Carbon Black 로그 내보내기 방법

Carbon Black Cloud에서 대상 풀이 필요할 경우, Platform Search API를 사용하십시오. 프로세스 검색 작업을 생성하고, 모든 백엔드가 응답할 때까지 기다린 후, 결과를 JSON으로 가져옵니다. 대량의 연속적인 내보내기가 필요하다면, Data Forwarder를 설정하여 엔드포인트 이벤트, 경고, 감시목록 적중을 압축된 JSON 형식으로 바탕 S3 버킷에 기록하십시오. 원격지 제품으로 이전에는 Response라 불렸던 Carbon Black EDR은 다른 API를 가지고 있습니다.

Broadcom에 속한 Carbon Black은 많은 기업의 엔드포인트에서 프로세스 활동을 기록합니다. Prime Core는 638 MITRE ATT&CK 기술에 매핑된 15,590개의 Carbon Black 탐지 규칙을 가지고 있습니다. 아래는 데이터를 추출하고, 이를 정리한 후 LogTotal에서 무료로 조사하는 방법입니다.

무료로 시작하기

시작하기 전에

API 키와 조직 키. 프로세스 검색을 허용할 수 있는 액세스 수준의 API 키를 생성하고, API ID 및 비밀을 기록하십시오. 조직 키는 콘솔의 API 접근 설정에서 확인 가능합니다. 이들을 함께 사용하면 헤더 X-Auth-Token: <secret>/<id>가 됩니다.

환경의 호스트. Carbon Black Cloud는 각각 고유한 호스트 이름을 가진 여러 환경을 운영합니다(예: defense.conferdeploy.net 또는 defense-eu.conferdeploy.net). 콘솔 URL에 있는 것을 사용하십시오.

보관. 프로세스 데이터는 구독에 따라 제한된 시간 동안 유지됩니다. 더 많은 데이터를 보관하려면 Data Forwarder를 사용하십시오.

옵션 1: 프로세스 검색 API

CBC="https://defense.conferdeploy.net"
ORG="<org_key>"
H="X-Auth-Token: $CB_API_SECRET/$CB_API_ID"

# 1. 검색 작업 시작
JOB=$(curl -sS -X POST "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs" 
  -H "$H" -H 'Content-Type: application/json' 
  -d '{"query": "device_name:ws-042", "time_range": {"start": "2026-10-19T00:00:00Z", "end": "2026-10-20T00:00:00Z"}, "fields": ["*"], "rows": 10000}' 
  | jq -r '.job_id')

# 2. 모든 백엔드가 응답할 때까지 대기
until curl -sS -H "$H" "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs/$JOB/results?rows=0" 
      | jq -e '.contacted == .completed' >/dev/null; do sleep 3; done

# 3. 결과 가져오기
curl -sS -H "$H" "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs/$JOB/results?start=0&rows=10000" 
  | jq -c '.results[]' > cb_ws042_1019.jsonl

이것은 프로세스 기록을 반환합니다. 프로세스의 네트워크 연결, 파일 및 레지스트리 수정은 프로세스 이벤트 세부 정보 API를 통해 사용할 수 있습니다. 공식 파이썬 SDK (carbon-black-cloud-sdk)는 이를 모두 캡슐화합니다.

옵션 2: 데이터 포워더 (대량)

콘솔에서 Data Forwarder를 소유한 S3 버킷으로 구성하고 데이터 유형을 선택하십시오: 엔드포인트 이벤트, 경고, 감시목록 적중. 파일은 압축된 JSON 형식으로 한 줄에 하나의 레코드가 도착합니다. 조사에는 시간 범위를 다운로드하고 장치별로 필터링하십시오:

aws s3 cp s3://my-cb-forwarder/<prefix>/ ./cb-fwd/ --recursive
zcat ./cb-fwd/**/*.gz | jq -c 'select(.device_name == "ws-042")' > cb_fwd_ws042.jsonl

LogTotal에서 업로드, 정리 및 검토

1. 업로드. 열기 logtotal.com 그리고 파일 드롭.
2. 정리.
3. 검토.

문제가 발생했을 때