CrowdStrike Falcon Sensor -lokien kerääminen

Käyttäjä voi tehdä vianmäärityksen CrowdStrike Falcon Sensor Windowsissa keräämällä manuaalisesti lokit:

• MSI-lokit : Käytetään asennusongelmien vianmääritykseen.
• Tuotelokit : Käytetään aktivointi-, viestintä- ja toimintaongelmien vianmääritykseen.

Katso lisätietoja valitsemalla asianmukainen lokityyppi.

MSI

1. Kirjaudu siihen päätepisteeseen, jota ongelma koskee.
2. Napsauta Windowsin Käynnistä-valikkoa hiiren kakkospainikkeella ja valitse Suorita.

3. Kirjoita Suorita-kenttään jompikumpi:
   • Jos käyttäjän asentama: %LOCALAPPDATA%\Temp ja valitse sitten OK.
   • Jos automaattisen päivityksen asentama: %SYSTEMROOT%\Temp ja valitse sitten OK.

4. Kerää:
   • CrowdStrike Window Sensor_[TIMESTAMP]_[BIT].log
   • CrowdStrike Window Sensor_[TIMESTAMP].log

Tuote

On suositeltavaa ottaa monisanaisuus käyttöön ja toistaa ongelma ennen tuotelokien sieppausta. Kun ongelma on ratkaistu, suosittelemme poistamaan monisanaisuuden käytöstä . Katso lisätietoja valitsemalla asianmukainen prosessi.

Ota käyttöön

1. Kirjaudu siihen päätepisteeseen, jota ongelma koskee.
2. Napsauta Windowsin Käynnistä-valikkoa hiiren kakkospainikkeella ja valitse Suorita.

3. Kirjoita Suorita käyttöliittymä (UI) -kohtaan regedit ja paina sitten CTRL+VAIHTO+ENTER, jos haluat suorittaa rekisterieditorin järjestelmänvalvojana.

4. Jos Käyttäjätilien valvonta on käytössä, valitse Kyllä. Siirry muutoin vaiheeseen 5.

5. Mennä [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default].

6. Kaksoisnapsauta AFLAGS.

7. Paina Delete-näppäintä, kirjoita 03ja valitse sitten OK.

8. Valitse Tiedosto ja Sulje.

Capture

1. Kirjaudu siihen päätepisteeseen, jota ongelma koskee.
2. Napsauta Windowsin Käynnistä-valikkoa hiiren kakkospainikkeella ja valitse Suorita.

3. Kirjoita Suorita käyttöliittymä (UI) -kohtaan eventvwr ja valitse sitten OK.

4. Laajenna Tapahtumienvalvonnassa Windows-lokit ja valitse Järjestelmä.

5. Napsauta hiiren kakkospainikkeella Järjestelmä-lokia ja valitse Suodata nykyinen loki.

6. Valitse Source-kohdassa CSAgent.

7. Napsauta järjestelmälokia hiiren kakkospainikkeella ja valitse Tallenna suodatettu lokitiedosto nimellä.

8. Vaihda tiedostonimeksi CrowdStrike_[WORKSTATIONNAME].evtx ja valitse sitten Save.

Poista käytöstä

1. Kirjaudu siihen päätepisteeseen, jota ongelma koskee.
2. Napsauta Windowsin Käynnistä-valikkoa hiiren kakkospainikkeella ja valitse Suorita.

3. Kirjoita Suorita käyttöliittymä (UI) -kohtaan regedit ja paina sitten CTRL+VAIHTO+ENTER, jos haluat suorittaa rekisterieditorin järjestelmänvalvojana.

4. Jos Käyttäjätilien valvonta on käytössä, valitse Kyllä. Siirry muutoin vaiheeseen 5.

5. Siirry [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default].

6. Paina Delete-näppäintä, kirjoita 0ja valitse sitten OK.

7. Valitse Tiedosto ja Sulje.

Käyttäjä voi suorittaa vianmäärityksen CrowdStrike Falcon Sensor Macissa keräämällä:

• Asennuslokit : Käytetään asennusongelmien vianmääritykseen.
• Tuotelokit : Käytetään aktivointi-, viestintä- ja toimintaongelmien vianmääritykseen.

Katso lisätietoja valitsemalla asianmukainen lokityyppi.

Asenna

CrowdStrike Falcon Sensor tallentaa asennustiedot alkuperäiseen install.log-tiedostoon.

1. Valitse omenavalikosta Siirry ja Siirry kansioon.

2. Kirjoita /var/log ja napsauta sitten Siirry.

3. Kopioi Install.log helposti saatavilla olevaan paikkaan lisätutkimuksia varten.

Tuote

On suositeltavaa ottaa monisanaisuus käyttöön ja toistaa ongelma ennen tuotelokien sieppausta. Kun ongelma on ratkaistu, suosittelemme poistamaan monisanaisuuden käytöstä . Katso lisätietoja valitsemalla asianmukainen prosessi.

Ota käyttöön

1. Kirjaudu sisään päätepisteeseen.
2. Valitse omenavalikosta Siirry ja Lisäohjelmat.

3. Kaksoisnapsauta kohtaa Pääte.

4. Kirjoita Päätteeseen sudo sysctl cs.feature=3 ja paina sitten Enter-näppäintä.
5. Kirjoita salasana kohteelle sudoja paina sitten Enter-näppäintä.

6. Vahvista cs.feature=3.

Capture

1. Kirjaudu siihen päätepisteeseen, jota ongelma koskee.
2. Valitse omenavalikosta Siirry ja Lisäohjelmat.

3. Kaksoisnapsauta kohtaa Pääte.

4. Kirjoita Päätteeseen sudo /Library/CS/falconctl diagnose ja paina sitten Enter-näppäintä.
5. Kirjoita salasana kohteelle sudoja paina sitten Enter-näppäintä.

6. Useiden minuuttien kuluttua falconctl_diagnose.tgz luodaan /private/tmp.

Poista käytöstä

1. Kirjaudu sisään päätepisteeseen.
2. Valitse omenavalikosta Siirry ja Lisäohjelmat.

3. Kaksoisnapsauta kohtaa Pääte.

4. Kirjoita Päätteeseen sudo sysctl cs.feature=0 ja paina sitten Enter-näppäintä.
5. Kirjoita salasana kohteelle sudoja paina sitten Enter-näppäintä.

6. Vahvista cs.feature=0.

1. Kirjaudu sisään päätepisteeseen.
2. Avaa Linuxin pääte.

3. Kirjoita Päätteeseen su root ja paina sitten Enter-näppäintä.
4. Kirjoita salasana kohteelle sudoja paina sitten Enter-näppäintä.

5. Kirjoita sudo mkdir /tmp/CrowdStrike ja paina sitten Enter-näppäintä.

6. Kirjoita sudo grep falcon /var/log/messages > /tmp/CrowdStrike/log_messages.txt ja paina sitten Enter-näppäintä.
7. Kirjoita sudo grep falcon /var/log/syslog > /tmp/CrowdStrike/log_syslog.txt ja paina sitten Enter-näppäintä.
8. Kirjoita sudo grep falcon /var/log/rsyslog > /tmp/CrowdStrike/log_rsyslog.txt ja paina sitten Enter-näppäintä.
9. Kirjoita sudo grep falcon /var/log/daemon > /tmp/CrowdStrike/log_daemon.txt ja paina sitten Enter-näppäintä.

10. Kaappaa kaikki tulostetiedostot /tmp/CrowdStrike (Vaihe 5) SSH: n avulla.