Comment exporter les journaux Carbon Black

Pour un extrait ciblé depuis Carbon Black Cloud, utilisez l’API Platform Search. Créez un travail de recherche de processus, attendez que tous les serveurs aient répondu, et récupérez les résultats en JSON. Pour un export en masse et continu, configurez le Data Forwarder, qui écrit les événements des endpoints, les alertes et les frappes de listes de surveillance dans votre propre bucket S3 sous forme de JSON compressé. Carbon Black EDR, produit sur site anciennement appelé Response, a une API différente.

Carbon Black, désormais partie de Broadcom, enregistre l’activité des processus sur de nombreux endpoints d’entreprise. Prime Core a 15 590 règles de détection pour Carbon Black, mappées à 638 techniques MITRE ATT&CK. Ci-dessous comment extraire les données, les nettoyer, et les investiguer gratuitement dans LogTotal.

Commencer gratuitement

Avant de commencer

Une clé API et votre clé d’organisation. Créez une clé API dont le niveau d’accès permet la recherche de processus, et notez l’ID de l’API et le secret. La clé d’organisation est affichée dans les paramètres d’accès à l’API de la console. Ensemble, ils forment l’en-tête X-Auth-Token : <secret>/<id>.

L’hôte de votre environnement. Carbon Black Cloud exécute plusieurs environnements, chacun avec son propre nom d’hôte (par exemple defense.conferdeploy.net ou defense-eu.conferdeploy.net). Utilisez celui dans l’URL de votre console.

Rétention. Les données de processus sont conservées pour une durée limitée, en fonction de votre abonnement. Le Data Forwarder est la manière de les conserver plus longtemps.

Option 1 : API de recherche de processus

CBC="https://defense.conferdeploy.net"
ORG="<org_key>"
H="X-Auth-Token: $CB_API_SECRET/$CB_API_ID"

# 1. lancer le travail de recherche
JOB=$(curl -sS -X POST "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs" 
  -H "$H" -H 'Content-Type: application/json' 
  -d '{"query": "device_name:ws-042", "time_range": {"start": "2026-10-19T00:00:00Z", "end": "2026-10-20T00:00:00Z"}, "fields": ["*"], "rows": 10000}' 
  | jq -r '.job_id')

# 2. attendre que tous les serveurs aient répondu
until curl -sS -H "$H" "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs/$JOB/results?rows=0" 
      | jq -e '.contacted == .completed' >/dev/null; do sleep 3; done

# 3. récupérer les résultats
curl -sS -H "$H" "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs/$JOB/results?start=0&rows=10000" 
  | jq -c '.results[]' > cb_ws042_1019.jsonl

Cela renvoie des enregistrements de processus. Les connexions réseau, les modifications de fichiers et de registre pour un processus sont disponibles via les APIs de détails d’événements de processus. Le SDK Python officiel (carbon-black-cloud-sdk) encapsule tout cela.

Option 2 : Data Forwarder (en vrac)

Dans la console, configurez un Data Forwarder vers un bucket S3 que vous possédez et choisissez les types de données : événements de endpoints, alertes, frappes de listes de surveillance. Les fichiers arrivent sous forme de JSON compressé, un enregistrement par ligne. Pour une investigation, téléchargez la plage temporelle et filtrez par appareil :

aws s3 cp s3://my-cb-forwarder/<prefix>/ ./cb-fwd/ --recursive
zcat ./cb-fwd/**/*.gz | jq -c 'select(.device_name == "ws-042")' > cb_fwd_ws042.jsonl

Téléchargez, nettoyez et analysez dans LogTotal

1. Télécharger. Ouvrir logtotal.com et déposez le fichier.
2. Nettoyer.
3. Analyser.

Lorsque ça ne va pas