Anleitung zum Erfassen der Protokolle von CrowdStrike Falcon Sensor

In diesem Artikel werden die Methoden zum Erfassen von Protokollen für den CrowdStrike Falcon Sensor beschrieben.

Betroffene Produkte:

• CrowdStrike Falcon Sensor

Betroffene Betriebssysteme:

• Windows
• Mac
• Linux

Es wird dringend empfohlen, vor dem Troubleshooting von CrowdStrike Falcon Sensor oder vor der Kontaktaufnahme mit dem Dell Support Protokolle zu sammeln.

Klicken Sie auf Windows, Mac oder Linux , um relevante Protokollierungsinformationen anzuzeigen.

Windows

Der CrowdStrike Falcon Sensor kann unter Windows durch manuelles Erfassen von Protokollen für Folgendes behoben werden:

• MSI-Protokolle : Wird verwendet, um Installationsprobleme zu beheben.
• Produktprotokolle : Wird verwendet, um Aktivierungs-, Kommunikations- und Verhaltensprobleme zu beheben.

Klicken Sie auf den entsprechenden Protokollierungstyp, um weitere Informationen zu erhalten.

MSI

1. Melden Sie sich am betroffenen Endpunkt an.
2. Klicken Sie mit der rechten Maustaste auf das Startmenü von Windows und wählen Sie Ausführen aus.
   
3. Geben Sie in der Run User Interface (UI) Folgendes ein:
   • Bei Installation durch den Nutzer: Geben Sie den folgenden Befehl ein und klicken Sie dann auf OK.

     %LOCALAPPDATA%\Temp

   • Bei Installation durch automatisches Update: Geben Sie den folgenden Befehl ein und klicken Sie dann auf OK.

     %SYSTEMROOT%\Temp

   
4. Erfassen:
   • CrowdStrike Window Sensor_<TIMESTAMP>_<BIT>.log
   • CrowdStrike Window Sensor_<TIMESTAMP>.log
   
   Hinweis:

   • <TIMESTAMP> = Datum und Uhrzeit der Installation
   • <BIT> = steht entweder für Agent32 oder Agent64

Produkt

Dell Technologies empfiehlt, die Ausführlichkeit zu aktivieren und das Problem dann vor der Erfassung der Produktprotokolle zu reproduzieren. Sobald das Problem behoben ist, empfiehlt Dell Technologies, die Ausführlichkeit zu deaktivieren . Klicken Sie auf den entsprechenden Prozess für weitere Informationen.

Aktivieren

1. Melden Sie sich am betroffenen Endpunkt an.
2. Klicken Sie mit der rechten Maustaste auf das Startmenü von Windows und wählen Sie Ausführen aus.
3. Geben Sie in der Benutzeroberfläche (UI) ausführen den folgenden Befehl ein und drücken Sie dann STRG+UMSCHALT+EINGABETASTE, um den Registrierungs-Editor als Administrator auszuführen.

   regedit

   
4. Wenn die Nutzerkontensteuerung aktiviert ist, klicken Sie auf Ja. Andernfalls fahren Sie mit Schritt 5 fort.
   
5. Gehen Sie zu [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default].
   
6. Doppelklick AFLAGS.
   
7. Drücken Sie die Entf-Taste, geben Sie 03 ein und klicken Sie dann auf OK.
   
8. Klicken Sie auf Datei und wählen Sie Beenden.
   
   Hinweis: Reproduzieren Sie das Problem, sobald die Protokollierung aktiviert ist.

Erfassung

1. Melden Sie sich am betroffenen Endpunkt an.
2. Klicken Sie mit der rechten Maustaste auf das Startmenü von Windows und wählen Sie Ausführen aus.
    
3. Geben Sie in der Benutzeroberfläche (UI) Ausführen den folgenden Befehl ein und klicken Sie dann auf OK.

   eventvwr

   
   
4. Erweitern Sie in der Ereignisanzeige Windows-Protokolle und klicken Sie dann auf System.
   
5. Klicken Sie mit der rechten Maustaste auf das Systemprotokoll und wählen Sie Filter Current Log aus.
   
6. Legen Sie die Quelle auf CSAgent fest.
   
7. Klicken Sie mit der rechten Maustaste auf das Systemprotokoll und wählen Sie Filtered Log File speichern unter aus.
   
8. Ändern Sie den Dateinamen in CrowdStrike_<WORKSTATIONNAME>.evtx und klicken Sie dann auf Speichern.
   
   Hinweis: Dell Technologies empfiehlt die Angabe der <WORKSTATIONNAME> Für den Fall, dass das Problem auf mehreren Endpunkten auftritt.

Disable

1. Melden Sie sich am betroffenen Endpunkt an.
2. Klicken Sie mit der rechten Maustaste auf das Startmenü von Windows und wählen Sie Ausführen aus.
   
3. Geben Sie in der Benutzeroberfläche (UI) ausführen den folgenden Befehl ein und drücken Sie dann STRG+UMSCHALT+EINGABETASTE, um den Registrierungs-Editor als Administrator auszuführen.

    regedit

   
4. Wenn die Nutzerkontensteuerung aktiviert ist, klicken Sie auf Ja. Andernfalls fahren Sie mit Schritt 5 fort.
   
5. Gehen Sie zu [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default].
   
6. Drücken Sie die Entf-Taste, geben Sie 0 ein und klicken Sie dann auf OK.
   
7. Klicken Sie auf Datei und wählen Sie Beenden.
   

Mac

Der CrowdStrike Falcon Sensor kann auf dem Mac wie folgt behoben werden:

• Installationsprotokolle : Wird verwendet, um Installationsprobleme zu beheben.
• Produktprotokolle : Wird verwendet, um Aktivierungs-, Kommunikations- und Verhaltensprobleme zu beheben.

