Jak zbierać dzienniki narzędzia CrowdStrike Falcon Sensor

Użytkownik może rozwiązywać problemy z narzędziem CrowdStrike Falcon Sensor w systemie Windows, ręcznie zbierając dzienniki dla:

• Dzienniki MSI: Używane do rozwiązywania problemów z instalacją.
• Dzienniki produktu : Używane do rozwiązywania problemów z aktywacją, komunikacją i działaniem.

Aby uzyskać więcej informacji, kliknij odpowiedni typ dzienników.

MSI

1. Zaloguj się do danego punktu końcowego.
2. Prawym przyciskiem myszy kliknij menu Start systemu Windows, a następnie wybierz opcję Uruchom.

3. W interfejsie użytkownika Uruchom wpisz albo:
   • W przypadku zainstalowania przez użytkownika: %LOCALAPPDATA%\Temp a następnie kliknij przycisk OK.
   • Jeśli zainstalowano przez automatyczną aktualizację: %SYSTEMROOT%\Temp a następnie kliknij przycisk OK.

4. Zbierz:
   • CrowdStrike Window Sensor_[TIMESTAMP]_[BIT].log
   • CrowdStrike Window Sensor_[TIMESTAMP].log

Produkt

Zaleca się włączenie szczegółowości, a następnie odtworzenie problemu przed przechwyceniem dzienników produktu. Po rozwiązaniu problemu zaleca się wyłączenie szczegółowości. Kliknij odpowiedni proces, aby uzyskać więcej informacji.

Włączanie

1. Zaloguj się do danego punktu końcowego.
2. Prawym przyciskiem myszy kliknij menu Start systemu Windows, a następnie wybierz opcję Uruchom.

3. W menu Uruchom interfejs użytkownika (UI) wpisz regedit a następnie naciśnij kombinację klawiszy CTRL + SHIFT + ENTER, aby uruchomić Edytor rejestru jako administrator.

4. Jeśli włączona jest funkcja Kontrola konta użytkownika (UAC), kliknij przycisk Tak. W przeciwnym razie przejdź do kroku 5.

5. Przejdź do [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default].

6. Kliknij dwukrotnie AFLAGS.

7. Naciśnij przycisk Delete, wpisz 03, a następnie kliknij przycisk OK.

8. Kliknij opcję Plik, a następnie wybierz opcję Zakończ.

Przechwytywanie

1. Zaloguj się do danego punktu końcowego.
2. Prawym przyciskiem myszy kliknij menu Start systemu Windows, a następnie wybierz opcję Uruchom.

3. W menu Uruchom interfejs użytkownika (UI) wpisz eventvwr a następnie kliknij przycisk OK.

4. W Podglądzie zdarzeń rozwiń pozycję Dzienniki systemu Windows, a następnie kliknij pozycję System.

5. Kliknij prawym przyciskiem myszy dziennik systemowy, a następnie wybierz opcję Filtruj bieżący dziennik.

6. Ustaw źródło na CSAgent.

7. Kliknij prawym przyciskiem myszy dziennik systemowy, a następnie wybierz opcję Zapisz odfiltrowany plik dziennika jako.

8. Zmień nazwę pliku na CrowdStrike_[WORKSTATIONNAME].evtx a następnie kliknij przycisk Zapisz.

Wyłącz

1. Zaloguj się do danego punktu końcowego.
2. Prawym przyciskiem myszy kliknij menu Start systemu Windows, a następnie wybierz opcję Uruchom.

3. W menu Uruchom interfejs użytkownika (UI) wpisz regedit a następnie naciśnij kombinację klawiszy CTRL + SHIFT + ENTER, aby uruchomić Edytor rejestru jako administrator.

4. Jeśli włączona jest funkcja Kontrola konta użytkownika (UAC), kliknij przycisk Tak. W przeciwnym razie przejdź do kroku 5.

