Jak eksportować logi Carbon Black

Aby przeprowadzić ukierunkowane pobieranie z Carbon Black Cloud, użyj Platform Search API. Utwórz zadanie wyszukiwania procesów, poczekaj, aż wszystkie backendy odpowiedzą, i pobierz wyniki jako JSON. W przypadku masowego, ciągłego eksportu skonfiguruj Data Forwarder, który zapisuje zdarzenia końcowe, alerty i wykrycia na listach obserwacyjnych do własnego wiadra S3 jako skompresowany JSON. Carbon Black EDR, produkt lokalny wcześniej znany jako Response, ma inne API.

Carbon Black, obecnie część Broadcom, rejestruje aktywność procesów na wielu końcówkach korporacyjnych. Prime Core ma 15 590 reguł wykrywania dla Carbon Black, powiązanych z 638 technikami MITRE ATT&CK. Poniżej znajdują się instrukcje, jak uzyskać dane, oczyścić je i zbadać za darmo w LogTotal.

Rozpocznij za darmo

Zanim zaczniesz

Klucz API i klucz organizacji. Utwórz klucz API, którego poziom dostępu pozwala na przeszukiwanie procesów i zanotuj identyfikator API oraz sekret. Klucz organizacji jest wyświetlany w ustawieniach dostępu API konsoli. Razem tworzą nagłówek X-Auth-Token: <sekret>/<id>.

Host środowiska. Carbon Black Cloud działa w kilku środowiskach, z których każde ma swoją nazwę hosta (na przykład defense.conferdeploy.net lub defense-eu.conferdeploy.net). Użyj tego z adresu URL swojej konsoli.

Zatrzymanie. Dane procesów są przechowywane przez ograniczony czas, zależnie od subskrypcji. Data Forwarder pozwala na dłuższe przechowywanie.

Opcja 1: API przeszukiwania procesów

CBC="https://defense.conferdeploy.net"
ORG="<org_key>"
H="X-Auth-Token: $CB_API_SECRET/$CB_API_ID"

# 1. rozpocznij zadanie wyszukiwania
JOB=$(curl -sS -X POST "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs" 
  -H "$H" -H 'Content-Type: application/json' 
  -d '{"query": "device_name:ws-042", "time_range": {"start": "2026-10-19T00:00:00Z", "end": "2026-10-20T00:00:00Z"}, "fields": ["*"], "rows": 10000}' 
  | jq -r '.job_id')

# 2. poczekaj, aż wszystkie backendy odpowiedzą
until curl -sS -H "$H" "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs/$JOB/results?rows=0" 
      | jq -e '.contacted == .completed' >/dev/null; do sleep 3; done

# 3. pobierz wyniki
curl -sS -H "$H" "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs/$JOB/results?start=0&rows=10000" 
  | jq -c '.results[]' > cb_ws042_1019.jsonl

To zwraca rejestry procesów. Połączenia sieciowe, modyfikacje plików i rejestru dla procesu są dostępne przez API szczegółów zdarzeń procesowych. Oficjalny Python SDK (carbon-black-cloud-sdk) obejmuje wszystkie te funkcje.

Opcja 2: Data Forwarder (masowy)

W konsoli skonfiguruj Data Forwarder do własnego wiadra S3 i wybierz typy danych: zdarzenia końcowe, alerty, wykrycia na listach obserwacyjnych. Pliki przychodzą jako skompresowany JSON, jeden rekord na linię. Do badań pobierz zakres czasowy i przefiltruj według urządzenia:

aws s3 cp s3://my-cb-forwarder/<prefix>/ ./cb-fwd/ --recursive
zcat ./cb-fwd/**/*.gz | jq -c 'select(.device_name == "ws-042")' > cb_fwd_ws042.jsonl

Przesyłanie, oczyszczanie i przeglądanie w LogTotal

1. Przesyłanie. Otwórz logtotal.com i wrzuć plik.
2. Oczyść.
3. Przeglądaj.

Kiedy coś pójdzie źle