Article Number: 000178209
CrowdStrike Falcon Sensorのログの収集方法
Summary: トラブルシューティングのためにCrowdStrike Falcon Sensorのログを収集する方法について説明します。ステップバイステップ ガイドは、Windows、Mac、およびLinuxで利用できます。
Article Content
Symptoms
この記事では、CrowdStrike Falcon Sensorのログを収集する方法について説明します。
対象製品：
- CrowdStrike Falcon Sensor
対象オペレーティング システム：
- Windows
- Mac
- Linux
Cause
該当なし
Resolution
CrowdStrike Falcon Sensorのトラブルシューティングを行う前、またはDellサポートに問い合わせる前に、ログを収集することを強くお勧めします。
注：Dellサポートに関するお問い合わせの詳細については、「デル データ セキュリティのインターナショナル サポート電話番号」を参照してください。
関連するログ情報については、[ Windows]、[ Mac]、または [Linux ]をクリックします。
ユーザーは、次のログを手動で収集することで、Windows上のCrowdStrike Falcon Sensorのトラブルシューティングを行うことができます。
詳細については、該当するログ タイプをクリックしてください。
MSI
- 影響を受けるエンドポイントにログインします。
- Windowsの「スタート」メニューを右クリックして、「ファイル名を指定して実行」を選択します。
- ［ファイル名を指定して実行］ユーザー インターフェイス（UI）で、次のいずれかを入力します。
- ユーザーがインストールした場合：
%LOCALAPPDATA%\Tempをクリックし 、「OK」をクリックします。 - 自動アップデートによってインストールされている場合：
%SYSTEMROOT%\Tempをクリックし 、「OK」をクリックします。
- ユーザーがインストールした場合：
- 収集:
CrowdStrike Window Sensor_[TIMESTAMP]_[BIT].logCrowdStrike Window Sensor_[TIMESTAMP].log
注：
[TIMESTAMP]= インストールの日付と時刻[BIT]= Agent32またはAgent64のいずれかを表します。
製品
製品ログを収集する前に、冗長性を有効にしてから問題を再現することをお勧めします。問題が解決したら、冗長性 を無効にする ことをお勧めします。詳細については、適切なプロセスをクリックしてください。
有効
Warning:
- デル・テクノロジーズでは、問題のトラブルシューティング時にのみ冗長性を有効にすることをお勧めします。
- デル・テクノロジーズでは、問題の解決後は冗長性を無効にすることをお勧めします。
- 冗長性が有効になっていると、エンドポイントでパフォーマンスが低下する場合があります。
- 影響を受けるエンドポイントにログインします。
- Windowsの「スタート」メニューを右クリックして、「ファイル名を指定して実行」を選択します。
- [ファイル名を指定して実行]ユーザー インターフェイス(UI)で、次を入力します。
regedit次に、CTRL+SHIFT+ENTERを押して、レジストリー エディターを管理者として実行します。
- ユーザー アカウント制御（UAC）が有効になっている場合は、［Yes］をクリックします。それ以外の場合は、手順5に進みます。
- 行きます
[HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default]に戻ります。
- ダブルクリック
AFLAGSに戻ります。
- Deleteを押して、
03をクリックし 、[OK] をクリックします。
![[Edit Binary Value]画面](https://supportkb.dell.com/img/ka06P000000sr58QAA/ka06P000000sr58QAA_ja_9.jpeg)
- ［ファイル］メニューの［終了］をクリックします。
注：ログが有効化されたら、問題を再現します。
キャプチャ
- 影響を受けるエンドポイントにログインします。
- Windowsの「スタート」メニューを右クリックして、「ファイル名を指定して実行」を選択します。
- [ファイル名を指定して実行]ユーザー インターフェイス(UI)で、次を入力します。
eventvwrをクリックし 、「OK」をクリックします。
- イベント ビューアーで［Windows ログ］を展開し、［システム］をクリックします。
- ［システム ログ］を右クリックし、［現在のログをフィルター］を選択します。
- [ソース] を
CSAgentに戻ります。
- ［システム ログ］を右クリックして［フィルターされたログ ファイルの名前を付けて保存］を選択します。
- ファイル名を
CrowdStrike_[WORKSTATIONNAME].evtxをクリックし 、「保存」をクリックします。
注：デル・テクノロジーズでは、指定することを推奨しています
[WORKSTATIONNAME] 問題が複数のエンドポイントで発生している場合。
Disable
- 影響を受けるエンドポイントにログインします。
- Windowsの「スタート」メニューを右クリックして、「ファイル名を指定して実行」を選択します。
- [ファイル名を指定して実行]ユーザー インターフェイス(UI)で、次を入力します。
regedit次に、CTRL+SHIFT+ENTERを押して、レジストリー エディターを管理者として実行します。
- ユーザー アカウント制御（UAC）が有効になっている場合は、［Yes］をクリックします。それ以外の場合は、手順5に進みます。
- 次のリンクにアクセスする：
[HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default]に戻ります。
- Deleteを押して、
0をクリックし 、[OK] をクリックします。
- ［ファイル］メニューの［終了］をクリックします。
ユーザーは、次の情報を収集することで、Mac上のCrowdStrike Falcon Sensorをトラブルシューティングできます。
詳細については、該当するログ タイプをクリックしてください。
インストール
