Cómo Exportar Registros de Carbon Black

Para una extracción específica de Carbon Black Cloud, usa la API de búsqueda de plataforma. Crea un trabajo de búsqueda de procesos, espera hasta que todos los backends hayan respondido y obtén los resultados en formato JSON. Para una exportación masiva y continua, configura el Data Forwarder, que escribe eventos de endpoint, alertas y aciertos de listas de vigilancia en tu propio bucket S3 como JSON comprimido. Carbon Black EDR, el producto local anteriormente llamado Response, tiene una API diferente.

Carbon Black, ahora parte de Broadcom, registra la actividad de procesos en muchos endpoints corporativos. Prime Core tiene 15,590 reglas de detección para Carbon Black, mapeadas a 638 técnicas de MITRE ATT&CK. A continuación se muestra cómo extraer los datos, sanitizarlos e investigarlos de forma gratuita en LogTotal.

Comience Gratis

Antes de comenzar

Una clave de API y la clave de tu organización. Crea una clave de API cuyo nivel de acceso permita la búsqueda de procesos, y anota el ID de la API y el secreto. La clave de la organización se muestra en la configuración de acceso de la API de la consola. Juntos forman el encabezado X-Auth-Token: <secret>/<id>.

El host de tu entorno. Carbon Black Cloud ejecuta varios entornos, cada uno con su propio nombre de host (por ejemplo, defense.conferdeploy.net o defense-eu.conferdeploy.net). Usa el que está en la URL de tu consola.

Retención. Los datos de procesos se mantienen por un tiempo limitado, dependiendo de tu suscripción. El Data Forwarder es cómo mantienes más.

Opción 1: API de búsqueda de procesos

CBC="https://defense.conferdeploy.net"
ORG="<org_key>"
H="X-Auth-Token: $CB_API_SECRET/$CB_API_ID"

# 1. inicia el trabajo de búsqueda
JOB=$(curl -sS -X POST "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs" 
  -H "$H" -H 'Content-Type: application/json' 
  -d '{"query": "device_name:ws-042", "time_range": {"start": "2026-10-19T00:00:00Z", "end": "2026-10-20T00:00:00Z"}, "fields": ["*"], "rows": 10000}' 
  | jq -r '.job_id')

# 2. espera hasta que cada backend haya respondido
until curl -sS -H "$H" "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs/$JOB/results?rows=0" 
      | jq -e '.contacted == .completed' >/dev/null; do sleep 3; done

# 3. obtiene los resultados
curl -sS -H "$H" "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs/$JOB/results?start=0&rows=10000" 
  | jq -c '.results[]' > cb_ws042_1019.jsonl

Esto devuelve registros de procesos. Las conexiones de red, las modificaciones de archivos y registros para un proceso están disponibles a través de las APIs de detalles de eventos de procesos. El SDK oficial de Python (carbon-black-cloud-sdk) envuelve todo esto.

Opción 2: Data Forwarder (volumen)

En la consola, configura un Data Forwarder a un bucket S3 que poseas y elige los tipos de datos: eventos de endpoint, alertas, aciertos de listas de vigilancia. Los archivos llegan en formato JSON comprimido, un registro por línea. Para una investigación, descarga el rango de tiempo y filtra por dispositivo:

aws s3 cp s3://my-cb-forwarder/<prefix>/ ./cb-fwd/ --recursive
zcat ./cb-fwd/**/*.gz | jq -c 'select(.device_name == "ws-042")' > cb_fwd_ws042.jsonl

Carga, sanitiza y revisa en LogTotal

1. Sube. Abre logtotal.com y coloca el archivo.
2. Sanitiza.
3. Revisa.

Cuando algo sale mal