5. Przejdź do [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default].

6. Naciśnij przycisk Delete, wpisz 0, a następnie kliknij przycisk OK.

7. Kliknij opcję Plik, a następnie wybierz opcję Zakończ.

Użytkownik może rozwiązywać problemy z narzędziem CrowdStrike Falcon Sensor na komputerze Mac, zbierając następujące elementy:

• Dzienniki instalacji : Używane do rozwiązywania problemów z instalacją.
• Dzienniki produktu : Używane do rozwiązywania problemów z aktywacją, komunikacją i działaniem.

Aby uzyskać więcej informacji, kliknij odpowiedni typ dziennika.

Instalowanie

Narzędzie Falcon CrowdStrike Sensor do zbierania danych instalacyjnych wykorzystuje macierzysty plik install.log.

1. W menu Apple kliknij pozycję Idź i wybierz opcję Idź do folderu.

2. Wpisz /var/log a następnie kliknij przycisk Idź.

3. Kopiowanie Install.log do łatwo dostępnej lokalizacji w celu dalszego zbadania.

Produkt

Zaleca się włączenie szczegółowości, a następnie odtworzenie problemu przed przechwyceniem dzienników produktu. Po rozwiązaniu problemu zaleca się wyłączenie szczegółowości. Kliknij odpowiedni proces, aby uzyskać więcej informacji.

Włączanie

1. Zaloguj się do punktu końcowego, którego dotyczy problem.
2. W menu Apple kliknij pozycję Idź i wybierz opcję Narzędzia.

3. Kliknij dwukrotnie ikonę Terminal.

4. W terminalu wpisz sudo sysctl cs.feature=3 i naciśnij klawisz Enter.
5. Podaj hasło do sudo, a następnie naciśnij klawisz Enter.

6. Zatwierdź cs.feature=3.

Przechwytywanie

1. Zaloguj się do danego punktu końcowego.
2. W menu Apple kliknij pozycję Idź i wybierz opcję Narzędzia.

3. Kliknij dwukrotnie ikonę Terminal.

4. W terminalu wpisz sudo /Library/CS/falconctl diagnose i naciśnij klawisz Enter.
5. Podaj hasło do sudo, a następnie naciśnij klawisz Enter.

6. Po kilku minutach falconctl_diagnose.tgz zostanie wygenerowany w /private/tmp.

Wyłącz

1. Zaloguj się do punktu końcowego, którego dotyczy problem.
2. W menu Apple kliknij pozycję Idź i wybierz opcję Narzędzia.

3. Kliknij dwukrotnie ikonę Terminal.

4. W terminalu wpisz sudo sysctl cs.feature=0 i naciśnij klawisz Enter.
5. Podaj hasło do sudo, a następnie naciśnij klawisz Enter.

6. Zatwierdź cs.feature=0.

1. Zaloguj się do punktu końcowego, którego dotyczy problem.
2. Otwórz Terminal systemu Linux.

3. W terminalu wpisz su root i naciśnij klawisz Enter.
4. Podaj hasło do sudo, a następnie naciśnij klawisz Enter.

5. Wpisz sudo mkdir /tmp/CrowdStrike i naciśnij klawisz Enter.

6. Wpisz sudo grep falcon /var/log/messages > /tmp/CrowdStrike/log_messages.txt i naciśnij klawisz Enter.
7. Wpisz sudo grep falcon /var/log/syslog > /tmp/CrowdStrike/log_syslog.txt i naciśnij klawisz Enter.
8. Wpisz sudo grep falcon /var/log/rsyslog > /tmp/CrowdStrike/log_rsyslog.txt i naciśnij klawisz Enter.
9. Wpisz sudo grep falcon /var/log/daemon > /tmp/CrowdStrike/log_daemon.txt i naciśnij klawisz Enter.

10. Przechwyć wszystkie pliki wyjściowe w /tmp/CrowdStrike (Krok 5) przy użyciu SSH.