CrowdStrike Falcon Sensorは、ネイティブのinstall.logを使用してインストール情報を文書化します。
- アップル メニューの［移動］をクリックし、次に［フォルダへー移動］を選択します。
- コマンド
/var/logをクリックし、「 実行」をクリックします。
- コピー
Install.logさらなる調査のためにすぐに利用できる場所に。
注：デル・テクノロジーズでは、「CrowdStrike」を検索して、情報がCrowdStrikeに関連していることを確認することをお勧めします。
製品
製品ログを収集する前に、冗長性を有効にしてから問題を再現することをお勧めします。問題が解決したら、冗長性 を無効にする ことをお勧めします。詳細については、適切なプロセスをクリックしてください。
有効
Warning:
- デル・テクノロジーズでは、問題のトラブルシューティング時にのみ冗長性を有効にすることをお勧めします。
- デル・テクノロジーズでは、問題の解決後は冗長性を無効にすることをお勧めします。
- 冗長性が有効になっていると、エンドポイントでパフォーマンスが低下する場合があります。
- 対象のエンドポイントにログインします。
- アップル メニューの［移動］をクリックし、［ユーティリティ］を選択します。
- ［ターミナル］をダブルクリックします。
- ターミナルで、「sudo shasum -a 256 [FILENAME]」と入力して、
sudo sysctl cs.feature=3「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。 - 次の パスワード を入力します:
sudoをクリックし、Enter キーを押します。
- ［Confirm］
cs.feature=3に戻ります。
注：ログが有効化されたら、問題を再現します。
キャプチャ
- 影響を受けるエンドポイントにログインします。
- アップル メニューの［移動］をクリックし、［ユーティリティ］を選択します。
- ［ターミナル］をダブルクリックします。
- ターミナルで、「sudo shasum -a 256 [FILENAME]」と入力して、
sudo /Library/CS/falconctl diagnose「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。 - 次のパスワードを入力します:
sudoをクリックし、Enter キーを押します。
- 数分後、
falconctl_diagnose.tgzで生成されます/private/tmpに戻ります。
Disable
- 対象のエンドポイントにログインします。
- アップル メニューの［移動］をクリックし、［ユーティリティ］を選択します。
- ［ターミナル］をダブルクリックします。
- ターミナルで、「sudo shasum -a 256 [FILENAME]」と入力して、
sudo sysctl cs.feature=0「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。 - 次のパスワードを入力します:
sudoをクリックし、Enter キーを押します。
- ［Confirm］
cs.feature=0に戻ります。
- 対象のエンドポイントにログインします。
- Linuxのターミナルを開きます。
注：ユーザー インターフェイス（UI）レイアウトは、Linuxディストリビューションによって異なる場合があります。
- ターミナルで、「sudo shasum -a 256 [FILENAME]」と入力して、
su root「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。 - 次の パスワード を入力します:
sudoをクリックし、Enter キーを押します。
- コマンド
sudo mkdir /tmp/CrowdStrike「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。
注：例
/tmp/CrowdStrike ディレクトリは、環境内で変更できます。
- コマンド
sudo grep falcon /var/log/messages > /tmp/CrowdStrike/log_messages.txt「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。 - コマンド
sudo grep falcon /var/log/syslog > /tmp/CrowdStrike/log_syslog.txt「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。 - コマンド
sudo grep falcon /var/log/rsyslog > /tmp/CrowdStrike/log_rsyslog.txt「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。 - コマンド
sudo grep falcon /var/log/daemon > /tmp/CrowdStrike/log_daemon.txt「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。
注：Linuxディストリビューションによっては、リストされているすべてのディレクトリーが含まれていない場合もあります。
- 内のすべての出力ファイルをキャプチャします
/tmp/CrowdStrike(ステップ5)をSSHで使用します。
注：
- デフォルトでSSHは、Linuxディストリビューション上で無効になっています。
- SSHが有効になると、サード パーティー製ソフトウェア（PuTTYなど）を使用して、Linuxエンドポイントへの接続ができます。
サポートに問い合わせるには、「Dell Data Securityのインターナショナル サポート電話番号」を参照してください。
TechDirectにアクセスして、テクニカル サポート リクエストをオンラインで生成します。
さらに詳しい情報やリソースについては、「デル セキュリティ コミュニティー フォーラム」に参加してください。
Additional Information
Videos
Article Properties
Affected Product
CrowdStrike
Last Published Date
01 Feb 2024
Version
17
Article Type
Solution