Live Query 拡張テーブル

表 1. cb_sensor_canaries
列	タイプ	説明	バージョン
name	TEXT	カナリアファイルのフルパス名	3.9+
cloud_id	INTEGER	クラウド提供の構成がカナリアファイルに割り当てた識別子	3.9+
hidden_file	INTEGER	ファイルに非表示属性が設定されているかどうかを示すブール値	3.9+
hidden_destination_dir	INTEGER	非表示属性を使用してターゲットディレクトリを作成したかどうかを示すブール値	3.9+
system_file	INTEGER	ファイルにシステム属性が設定されているかどうかを示すブール値	3.9+
system_destination_dir	INTEGER	システム属性を使用してターゲットディレクトリを作成したかどうかを示すブール値	3.9+
same_name	INTEGER	この場所の以前のカナリアファイルの名前が同じかどうかを示すブール値	3.9+
file_creation_time	UNSIGNED_BIGINT	Unix エポック以降のファイルの作成時間（ミリ秒単位）	3.9+
fize_size	UNSIGNED_BIGINT	ファイルのサイズ（バイト単位）	3.9+

注： [ｃb_sensor_canaries] 拡張機能は、Carbon Black Cloud Windows センサーの展開されたカナリアファイルの詳細を返します。

表 2. cb_sensor_compliance_scan_results
列	タイプ	説明	バージョン
rule_guid	TEXT	スキャンルール GUID	3.9+
policy_guid	TEXT	ポリシー GUID	3.9+
rule_description	TEXT	スキャンルールの説明	3.9+
policy_description	TEXT	ポリシーの説明	3.9+
policy_revision	TEXT	ポリシーの改訂	3.9+
scan_result	TEXT	コンプライアンススキャンの結果、PASS、FAIL、UNKNOWN	3.9+
scan_settings	TEXT	コンプライアンススキャン設定がシステムで実行されました	3.9+

注： [cb_sensor_compliance_scan_results] 拡張機能は、Carbon Black Cloud Windows センサーによって実行されたコンプライアンススキャン結果を返します。

表 3. cb_sensor_counters
列	タイプ	説明	バージョン
name	TEXT	カウンタの名前	3.8+
value	UNSIGNED_BIGINT	（非期間カウンタに関連）トリガされた回数	3.8+
total	UNSIGNED_BIGINT	（期間カウンタ）合計時間（ミリ秒）	3.8+
count	UNSIGNED_BIGINT	（期間カウンタ）カウンタがヒットした回数	3.8+
min	UNSIGNED_BIGINT	（期間カウンタ）1 つのパススルーに費やされる最小時間 (ミリ秒)	3.8+
max	UNSIGNED_BIGINT	（期間カウンタ）1 つのパススルーに費やされる最大時間 (ミリ秒)	3.8+

注： [cb_sensor_counters] 拡張機能は、 Carbon Black Cloud Windows センサーの現在のカウンタの詳細を返します。センサーカウンタは、前回のセンサーの再起動以降に発生したセンサーアクションを追跡します。

表 4. cb_sensor_configprops
列	タイプ	説明	バージョン
name	TEXT	構成グループの名前	3.8+
value	TEXT	構成グループの値	3.8+
is_kernel_configprop	INTEGER	1: Kernel configprop、0: Usermode configprop	3.8+

注： [cb_sensor_configprops] 拡張機能は、 Carbon Black Cloud Windows センサーの現在の構成グループの詳細と割り当てを返します。構成プロパティは、コンソール設定とインストールパラメータに基づいて、インストール時に構成されるセンサー設定のコレクションです。

