Jak shromažďovat protokoly aplikace CrowdStrike Falcon Sensor

Uživatel může odstraňovat problémy s aplikací CrowdStrike Falcon Sensor v systému Windows ručním shromažďováním protokolů pro:

• Protokoly MSI: Používají se k odstraňování problémů s instalací.
• Protokoly produktu: Používají se k odstraňování problémů s aktivací, komunikací a při poruchách chování.

Další informace získáte po kliknutí na příslušný typ protokolování.

MSI

1. Přihlaste se k dotčenému koncovému bodu.
2. Pravým tlačítkem klikněte na nabídku Start systému Windows a poté vyberte možnost Spustit.

3. V uživatelském rozhraní Spustit zadejte jednu z následujících variant:
   • Pokud instalaci provedl uživatel: %LOCALAPPDATA%\Temp a potom klikněte na tlačítko OK.
   • Pokud instalaci provedla automatická aktualizace: %SYSTEMROOT%\Temp a potom klikněte na tlačítko OK.

4. Shromážděte:
   • CrowdStrike Window Sensor_[TIMESTAMP]_[BIT].log
   • CrowdStrike Window Sensor_[TIMESTAMP].log

Produkt

Před zachycením protokolů produktu se doporučuje povolit podrobnosti a poté problém reprodukovat. Po vyřešení problému se doporučuje podrobnosti zakázat . Další informace získáte po kliknutí na příslušný proces.

Povolení

1. Přihlaste se k dotčenému koncovému bodu.
2. Pravým tlačítkem klikněte na nabídku Start systému Windows a poté vyberte možnost Spustit.

3. V uživatelském rozhraní Spustit zadejte příkaz regedit a poté stisknutím kláves CTRL+SHIFT+ENTER spusťte Editor registru jako správce.

4. Pokud je povolena funkce Řízení uživatelských účtů (UAC), klikněte na tlačítko Ano. V opačném případě pokračujte krokem 5.

5. Přejít na [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default].

6. Poklepejte AFLAGS.

7. Stiskněte klávesu Delete a zadejte 03a potom klikněte na tlačítko OK.

8. Klikněte na možnost Soubor a poté vyberte možnost Ukončit.

Zachycení

1. Přihlaste se k dotčenému koncovému bodu.
2. Pravým tlačítkem klikněte na nabídku Start systému Windows a poté vyberte možnost Spustit.

3. V uživatelském rozhraní Spustit zadejte příkaz eventvwr a potom klikněte na tlačítko OK.

4. V Prohlížeči událostí rozbalte položku Protokoly systému Windows a klikněte na položku Systém.

5. Pravým tlačítkem myši klikněte na položku protokol Systém a vyberte možnost Filtrovat aktuální protokol.

6. Nastavte zdroj na hodnotu CSAgent.

7. Pravým tlačítkem myši klikněte na protokol Systém a vyberte možnost Uložit filtrovaný soubor protokolu jako…

8. Změňte název souboru na CrowdStrike_[WORKSTATIONNAME].evtx a potom klikněte na tlačítko Uložit.

Zakázání

1. Přihlaste se k dotčenému koncovému bodu.
2. Pravým tlačítkem klikněte na nabídku Start systému Windows a poté vyberte možnost Spustit.

3. V uživatelském rozhraní Spustit zadejte příkaz regedit a poté stisknutím kláves CTRL+SHIFT+ENTER spusťte Editor registru jako správce.

4. Pokud je povolena funkce Řízení uživatelských účtů (UAC), klikněte na tlačítko Ano. V opačném případě pokračujte krokem 5.

5. Navštivte adresu [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default].

6. Stiskněte klávesu Delete a zadejte 0a potom klikněte na tlačítko OK.

7. Klikněte na možnost Soubor a poté vyberte možnost Ukončit.

Uživatel může odstraňovat problémy s aplikací CrowdStrike Falcon Sensor v systému Mac shromažďováním:

• Instalace protokolů: Používají se k odstraňování problémů s instalací.
• Protokoly produktu: Používají se k odstraňování problémů s aktivací, komunikací a při poruchách chování.

Další informace získáte po kliknutí na příslušný typ protokolu.

Instalace

Aplikace CrowdStrike Falcon Sensor používá k dokumentaci informací o instalaci nativní soubor install.log.

1. V nabídce Apple klikněte na možnost Otevřít a poté na možnost Otevřít složku.

2. Zadejte příkaz /var/log a potom klikněte na tlačítko Přejít.

3. Kopírovat Install.log na snadno dostupné místo pro další šetření.

Produkt

Před zachycením protokolů produktu se doporučuje povolit podrobnosti a poté problém reprodukovat. Po vyřešení problému se doporučuje podrobnosti zakázat . Další informace získáte po kliknutí na příslušný proces.

Povolení

1. Přihlaste se k dotčenému koncovému bodu.
2. V nabídce Apple klikněte na možnost Otevřít a poté na možnost Utility.

3. Dvakrát klikněte na Terminál.

4. Do terminálu zadejte příkaz sudo sysctl cs.feature=3 a poté stiskněte Enter.
5. Vyplňte heslo pro sudoa poté stiskněte klávesu Enter.

6. Confirm cs.feature=3.

Zachycení

1. Přihlaste se k dotčenému koncovému bodu.
2. V nabídce Apple klikněte na možnost Otevřít a poté na možnost Utility.

3. Dvakrát klikněte na Terminál.

4. Do terminálu zadejte příkaz sudo /Library/CS/falconctl diagnose a poté stiskněte Enter.
5. Vyplňte heslo pro sudoa poté stiskněte klávesu Enter.

6. Po několika minutách falconctl_diagnose.tgz se vygeneruje v /private/tmp.

Zakázání

1. Přihlaste se k dotčenému koncovému bodu.
2. V nabídce Apple klikněte na možnost Otevřít a poté na možnost Utility.

3. Dvakrát klikněte na Terminál.

4. Do terminálu zadejte příkaz sudo sysctl cs.feature=0 a poté stiskněte Enter.
5. Vyplňte heslo pro sudoa poté stiskněte klávesu Enter.

6. Confirm cs.feature=0.

1. Přihlaste se k dotčenému koncovému bodu.
2. Otevřete terminál Linux.

3. Do terminálu zadejte příkaz su root a poté stiskněte Enter.
4. Vyplňte heslo pro sudoa poté stiskněte klávesu Enter.

5. Zadejte příkaz sudo mkdir /tmp/CrowdStrike a poté stiskněte Enter.

6. Zadejte příkaz sudo grep falcon /var/log/messages > /tmp/CrowdStrike/log_messages.txt a poté stiskněte Enter.
7. Zadejte příkaz sudo grep falcon /var/log/syslog > /tmp/CrowdStrike/log_syslog.txt a poté stiskněte Enter.
8. Zadejte příkaz sudo grep falcon /var/log/rsyslog > /tmp/CrowdStrike/log_rsyslog.txt a poté stiskněte Enter.
9. Zadejte příkaz sudo grep falcon /var/log/daemon > /tmp/CrowdStrike/log_daemon.txt a poté stiskněte Enter.

10. Zaznamenejte všechny výstupní soubory do /tmp/CrowdStrike (Krok 5) pomocí protokolu SSH.