So exportieren Sie Carbon Black-Protokolle

Für einen gezielten Abruf von Carbon Black Cloud verwenden Sie die Platform Search API. Erstellen Sie einen Prozesssuchauftrag, warten Sie, bis alle Backends geantwortet haben, und holen Sie die Ergebnisse als JSON ab. Für eine massenhafte, kontinuierliche Übertragung richten Sie den Data Forwarder ein, der Endpunktereignisse, Alarme und Treffer in der Überwachungsliste in Ihrem eigenen S3-Bucket als komprimiertes JSON speichert. Carbon Black EDR, das vor Ort installierte Produkt, das früher als Response bekannt war, hat eine andere API.

Carbon Black, jetzt Teil von Broadcom, zeichnet Prozessaktivitäten auf vielen Unternehmensendpunkten auf. Prime Core hat 15.590 Erkennungsregeln für Carbon Black, die 638 MITRE ATT&CK-Techniken zugeordnet sind. Im Folgenden wird beschrieben, wie die Daten extrahiert, bereinigt und kostenlos in LogTotal untersucht werden können.

Kostenlos starten

Bevor Sie anfangen

Ein API-Schlüssel und Ihr Org-Schlüssel. Erstellen Sie einen API-Schlüssel, dessen Zugriffsebene die Prozesssuche erlaubt, und notieren Sie die API-ID und das Geheimnis. Der Org-Schlüssel wird in den API-Zugriffseinstellungen der Konsole angezeigt. Zusammen bilden sie den Header X-Auth-Token: <secret>/<id>.

Der Host Ihrer Umgebung. Carbon Black Cloud betreibt mehrere Umgebungen, jede mit ihrem eigenen Hostnamen (zum Beispiel defense.conferdeploy.net oder defense-eu.conferdeploy.net). Verwenden Sie den aus Ihrer Konsolen-URL.

Aufbewahrung. Prozessdaten werden abhängig von Ihrem Abonnement für eine begrenzte Zeit aufbewahrt. Der Data Forwarder ist die Methode, mehr davon zu behalten.

Option 1: Prozesssuche API

CBC="https://defense.conferdeploy.net"
ORG="<org_key>"
H="X-Auth-Token: $CB_API_SECRET/$CB_API_ID"

# 1. Starten Sie den Suchauftrag
JOB=$(curl -sS -X POST "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs" 
  -H "$H" -H 'Content-Type: application/json' 
  -d '{"query": "device_name:ws-042", "time_range": {"start": "2026-10-19T00:00:00Z", "end": "2026-10-20T00:00:00Z"}, "fields": ["*"], "rows": 10000}' 
  | jq -r '.job_id')

# 2. Warten Sie, bis jedes Backend geantwortet hat
until curl -sS -H "$H" "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs/$JOB/results?rows=0" 
      | jq -e '.contacted == .completed' >/dev/null; do sleep 3; done

# 3. Holen Sie die Ergebnisse ab
curl -sS -H "$H" "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs/$JOB/results?start=0&rows=10000" 
  | jq -c '.results[]' > cb_ws042_1019.jsonl

Dies liefert Prozessaufzeichnungen. Netzverbindungen, Datei- und Registrierungsänderungen für einen Prozess sind über die Prozess-Ereignisdetails-APIs verfügbar. Das offizielle Python SDK (carbon-black-cloud-sdk) umfasst all dies.

Option 2: Data Forwarder (massenhaft)

Konfigurieren Sie in der Konsole einen Data Forwarder zu einem S3-Bucket, der Ihnen gehört, und wählen Sie die Datentypen aus: Endpunktereignisse, Alarme, Treffer in der Überwachungsliste. Dateien kommen als komprimiertes JSON, ein Datensatz pro Zeile, an. Für eine Untersuchung laden Sie den Zeitbereich herunter und filtern nach Gerät:

aws s3 cp s3://my-cb-forwarder/<prefix>/ ./cb-fwd/ --recursive
zcat ./cb-fwd/**/*.gz | jq -c 'select(.device_name == "ws-042")' > cb_fwd_ws042.jsonl

Hochladen, bereinigen und in LogTotal prüfen

1. Hochladen. Öffnen logtotal.com und ziehen Sie die Datei hinein.
2. Bereinigen.
3. Prüfen.

Wenn es schief geht