表 5. cb_sensor_curl
列	タイプ	説明	バージョン
url	TEXT	要求の URL（必須）*	3.9+
method	TEXT	要求の HTTP メソッド。現在サポートされているメソッドは「GET」のみです	3.9+
response_code	INTEGER	レスポンスの HTTP ステータスコード	3.9+
round_trip_time	UNSIGNED_BIGINT	要求を完了するのにかかった時間（ミリ秒単位）	3.9+
bytes	UNSIGNED_BIGINT	レスポンス内のバイト数	3.9+
result	TEXT	HTTP レスポンス本文	3.9+
curl_code	TEXT	Curl コード値と人間に解読可能なコードの変換	3.9+
tls_protocol_version	TEXT	TLS プロトコルのバージョン番号	3.9+
cert_subject	TEXT	サーバ側証明書のサブジェクト情報	3.9+
cert_issuer	TEXT	サーバ側証明書の発行者情報	3.9+
cert_public_key	TEXT	サーバ側証明書のパブリックキー値（DER 形式）	3.9+
cipher_algorithm	TEXT	検出された一括暗号化暗号アルゴリズム	3.9+
key_exchange_algorithm	TEXT	検出されたキー交換アルゴリズム	3.9+
mac_hash_algorithm	TEXT	検出されたメッセージ認証コード (MAC) ハッシュアルゴリズム	3.9+
cipher_strength	INTEGER	一括暗号化暗号の強度	3.9+
key_exchange_strength	INTEGER	キー交換アルゴリズムの長さ（ビット単位）	3.9+
mac_hash_strength	INTEGER	MAC ハッシュの強度	3.9+
is_tls_version_safe	INTEGER	TLS プロトコルバージョンが現在のセンサー構成によって「安全」と見なされるかどうかを示すブール値	3.9+
is_tls_suite_safe	INTEGER	TLS スイートが現在のセンサー構成によって「安全」と見なされるかどうかを示すブール値	3.9+
is_tls_cert_safe	INTEGER	TLS 証明書が現在のセンサー構成によって「安全」と見なされるかどうかを示すブール値	3.9+
configprop_overrides_successful	INTEGER	「configprop_test_overrides」が正常に適用されたかどうかを示すブール値	3.9+
configprop_test_overrides	TEXT	指定された「url」で HTTP GET が実行されている間、一時的にセンサーに適用される JSON 形式の configprop オーバーライド。JSON を作成する際にテクニカルヘルプを受ける	3.9+
proxy_server	TEXT	入力：curl 接続を確立しようとするときにセンサーが使用するプロキシサーバ文字列。出力：curl 接続の確立中にセンサーが使用したプロキシサーバ文字列。	3.9+
proxy_credential_override	TEXT	入力：curl 要求中にセンサーが使用するプロキシサーバの認証情報。形式は「user:password」です(proxy_server INPUT も使用されている場合にのみ関連します)。	3.9+
use_alternate_cloud_port	TEXT	入力：センサーが代替クラウドポート値 (54443) を使用するかどうかを制御するブール値（「1」または「0」）。出力：センサーが代替クラウドポート値 (54443) を使用したかどうかを通知するブール値（「1」または「0」）	3.9+

注： [cb_sensor_curl] 拡張機能は、現在の Carbon Black Cloud Windows センサー Curl 構成設定を使用して、指定された「url」に対して HTTP GET 要求を実行します。

注：

[必須]：「where」句に含まれている必要があります。
*[制限]：SQL「LIKE」で「url」を使用しないでください。正確な値 (url='<full_http_url>') にする必要があります。

表 6. cb_sensor_devices
列	タイプ	説明	バージョン
device_type	TEXT	デバイスタイプ (「DISK」、「CDROM」など)	3.8+
interface_type	TEXT	デバイスが接続されているインターフェイス (「SCSI」、「USB」など)	3.8+
manufacturer	TEXT	デバイスのメーカー	3.8+
model_name	TEXT	デバイスのモデル名	3.8+
friendly_name	TEXT	デバイスの分りやすい表示名	3.8+
product_id	TEXT	デバイスの製品 ID	3.8+
serial_number	TEXT	デバイスのシリアル番号	3.8+
vendor_id	TEXT	デバイスのベンダー ID	3.8+
drive_letter	TEXT	デバイスがマップされているドライブ名	3.8+
volume_guid	TEXT	デバイスのストレージボリュームの GUID	3.8+

注： [cb_sensor_devices] 拡張機能は、 Carbon Black Cloud Windows センサーが検出する現在のデバイスの詳細を返します。

