rows=10000" 
  | jq -c '.results[]' > cb_ws042_1019.jsonl

Isso retorna registros de processo. Conexões de rede, modificações de arquivos e registros para um processo estão disponíveis através das APIs de detalhes de eventos de processos. O SDK oficial em Python (carbon-black-cloud-sdk) encapsula tudo isso.

Opção 2: Reencaminhador de Dados (em massa)

No console, configure um Reencaminhador de Dados para um bucket S3 que você possui e escolha os tipos de dados: eventos de endpoint, alertas, acertos de listas de observação. Os arquivos chegam como JSON compactado, um registro por linha. Para uma investigação, baixe o intervalo de tempo e filtre por dispositivo:

aws s3 cp s3://my-cb-forwarder/<prefix>/ ./cb-fwd/ --recursive
zcat ./cb-fwd/**/*.gz | jq -c 'select(.device_name == "ws-042")' > cb_fwd_ws042.jsonl

Faça upload, sanitize e revise no LogTotal

1. Faça upload. Abrir logtotal.com e arraste o arquivo.
2. Sanitize.
3. Revisar.

Quando algo dá errado