Cómo recopilar los registros de CrowdStrike Falcon Sensor

Un usuario puede solucionar problemas de CrowdStrike Falcon Sensor en Windows mediante la recopilación manual de registros para:

• Registros de MSI: Se utiliza para solucionar problemas de instalación.
• Registros de productos : Se utiliza para la solución de problemas de activación, comunicación y comportamiento.

Haga clic en el tipo de registro correspondiente para obtener más información.

MSI

1. Inicie sesión en el terminal afectado.
2. Haga clic con el botón derecho del mouse en el menú Inicio de Windows y seleccione Run (Ejecutar).

3. En la interfaz de usuario (IU) Run, escriba una de las siguientes opciones:
   • Si el usuario realiza la instalación: %LOCALAPPDATA%\Temp y, a continuación, haga clic en ACEPTAR.
   • Si se instala mediante la actualización automática: %SYSTEMROOT%\Temp y, a continuación, haga clic en ACEPTAR.

4. Recopilar:
   • CrowdStrike Window Sensor_[TIMESTAMP]_[BIT].log
   • CrowdStrike Window Sensor_[TIMESTAMP].log

Producto

Se recomienda habilitar el nivel de detalle y, a continuación, reproducir el problema antes de capturar los registros del producto. Una vez que se resuelve el problema, se recomienda deshabilitar el detalle. Haga clic en el proceso correspondiente para obtener más información.

Habilitar

1. Inicie sesión en el terminal afectado.
2. Haga clic con el botón derecho del mouse en el menú Inicio de Windows y seleccione Run (Ejecutar).

3. En run user interface (UI), escriba regedit y, a continuación, presione CTRL + MAYÚS + INTRO para ejecutar el editor del registro como administrador.

4. Si UAC (Control de cuentas de usuario) está habilitado, haga clic en Sí. De lo contrario, continúe con el Paso 5.

5. Vete a [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default].

6. Haga doble clic AFLAGS.

7. Presione Delete y escriba 03y, a continuación, haga clic en Aceptar.

8. Haga clic en File (Archivo) y luego haga clic en Exit (Salir).

Capturar

1. Inicie sesión en el terminal afectado.
2. Haga clic con el botón derecho del mouse en el menú Inicio de Windows y seleccione Run (Ejecutar).

3. En run user interface (UI), escriba eventvwr y, a continuación, haga clic en ACEPTAR.

4. En Visor de eventos, expanda Registros de Windows y, a continuación, haga clic en Sistema.

5. Haga clic con el botón secundario en Registro del sistema y, a continuación, seleccione Filtrar registro actual.

6. Configure el origen en CSAgent.

7. Haga clic con el botón secundario en registro del sistema y, a continuación, seleccione Guardar el archivo de registro filtrado como.

8. Cambiar nombre de archivo a CrowdStrike_[WORKSTATIONNAME].evtx y, a continuación, haga clic en Guardar.

Deshabilitar

1. Inicie sesión en el terminal afectado.
2. Haga clic con el botón derecho del mouse en el menú Inicio de Windows y seleccione Run (Ejecutar).

3. En run user interface (UI), escriba regedit y, a continuación, presione CTRL + MAYÚS + INTRO para ejecutar el editor del registro como administrador.

4. Si UAC (Control de cuentas de usuario) está habilitado, haga clic en Sí. De lo contrario, diríjase al Paso 5.

5. Vete a [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default].

6. Presione Delete y escriba 0y, a continuación, haga clic en Aceptar.

7. Haga clic en File (Archivo) y luego haga clic en Exit (Salir).

Un usuario puede solucionar problemas de CrowdStrike Falcon Sensor en Mac recopilando lo siguiente:

• Registros de instalación : Se utiliza para solucionar problemas de instalación.
• Registros de productos : Se utiliza para la solución de problemas de activación, comunicación y comportamiento.

Haga clic en el tipo de registro correspondiente para obtener más información.

Install

CrowdStrike Falcon Sensor utiliza el archivo install.log nativo para registrar la información de instalación.

1. En el menú Apple, haga clic en Go (Ir) y luego seleccione Go to Folder (Ir a la carpeta).

2. Tipo /var/log y, a continuación, haga clic en Ir.

3. Copiar Install.log a una ubicación fácilmente disponible para realizar una investigación más detallada.

Producto

Se recomienda habilitar el nivel de detalle y, a continuación, reproducir el problema antes de capturar los registros del producto. Una vez que se resuelve el problema, se recomienda deshabilitar el detalle. Haga clic en el proceso correspondiente para obtener más información.

Habilitar

1. Inicie sesión en el terminal afectado.
2. En el menú Apple, haga clic en Go (Ir) y luego seleccione Utilities (Utilidades).

3. Haga doble clic en Terminal.

4. En el terminal, escriba sudo sysctl cs.feature=3 y, luego, presione Intro.
5. Ingrese la contraseña para sudoy, a continuación, presione Intro.

6. Confirmar cs.feature=3.

Capturar

1. Inicie sesión en el terminal afectado.
2. En el menú Apple, haga clic en Go (Ir) y luego seleccione Utilities (Utilidades).

3. Haga doble clic en Terminal.

4. En el terminal, escriba sudo /Library/CS/falconctl diagnose y, luego, presione Intro.
5. Ingrese la contraseña para sudoy, a continuación, presione Intro.

6. Después de varios minutos, falconctl_diagnose.tgz se generará en /private/tmp.

Deshabilitar

1. Inicie sesión en el terminal afectado.
2. En el menú Apple, haga clic en Go (Ir) y luego seleccione Utilities (Utilidades).

3. Haga doble clic en Terminal.

4. En el terminal, escriba sudo sysctl cs.feature=0 y, luego, presione Intro.
5. Ingrese la contraseña para sudoy, a continuación, presione Intro.

6. Confirmar cs.feature=0.

1. Inicie sesión en el terminal afectado.
2. Abra Terminal de Linux.

3. En el terminal, escriba su root y, luego, presione Intro.
4. Ingrese la contraseña para sudoy, a continuación, presione Intro.

5. Tipo sudo mkdir /tmp/CrowdStrike y, luego, presione Intro.

6. Tipo sudo grep falcon /var/log/messages > /tmp/CrowdStrike/log_messages.txt y, luego, presione Intro.
7. Tipo sudo grep falcon /var/log/syslog > /tmp/CrowdStrike/log_syslog.txt y, luego, presione Intro.
8. Tipo sudo grep falcon /var/log/rsyslog > /tmp/CrowdStrike/log_rsyslog.txt y, luego, presione Intro.
9. Tipo sudo grep falcon /var/log/daemon > /tmp/CrowdStrike/log_daemon.txt y, luego, presione Intro.

10. Capturar todos los archivos de salida dentro de /tmp/CrowdStrike (Paso 5) mediante SSH.