表 7. cb_sensor_files
列	タイプ	説明	バージョン
name	TEXT	ファイルのパス名 (必須)	3.8+
hash	TEXT	ファイルの SHA256 ハッシュの 16 進数文字列 (キー、必須)	3.8+
md5	TEXT	ファイルの MD5 ハッシュの 16 進数文字列 (必須)	3.8+
size	INTEGER	ファイルサイズ (バイト)	3.8+
company	TEXT	ファイルを作成する会社	3.8+
product	TEXT	ファイルが属する製品	3.8+
version	TEXT	製品バージョン	3.8+
original_name	TEXT	ファイルの元の名前。ファイル名の変更による影響はありません	3.8+
description	TEXT	ファイルの説明	3.8+
file_version	TEXT	ファイルのバージョン。製品バージョンとは異なることがあります	3.8+
copyright	TEXT	著作権情報	3.8+
file_flags	TEXT	センサーによって検出された一部のプロパティ	3.8+
locale	TEXT	言語	3.8+
signature_signer	TEXT	ファイルの署名者 (必須)	3.8+
signature_issuer	TEXT	署名証明書の発行者	3.8+
signature_state	TEXT	ファイル署名状態	3.8+
resolved_reputation	TEXT	解決済み/適用済みのレピュテーション	3.8+
resolved_reputation_source	TEXT	解決中のレピュテーションのソース	3.8+

注： [cb_sensor_files] 拡張機能は、 Carbon Black Cloud Windows センサーが収集するファイル情報を返します。ファイル情報には、ファイルのメタデータ、適用されたレピュテーション、証明書の詳細が含まれます。

注：

[必須]: 結果を絞り込むには、「where」句に含める必要があります。複数の必須フィールドがリストされている場合は、いずれかが要件を満たすか、AND または OR のいずれかにできます。
注：例:
```
SELECT * FROM cb_sensor_files WHERE name LIKE '%%cmd.exe';
SELECT * FROM cb_sensor_files WHERE hash IS 'b99d61d874728edc0918ca0eb10eab93d381e7367e377406e65963366c874450';
SELECT * FROM cb_sensor_files WHERE signature_signer LIKE '%windows%';
```
[制限事項]: Hash/SHA256 または MD5 による検索は「like %」をサポートしていません。条件は完全に一致する必要があります。

表 8. cb_sensor_files_ex
列	タイプ	説明	バージョン
names	TEXT	センサーによるファイルのすべての既知のパス名 (必須)	3.8+
hash	TEXT	ファイルの SHA256 ハッシュの 16 進数文字列 (キー、必須)	3.8+
md5	TEXT	ファイルの MD5 ハッシュの 16 進数文字列 (必須、非表示)	3.8+
signature_signer	TEXT	ファイルの署名者 (必須、非表示)	3.8+
dob	TEXT	誕生日	3.8+
hash_state	TEXT	このハッシュのレピュテーションの状態	3.8+
executed	TEXT	ファイルの実行を最後に確認した時刻	3.8+
tracked_execution_count	INTEGER	実行されたファイルがセンサーによって表示された回数	3.8+
psc_info	TEXT	センサーによって検出された追加情報	3.8+
kernel_cache_residency	TEXT	カーネルキャッシュ常駐のファイルのステータス	3.8+
persisted	INTEGER	1: データベースに保持、0: メモリ内のみ	3.8+
cache_lookup_count	INTEGER	キャッシュヒット数	3.8+
ux_info	TEXT	表示に関連する情報	3.8+
apc_risk_level	INTEGER	ローカルスキャナによって検出された非マルウェアのリスクレベル。 -2: 検出なし -1: リスクなし 0 ～ 7: 極めて低いから非常に高い	3.8+
policy_delays	TEXT	Defense ポリシー遅延のサマリ	3.8+
defense_policy	TEXT	Defense ポリシーのサマリ	3.8+
rules	TEXT	Defense ルールのサマリ	3.8+

注： [cb_sensor_files_ex] 拡張機能は、 Carbon Black Cloud Windows センサーが収集するファイル情報を返します。 [cb_sensor_files] テーブルの情報を展開して、センサーがキャッシュする、より詳細なポリシー情報とその他のファイル関連の統計情報を含めます。

