Carbon Black ログをエクスポートする方法

Carbon Black Cloud からのターゲットプルには、Platform Search API を使用してください。プロセス検索ジョブを作成し、すべてのバックエンドが応答するまで待ち、結果を JSON として取得します。一括かつ継続的なエクスポートには、Data Forwarder をセットアップし、エンドポイントイベント、アラート、ウォッチリストヒットを圧縮 JSON としてあなたの S3 バケットに書き込みます。クラウドではない製品である Carbon Black EDR（以前は Response と呼ばれていた）は、異なる API を持っています。

Broadcom の一部となった Carbon Black は、多くの企業エンドポイントでプロセス活動を記録しています。Prime Core には、638 の MITRE ATT&CK テクニックにマップされた 15,590 の Carbon Black 用検出ルールがあります。以下に、そのデータの取得、サニタイズ、無料で LogTotal による調査の方法を示します。

無料で始める

始める前に

API キーとあなたの組織キー。 プロセス検索を許可するアクセスレベルの API キーを作成し、API ID と秘密をメモしてください。組織キーはコンソールの API アクセス設定に表示されます。それらを合わせて、ヘッダー X-Auth-Token: / となります。

環境のホスト。 Carbon Black Cloud ではいくつかの環境が動作しており、それぞれに独自のホスト名があります（例: defense.conferdeploy.net や defense-eu.conferdeploy.net）。コンソール URL に記載されたものを使用してください。

保持期間。 プロセスデータは、サブスクリプションに応じて限られた期間保持されます。Data Forwarder が、より多くのデータを保持する方法です。

オプション 1: プロセス検索 API

CBC="https://defense.conferdeploy.net"
ORG=""
H="X-Auth-Token: $CB_API_SECRET/$CB_API_ID"

# 1. 検索ジョブを開始
JOB=$(curl -sS -X POST "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs" 
  -H "$H" -H 'Content-Type: application/json' 
  -d '{"query": "device_name:ws-042", "time_range": {"start": "2026-10-19T00:00:00Z", "end": "2026-10-20T00:00:00Z"}, "fields": ["*"], "rows": 10000}' 
  | jq -r '.job_id')

# 2. すべてのバックエンドが応答するまで待つ
until curl -sS -H "$H" "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs/$JOB/results?rows=0" 
      | jq -e '.contacted == .completed' >/dev/null; do sleep 3; done

# 3. 結果を取得
curl -sS -H "$H" "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs/$JOB/results?start=0&rows=10000" 
  | jq -c '.results[]' > cb_ws042_1019.jsonl

これによりプロセスレコードが返されます。ネットワーク接続、ファイルおよびレジストリの修正については、プロセスイベントの詳細 API を通じて利用できます。公式 Python SDK (carbon-black-cloud-sdk) はこれらすべてをラップしています。

オプション 2: データフォワーダー (一括)

コンソールで、所有する S3 バケットにデータフォワーダーを構成し、データタイプ（エンドポイントイベント、アラート、ウォッチリストヒット）を選択します。ファイルは、1 行あたり 1 レコードの圧縮 JSON 形式で到着します。調査のためには、時間範囲をダウンロードして、デバイスでフィルターをかけます。

aws s3 cp s3://my-cb-forwarder// ./cb-fwd/ --recursive
zcat ./cb-fwd/**/*.gz | jq -c 'select(.device_name == "ws-042")' > cb_fwd_ws042.jsonl

LogTotal でアップロード、サニタイズ、レビュー

1. アップロード。 開く logtotal.com ファイルをドロップしてください。
2. サニタイズ。
3. レビュー。

問題が発生した時