如何导出Carbon Black日志

要从 Carbon Black Cloud 进行目标提取，请使用平台搜索 API。创建一个进程搜索作业，等待所有后端的响应，然后将结果以 JSON 格式提取。对于批量、持续导出，请设置数据转发器，将端点事件、警报和监视列表命中写入您自己的 S3 存储桶中，以压缩的 JSON 格式存储。Carbon Black EDR，即前称为 Response 的本地产品，具有不同的 API。

Carbon Black 现在是 Broadcom 的一部分，在许多企业端点上记录进程活动。Prime Core 拥有 15,590 条针对 Carbon Black 的检测规则，映射到 638 种 MITRE ATT&CK 技术。以下是在 LogTotal 中免费提取、清理及调查这些数据的方法。

免费开始

在您开始之前

一个 API 密钥和您的组织密钥。 创建一个 API 密钥，其访问级别允许进程搜索，并记录 API ID 和密钥。组织密钥在控制台的 API 访问设置中显示。它们共同构成了头 X-Auth-Token: <secret>/<id>。

您环境的主机。 Carbon Black Cloud 运行多个环境，每个环境都有自己的主机名（例如 defense.conferdeploy.net 或 defense-eu.conferdeploy.net）。请使用您控制台 URL 中的主机名。

保留。 进程数据会根据您的订阅被保留一段有限时间。数据转发器是您保留更多数据的方法。

选项 1：进程搜索 API

CBC="https://defense.conferdeploy.net"
ORG="<org_key>"
H="X-Auth-Token: $CB_API_SECRET/$CB_API_ID"

# 1. 开始搜索作业
JOB=$(curl -sS -X POST "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs" 
  -H "$H" -H 'Content-Type: application/json' 
  -d '{"query": "device_name:ws-042", "time_range": {"start": "2026-10-19T00:00:00Z", "end": "2026-10-20T00:00:00Z"}, "fields": ["*"], "rows": 10000}' 
  | jq -r '.job_id')

# 2. 等待所有后端响应
until curl -sS -H "$H" "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs/$JOB/results?rows=0" 
      | jq -e '.contacted == .completed' >/dev/null; do sleep 3; done

# 3. 获取结果
curl -sS -H "$H" "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs/$JOB/results?start=0&rows=10000" 
  | jq -c '.results[]' > cb_ws042_1019.jsonl

这将返回进程记录。进程的网络连接、文件和注册表修改可以通过进程事件详细信息 API 获得。官方 Python SDK（carbon-black-cloud-sdk）封装了所有这些功能。

选项 2：数据转发器（批量）

在控制台中，将数据转发器配置为转发到您自己的 S3 存储桶，并选择数据类型：端点事件、警报、监视列表命中。文件以压缩的 JSON 格式到达，每行一条记录。为了进行调查，下载时间范围并按设备过滤：

aws s3 cp s3://my-cb-forwarder/<prefix>/ ./cb-fwd/ --recursive
zcat ./cb-fwd/**/*.gz | jq -c 'select(.device_name == "ws-042")' > cb_fwd_ws042.jsonl

在 LogTotal 中上传、清理和审查

1. 上传。 打开 logtotal.com 并拖入文件。
2. 清洁。
3. 审查。

当出现问题时