注：

[必須]: 結果を絞り込むには、「where」句に含める必要があります。複数の必須フィールドがリストされている場合は、いずれかが要件を満たすか、AND または OR のいずれかにできます。
例:
```
SELECT * FROM cb_sensor_files WHERE name LIKE '%%cmd.exe';
SELECT * FROM cb_sensor_files WHERE hash IS 'b99d61d874728edc0918ca0eb10eab93d381e7367e377406e65963366c874450';
SELECT * FROM cb_sensor_files WHERE signature_signer LIKE '%windows%';
```
[非表示]: 「select *」からは表示されません。[select] フィールドに明示的に指定する必要があります。
[制限事項]: Hash/SHA256 または MD5 による検索は「like %」をサポートしていません。条件は完全に一致する必要があります。

表 9. cb_sensor_logon_sessions
列	タイプ	説明	バージョン
unique_logon_id	TEXT	Windows の場合は、########-######## の形式の LUID です	3.9+
linked_unique_logon_id	TEXT	Windows の場合は、########-######## の形式の LUID です	3.9+
session	INTEGER	ターミナルサービスセッション ID	3.9+
user_id	TEXT	Windows の場合は SID です	3.9+
user_name	TEXT	ログインセッションを所有するセキュリティプリンシパルのアカウント名	3.9+
user_domain_name	TEXT	ログインセッションの所有者の認証に使用されるドメインの名前	3.9+
user_principal_name	TEXT	ログインセッションの所有者のユーザープリンシパル名またはメールアドレス	3.9+
logon_type	TEXT	ログイン方法を識別する値	3.9+
logon_time	TEXT	セッション所有者がログインした時間	3.9+
logon_server	TEXT	ログインセッションの所有者の認証に使用されるサーバの名前	3.9+
authentication_package	TEXT	ログインセッションの所有者の認証に使用される認証パッケージの名前	3.9+
dns_domain_name	TEXT	ログインセッションの所有者の DNS 名	3.9+
password_last_set	TEXT	ユーザーが最後にパスワードを変更した時間	3.9+
last_logon_time	TEXT	セッション所有者が正常にログインした直近の時間	3.9+
last_failed_logon_time	TEXT	ログインに失敗した直近の時間	3.9+
failed_logon_attempts	INTEGER	最後に正常にログインしてからログインに失敗した回数	3.9+
active	INTEGER	ログインセッションがまだアクティブ (1) 、または最近終了した (0) かどうかを示すブール値	3.9+

注： [cb_sensor_logon_sessions] 拡張機能は、Carbon Black Cloud Windows センサーによって収集された情報を返します。

表 10. cb_sensor_processes
列	タイプ	説明	バージョン
pid	INTEGER	プロセス識別子	3.8+
id	TEXT	プロセスをさらに識別するフォーマット済み文字列: <pid>-<start_time>-<siloID>例: “6320-132814763524433819-0"	3.8+
start_time	TEXT	FileTime 形式のプロセスの開始時刻 (1601 年 1 月 1 日以降 100 ナノ秒間隔)。	3.8+
terminated	INTEGER	1: すでに終了、0 またはなし: まだ活動	3.8+
user_name	TEXT	プロセスを起動したユーザーの名前	3.8+
user_sid	TEXT	プロセスを起動したユーザーの SID	3.8+
file_name	TEXT	バッキング実行可能ファイルへの DOS 絶対パス	3.8+
interpreted	INTEGER	1: プロセスがスクリプトの場合、0: プロセスがスクリプトでない場合。一部のプロセスでは空にできます (センサープロセスでは一般的)。	3.8+
hash	TEXT	実行ファイルまたはスクリプトの SHA256 ハッシュ	3.8+
script_name	TEXT	プロセスがスクリプトの場合のバッキングスクリプトファイルの名前	3.8+
script_hash	TEXT	プロセスがスクリプトの場合は、バッキングスクリプトのハッシュ	3.8+
cmd_line	TEXT	プロセスのコマンドライン	3.8+
cmd_line_yara_tags	TEXT	プロセスのコマンドラインに適用される Yara タグ	3.9+
parent_pid	INTEGER	このプロセスを起動したプロセスの PID	3.8+
parent_id	TEXT	親プロセスをさらに識別するフォーマット済み文字列: <pid>-<start_time>-<siloID>例: “6320-132814763524433819-0"	3.8+
parent_start_time	TEXT	FileTime 形式の親プロセスの開始時刻 (1601 年 1 月 1 日以降 100 ナノ秒間隔)	3.8+
parent_cmd_line	TEXT	親プロセスのコマンドライン	3.8+
hosted_services	TEXT	svchost プロセスの場合、ホストされている基盤となるサービスを指定します	3.8+
tags	TEXT	追加のプロセスメタデータを含む内部センサータグ (「Cb:Psc:ProcessIsCBService」など)	3.8+
file_type_tags	TEXT	追加のメタデータを含む内部センサータグ (「Cb:Defense:Script:CmdScript」など)	3.8+
integrity_level	TEXT	プロセスの整合性レベル	3.8+
elevated	INTEGER	1: プロセスが昇格している、0: プロセスが昇格していない	3.8+
privileges	TEXT	プロセスが有効にした権限 (SeImpersonatePrivilege など)	3.8+