Klicken Sie auf den entsprechenden Protokollierungstyp, um weitere Informationen zu erhalten.

Installieren

CrowdStrike Falcon Sensor verwendet "native install.log", um Installationsinformationen zu dokumentieren.

1. Klicken Sie im Apple-Menü auf Gehe zu und wählen Sie dann Gehe zu Ordner.
   
2. Geben Sie den folgenden Befehl ein und klicken Sie dann auf Go.

   /var/log

   
   
3. Kopieren Install.log an einen leicht zugänglichen Ort für weitere Untersuchungen.
   
   Hinweis: Dell Technologies empfiehlt die Suche nach "CrowdStrike", um sicherzustellen, dass die Informationen für CrowdStrike relevant sind.

Produkt

Dell Technologies empfiehlt, die Ausführlichkeit zu aktivieren und das Problem dann vor der Erfassung der Produktprotokolle zu reproduzieren. Sobald das Problem behoben ist, empfiehlt Dell Technologies, die Ausführlichkeit zu deaktivieren . Klicken Sie auf den entsprechenden Prozess für weitere Informationen.

Aktivieren

1. Melden Sie sich am betroffenen Endpunkt an.
2. Klicken Sie im Apple-Menü auf Start und wählen Sie Dienstprogramme.
   
3. Doppelklicken Sie auf Terminal.
   
4. Geben Sie im Terminal den folgenden Befehl ein und drücken Sie dann die Eingabetaste.

   sudo sysctl cs.feature=3

5. Geben Sie das Kennwort ein für sudo ein, und drücken Sie anschließend die Eingabetaste.
   
6. Bestätigen cs.feature=3.
   
   Hinweis: Reproduzieren Sie das Problem, sobald die Protokollierung aktiviert ist.

Erfassung

1. Melden Sie sich am betroffenen Endpunkt an.
2. Klicken Sie im Apple-Menü auf Start und wählen Sie Dienstprogramme.
   
3. Doppelklicken Sie auf Terminal.
   
4. Geben Sie im Terminal den folgenden Befehl ein und drücken Sie dann die Eingabetaste.

   sudo /Library/CS/falconctl diagnose

5. Geben Sie das Kennwort ein für sudo, und drücken Sie dann die Eingabetaste.
   
6. Nach einigen Minuten falconctl_diagnose.tgz wird erzeugt in /private/tmp.

Disable

1. Melden Sie sich am betroffenen Endpunkt an.
2. Klicken Sie im Apple-Menü auf Start und wählen Sie Dienstprogramme.
   
3. Doppelklicken Sie auf Terminal.
   
4. Geben Sie im Terminal den folgenden Befehl ein und drücken Sie dann die Eingabetaste.

   sudo sysctl cs.feature=0

5. Geben Sie das Kennwort ein für sudo, und drücken Sie dann die Eingabetaste.
   
6. Bestätigen cs.feature=0.
   

Linux

1. Melden Sie sich am betroffenen Endpunkt an.
2. Öffnen Sie das Linux Terminal.
   
   Hinweis: Das Layout der Benutzeroberfläche (UI) kann sich je nach Linux-Distribution unterscheiden.
3. Geben Sie im Terminal den folgenden Befehl ein und drücken Sie dann die Eingabetaste.

   su root

4. Geben Sie das Kennwort ein für sudo, und drücken Sie dann die Eingabetaste.
   
5. Geben Sie den folgenden Befehl ein und drücken Sie dann die Eingabetaste.

   sudo mkdir /tmp/CrowdStrike

   
   Hinweis: Das Beispiel /tmp/CrowdStrike Das Verzeichnis kann in Ihrer Umgebung geändert werden.
6. Geben Sie den folgenden Befehl ein und drücken Sie dann die Eingabetaste.

   sudo grep falcon /var/log/messages > /tmp/CrowdStrike/log_messages.txt

7. Geben Sie den folgenden Befehl ein und drücken Sie dann die Eingabetaste.

   sudo grep falcon /var/log/syslog > /tmp/CrowdStrike/log_syslog.txt

8. Geben Sie den folgenden Befehl ein und drücken Sie dann die Eingabetaste.

   sudo grep falcon /var/log/rsyslog > /tmp/CrowdStrike/log_rsyslog.txt

9. Geben Sie den folgenden Befehl ein und drücken Sie dann die Eingabetaste.

   sudo grep falcon /var/log/daemon > /tmp/CrowdStrike/log_daemon.txt

   
   Hinweis: Linux-Distributionen verfügen möglicherweise nicht über alle aufgelisteten Verzeichnisse.
10. Erfassen Sie alle Ausgabedateien in /tmp/CrowdStrike (Schritt 5) mithilfe von SSH.
    
    Hinweis:

    • SSH ist standardmäßig in Linux-Distributionen deaktiviert.
    • Sobald SSH aktiviert ist, kann Drittanbieter-Software (z. B. PuTTY) für die Verbindung mit des Linux-Endpunkt verwendet werden.