Як експортувати логи Carbon Black

Для цільового отримання даних з Carbon Black Cloud використовуйте Platform Search API. Створіть завдання пошуку процесів, дочекайтеся, поки всі бекенди не дадуть відповідь, та отримуйте результати у форматі JSON. Для масового, безперервного експорту налаштуйте Data Forwarder, який записує події з кінцевих точок, сповіщення та результати спостережних списків у ваш власний S3 bucket у вигляді стиснутих файлів JSON. Carbon Black EDR, локальний продукт, раніше відомий як Response, має інший API.

Carbon Black, тепер частина Broadcom, записує активність процесів на багатьох корпоративних кінцевих точках. Prime Core має 15,590 правил виявлення для Carbon Black, пов’язаних з 638 техніками MITRE ATT&CK. Нижче показано, як отримати дані, очистити їх і безкоштовно дослідити в LogTotal.

Почніть безкоштовно

Перед початком

Ключ API та ключ вашої організації. Створіть ключ API, який має рівень доступу, що дозволяє пошук процесів, та запам’ятайте ідентифікатор API та секрет. Ключ організації показано в налаштуваннях доступу API на консолі. Разом вони утворюють заголовок X-Auth-Token: <secret>/<id>.

Хост вашого середовища. Carbon Black Cloud працює в кількох середовищах, кожне з власним ім’ям хоста (наприклад, defense.conferdeploy.net або defense-eu.conferdeploy.net). Використовуйте ту, що вказана у вашій URL-адресі консолі.

Збереження. Дані про процеси зберігаються обмежений час, залежно від вашої підписки. Data Forwarder – це спосіб зберігати більше.

Варіант 1: API пошуку процесів

CBC="https://defense.conferdeploy.net"
ORG="<org_key>"
H="X-Auth-Token: $CB_API_SECRET/$CB_API_ID"

# 1. розпочати пошук
JOB=$(curl -sS -X POST "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs" 
  -H "$H" -H 'Content-Type: application/json' 
  -d '{"query": "device_name:ws-042", "time_range": {"start": "2026-10-19T00:00:00Z", "end": "2026-10-20T00:00:00Z"}, "fields": ["*"], "rows": 10000}' 
  | jq -r '.job_id')

# 2. дочекайтеся відповіді всіх бекендів
until curl -sS -H "$H" "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs/$JOB/results?rows=0" 
      | jq -e '.contacted == .completed' >/dev/null; do sleep 3; done

# 3. отримайте результати
curl -sS -H "$H" "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs/$JOB/results?start=0&rows=10000" 
  | jq -c '.results[]' > cb_ws042_1019.jsonl

Це повертає записи процесів. Мережеві з’єднання, модифікації файлів і реєстру для процесу доступні через API деталей подій процесу. Офіційний Python SDK (carbon-black-cloud-sdk) обгортає все це.

Варіант 2: Data Forwarder (масовий)

На консолі налаштуйте Data Forwarder на S3 bucket, який ви володієте, і виберіть типи даних: події кінцевих точок, сповіщення, результати списків спостереження. Файли приходять у вигляді стиснутих JSON, одна запис на рядок. Для розслідування завантажте часовий діапазон і відфільтруйте за пристроєм:

aws s3 cp s3://my-cb-forwarder/<prefix>/ ./cb-fwd/ --recursive
zcat ./cb-fwd/**/*.gz | jq -c 'select(.device_name == "ws-042")' > cb_fwd_ws042.jsonl

Завантажте, очистіть та перегляньте у LogTotal

1. Завантаження. Відкрийте logtotal.com і завантажте файл.
2. Очищення.
3. Перегляд.

Коли щось йде не так