注： [cb_sensor_processes] 拡張機能は、 Carbon Black Cloud Windows センサーが収集するプロセス情報を返します。

表 11. cb_sensor_processes_policy
列	タイプ	説明	バージョン
pid	INTEGER	プロセス識別子	3.8+
id	TEXT	プロセスをさらに識別するフォーマット済み文字列: <pid>-<start_time>-<siloID>例: “6320-132814763524433819-0"	3.8+
policy_reputation	TEXT	プロセスのレピュテーション	3.8+
bypass_policy	TEXT	プロセスに割り当てられたバイパス (無視) ポリシー	3.8+
allow_policy	TEXT	プロセスに割り当てられた許可 (およびログ) ポリシー	3.8+
terminate_policy	TEXT	プロセスに割り当てられた終了ポリシー	3.8+
deny_policy	TEXT	プロセスに割り当てられた拒否ポリシー	3.8+
parent_policy_reputation	TEXT	親プロセスのレピュテーション	3.8+
parent_bypass_policy	TEXT	親プロセスに割り当てられたバイパス (無視) ポリシー	3.8+
parent_allow_policy	TEXT	親プロセスに割り当てられた許可 (およびログ) ポリシー	3.8+
parent_terminate_policy	TEXT	親プロセスに割り当てられた終了ポリシー	3.8+
parent_deny_policy	TEXT	親プロセスに割り当てられた拒否ポリシー	3.8+
interpreter_policy_reputation	TEXT	プロセスがスクリプトの場合、これはスクリプトインタープリタのレピュテーションです	3.8+
interpreter_bypass_policy	TEXT	プロセスがスクリプトの場合、これはスクリプトインタープリタに割り当てられたバイパスポリシーです	3.8+
interpreter_allow_policy	TEXT	プロセスがスクリプトの場合、これはスクリプトインタープリタに割り当てられた許可ポリシーです	3.8+
interpreter_terminate_policy	TEXT	プロセスがスクリプトの場合、これはスクリプトインタープリタに割り当てられた終了ポリシーです	3.8+
interpreter_deny_policy	TEXT	プロセスがスクリプトの場合、これはスクリプトインタープリタに割り当てられた拒否ポリシーです	3.8+
script_policy_reputation	TEXT	プロセスがスクリプトの場合、これはスクリプトのレピュテーションです	3.8+
script_bypass_policy	TEXT	プロセスがスクリプトの場合、これはスクリプト自体のバイパスポリシーです	3.8+
script_allow_policy	TEXT	プロセスがスクリプトの場合、これはスクリプト自体の許可ポリシーです	3.8+
script_terminate_policy	TEXT	プロセスがスクリプトの場合、これはスクリプト自体の終了ポリシーです	3.8+
script_deny_policy	TEXT	プロセスがスクリプトの場合、これはスクリプト自体の拒否ポリシーです	3.8+
applied_policy_reputation	TEXT	カーネルによって適用されるプロセスのレピュテーション	3.8+
applied_bypass_policy	TEXT	カーネルによって適用されるプロセスのバイパスポリシー	3.8+
applied_allow_policy	TEXT	カーネルによって適用されるプロセスの許可ポリシー	3.8+
applied_terminate_policy	TEXT	カーネルによって適用されるプロセスの終了ポリシー	3.8+
applied_deny_policy	TEXT	カーネルによって適用されるプロセスの拒否ポリシー	3.8+

注： [cb_sensor_processes_policy] 拡張機能は、 Carbon Black Cloud Windows センサーが収集するプロセスポリシー情報を返します。

