Come Esportare i Log di Carbon Black

Per un’estrazione mirata da Carbon Black Cloud, usa l’API di Ricerca Piattaforma. Crea un lavoro di ricerca processi, attendi fino a quando tutti i backend hanno risposto e recupera i risultati come JSON. Per esportazioni massive e continue, configura il Data Forwarder, che scrive gli eventi degli endpoint, gli avvisi e i risultati delle watchlist nel tuo bucket S3 come JSON compresso. Carbon Black EDR, il prodotto on-premises precedentemente chiamato Response, ha un’API diversa.

Carbon Black, ora parte di Broadcom, registra l’attività dei processi su molti endpoint aziendali. Prime Core ha 15.590 regole di rilevamento per Carbon Black, mappate su 638 tecniche MITRE ATT&CK! Di seguito è indicato come estrarre i dati, sanitizzarli e indagarli gratuitamente in LogTotal.

Inizia Gratis

Prima di iniziare

Una chiave API e la tua chiave org. Crea una chiave API il cui livello di accesso consente la ricerca dei processi, e annota l’ID API e il segreto. La chiave org è mostrata nelle impostazioni di accesso API della console. Insieme costituiscono l’intestazione X-Auth-Token: /.

L’host del tuo ambiente. Carbon Black Cloud gestisce diversi ambienti, ognuno con il proprio hostname (ad esempio defense.conferdeploy.net o defense-eu.conferdeploy.net). Usa quello nell’URL della tua console.

Conservazione. I dati dei processi sono conservati per un tempo limitato, a seconda del tuo abbonamento. Il Data Forwarder è come mantenerne di più.

Opzione 1: API di ricerca processi

CBC="https://defense.conferdeploy.net"
ORG=""
H="X-Auth-Token: $CB_API_SECRET/$CB_API_ID"

# 1. avvia il lavoro di ricerca
JOB=$(curl -sS -X POST "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs" 
  -H "$H" -H 'Content-Type: application/json' 
  -d '{"query": "device_name:ws-042", "time_range": {"start": "2026-10-19T00:00:00Z", "end": "2026-10-20T00:00:00Z"}, "fields": ["*"], "rows": 10000}' 
  | jq -r '.job_id')

# 2. attendi fino a quando ogni backend ha risposto
until curl -sS -H "$H" "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs/$JOB/results?rows=0" 
      | jq -e '.contacted == .completed' > /dev/null; do sleep 3; done

# 3. recupera i risultati
curl -sS -H "$H" "$CBC/api/investigate/v2/orgs/$ORG/processes/search_jobs/$JOB/results?start=0&rows=10000" 
  | jq -c '.results[]' > cb_ws042_1019.jsonl

Questo restituisce registri di processi. Le connessioni di rete, le modifiche ai file e al registro di un processo sono disponibili tramite le API dei dettagli degli eventi di processo. L’SDK ufficiale Python (carbon-black-cloud-sdk) racchiude tutto questo.

Opzione 2: Data Forwarder (bulk)

Nella console, configura un Data Forwarder per un bucket S3 di tua proprietà e scegli i tipi di dati: eventi endpoint, avvisi, risultati delle watchlist. I file arrivano come JSON compressi, un record per linea. Per un’indagine, scarica l’intervallo di tempo e filtra per dispositivo:

aws s3 cp s3://my-cb-forwarder// ./cb-fwd/ --recursive
zcat ./cb-fwd/**/*.gz | jq -c 'select(.device_name == "ws-042")' > cb_fwd_ws042.jsonl

Carica, sanitizza e revisiona in LogTotal

1. Carica. Apri logtotal.com e trascina il file.
2. Santifica.
3. Revisiona.

Quando qualcosa va storto