表 12. cb_sensor_processes_reputation
列	タイプ	説明	バージョン
pid	INTEGER	プロセス識別子	3.8+
id	TEXT	プロセスをさらに識別するフォーマット済み文字列: <pid>-<start_time>-<siloID>例: “6320-132814763524433819-0"	3.8+
effective_reputation	TEXT	プロセスの有効なレピュテーション	3.8+
effective_reputation_source	TEXT	有効なレピュテーションのソース	3.8+
cloud	TEXT	クラウドによって決定されるプロセスのレピュテーション	3.8+
pre_existing	TEXT	インストール前にセンサーに実行ファイル/スクリプトがすでに存在していたかどうかによって決定されるプロセスのレピュテーション	3.8+
av	TEXT	ローカルアンチウイルスによって決定されるプロセスのレピュテーション	3.8+
it_tool	TEXT	信頼できる IT ツールによってドロップされたかどうかによって決定されるプロセスのレピュテーション	3.8+
certificate	TEXT	承認された証明書を使用して署名されたかどうかによって決定されるプロセスのレピュテーション	3.8+
hash	TEXT	ハッシュが承認されているか禁止されているかによって決定されるプロセスのレピュテーション	3.8+
cb_sensor	TEXT	センサープロセスかどうかによって決まるプロセスのレピュテーション	3.8+
operating_system	TEXT	事前に決定された OS ハッシュかどうかによって決定されるプロセスのレピュテーション	3.8+

注： [cb_sensor_processes_reputation] 拡張機能は、 Carbon Black Cloud Windows センサーが収集するプロセスレピュテーション情報を返します。

表 13. cb_sensor_status
列	タイプ	説明	バージョン
category	TEXT	ステータス情報のカテゴリグループ: [一般]: 一般的なセンサーの詳細 (センサーの状態、デバイス ID、ポリシー名など) [バージョン]: センサーのバージョン、SVN リビジョン、サードパーティ製ツールのバージョンなど [バックグラウンドスキャン]: バックグラウンドスキャンの構成と状態に関する詳細 [クラウド]: クラウドバックエンドへのセンサーの接続に関する詳細 [キュー]: 現在のキューステータスの詳細 [診断]: ログレベル、メンテナンスモードなど [ルール]: 適用されたすべての DRE ポリシーの詳細 [ローカルスキャナ]: ローカルスキャナの構成/状態に関する詳細 [アラーム]: トリガされたアラームの詳細	3.8+
name	TEXT	ステータスデータの名前	3.8+
value	TEXT	ステータスデータの値	3.8+

注： [cb_sensor_status] 拡張機能は、 Carbon Black Cloud Windows センサーの現在のステータスの詳細を返します。このデータは、 repcli status コマンドの出力と似ています。

表 14. cb_sensor_volumes
列	タイプ	説明	バージョン
name	TEXT	ボリューム名	3.8+
guid	TEXT	ボリューム GUID	3.8+
file_system	TEXT	ボリュームのファイルシステムタイプ (NTFS、FASTFAT など)	3.8+
device_type	INTEGER	内部 Windows の値によって定義されるデバイスタイプ。https://docs.microsoft.com/en-us/windows-hardware/drivers/kernel/specifying-device-types を参照してください。	3.8+
device_characteristics	INTEGER	ボリュームのデバイスに関する追加情報を提供する内部 Windows の値のビットマスク	3.8+
serial_number	INTEGER	ボリュームのシリアル番号	3.8+
alignment_requirement	INTEGER	データ転送のためのボリュームのアライメント要件を定義する内部 Windows の値	3.8+
sector_size	INTEGER	ボリュームセクターのサイズ	3.8+
shadow_copy	INTEGER	1: ボリュームがシャドウコピーまたは「スナップショット」ボリュームである	3.8+
device_manufacturer	TEXT	ボリュームのデバイスのメーカー	3.8+
device_name	TEXT	ボリュームのデバイスの名前	3.8+
device_serial_number	TEXT	ボリュームのデバイスのシリアル番号	3.8+

注： [cb_sensor_volumes] 拡張機能は、 Carbon Black Cloud Windows センサーが収集する現在のボリュームの詳細を返します。

注： RepCLI コマンドの詳細については、 RepCLI を使用したセンサーの管理を参照してください。