文書番号: 000178209
CrowdStrike Falcon Sensorのログの収集方法
概要: トラブルシューティングのためにCrowdStrike Falcon Sensorのログを収集する方法について説明します。ステップバイステップ ガイドは、Windows、Mac、およびLinuxで利用できます。
文書の内容
現象
この記事では、CrowdStrike Falcon Sensorのログを収集する方法について説明します。
対象製品：
- CrowdStrike Falcon Sensor
対象オペレーティング システム：
- Windows
- Mac
- Linux
原因
該当なし
解決方法
CrowdStrike Falcon Sensorのトラブルシューティングを行う前、またはDellサポートに問い合わせる前に、ログを収集することを強くお勧めします。
注：Dellサポートに関するお問い合わせの詳細については、「デル データ セキュリティのインターナショナル サポート電話番号」を参照してください。
関連するログ情報については、[ Windows]、[ Mac]、または [Linux ]をクリックします。
ユーザーは、次のログを手動で収集することで、Windows上のCrowdStrike Falcon Sensorのトラブルシューティングを行うことができます。
詳細については、該当するログ タイプをクリックしてください。
MSI
- 影響を受けるエンドポイントにログインします。
- Windowsの「スタート」メニューを右クリックして、「ファイル名を指定して実行」を選択します。
- ［ファイル名を指定して実行］ユーザー インターフェイス（UI）で、次のいずれかを入力します。
- ユーザーがインストールした場合：
%LOCALAPPDATA%\Tempをクリックし 、「OK」をクリックします。 - 自動アップデートによってインストールされている場合：
%SYSTEMROOT%\Tempをクリックし 、「OK」をクリックします。
- ユーザーがインストールした場合：
- 収集:
CrowdStrike Window Sensor_[TIMESTAMP]_[BIT].logCrowdStrike Window Sensor_[TIMESTAMP].log
注：
[TIMESTAMP]= インストールの日付と時刻[BIT]= Agent32またはAgent64のいずれかを表します。
製品
製品ログを収集する前に、冗長性を有効にしてから問題を再現することをお勧めします。問題が解決したら、冗長性 を無効にする ことをお勧めします。詳細については、適切なプロセスをクリックしてください。
有効
Warning:
- デル・テクノロジーズでは、問題のトラブルシューティング時にのみ冗長性を有効にすることをお勧めします。
- デル・テクノロジーズでは、問題の解決後は冗長性を無効にすることをお勧めします。
- 冗長性が有効になっていると、エンドポイントでパフォーマンスが低下する場合があります。
- 影響を受けるエンドポイントにログインします。
- Windowsの「スタート」メニューを右クリックして、「ファイル名を指定して実行」を選択します。
- [ファイル名を指定して実行]ユーザー インターフェイス(UI)で、次を入力します。
regedit次に、CTRL+SHIFT+ENTERを押して、レジストリー エディターを管理者として実行します。
- ユーザー アカウント制御（UAC）が有効になっている場合は、［Yes］をクリックします。それ以外の場合は、手順5に進みます。
- 行きます
[HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default]に戻ります。
- ダブルクリック
AFLAGSに戻ります。
- Deleteを押して、
03をクリックし 、[OK] をクリックします。
![[Edit Binary Value]画面](https://supportkb.dell.com/img/ka06P000000sr58QAA/ka06P000000sr58QAA_ja_9.jpeg)
- ［ファイル］メニューの［終了］をクリックします。
注：ログが有効化されたら、問題を再現します。
キャプチャ
- 影響を受けるエンドポイントにログインします。
- Windowsの「スタート」メニューを右クリックして、「ファイル名を指定して実行」を選択します。
- [ファイル名を指定して実行]ユーザー インターフェイス(UI)で、次を入力します。
eventvwrをクリックし 、「OK」をクリックします。
- イベント ビューアーで［Windows ログ］を展開し、［システム］をクリックします。
- ［システム ログ］を右クリックし、［現在のログをフィルター］を選択します。
- [ソース] を
CSAgentに戻ります。
- ［システム ログ］を右クリックして［フィルターされたログ ファイルの名前を付けて保存］を選択します。
- ファイル名を
CrowdStrike_[WORKSTATIONNAME].evtxをクリックし 、「保存」をクリックします。
注：デル・テクノロジーズでは、指定することを推奨しています
[WORKSTATIONNAME] 問題が複数のエンドポイントで発生している場合。
Disable
- 影響を受けるエンドポイントにログインします。
- Windowsの「スタート」メニューを右クリックして、「ファイル名を指定して実行」を選択します。
- [ファイル名を指定して実行]ユーザー インターフェイス(UI)で、次を入力します。
regedit次に、CTRL+SHIFT+ENTERを押して、レジストリー エディターを管理者として実行します。
- ユーザー アカウント制御（UAC）が有効になっている場合は、［Yes］をクリックします。それ以外の場合は、手順5に進みます。
- 次のリンクにアクセスする：
[HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default]に戻ります。
- Deleteを押して、
0をクリックし 、[OK] をクリックします。
- ［ファイル］メニューの［終了］をクリックします。
ユーザーは、次の情報を収集することで、Mac上のCrowdStrike Falcon Sensorをトラブルシューティングできます。
詳細については、該当するログ タイプをクリックしてください。
インストール
CrowdStrike Falcon Sensorは、ネイティブのinstall.logを使用してインストール情報を文書化します。
- アップル メニューの［移動］をクリックし、次に［フォルダへー移動］を選択します。
- コマンド
/var/logをクリックし、「 実行」をクリックします。
- コピー
Install.logさらなる調査のためにすぐに利用できる場所に。
注：デル・テクノロジーズでは、「CrowdStrike」を検索して、情報がCrowdStrikeに関連していることを確認することをお勧めします。
製品
製品ログを収集する前に、冗長性を有効にしてから問題を再現することをお勧めします。問題が解決したら、冗長性 を無効にする ことをお勧めします。詳細については、適切なプロセスをクリックしてください。
有効
Warning:
- デル・テクノロジーズでは、問題のトラブルシューティング時にのみ冗長性を有効にすることをお勧めします。
- デル・テクノロジーズでは、問題の解決後は冗長性を無効にすることをお勧めします。
- 冗長性が有効になっていると、エンドポイントでパフォーマンスが低下する場合があります。
- 対象のエンドポイントにログインします。
- アップル メニューの［移動］をクリックし、［ユーティリティ］を選択します。
- ［ターミナル］をダブルクリックします。
- ターミナルで、「sudo shasum -a 256 [FILENAME]」と入力して、
sudo sysctl cs.feature=3「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。 - 次の パスワード を入力します:
sudoをクリックし、Enter キーを押します。
- ［Confirm］
cs.feature=3に戻ります。
注：ログが有効化されたら、問題を再現します。
キャプチャ
- 影響を受けるエンドポイントにログインします。
- アップル メニューの［移動］をクリックし、［ユーティリティ］を選択します。
- ［ターミナル］をダブルクリックします。
- ターミナルで、「sudo shasum -a 256 [FILENAME]」と入力して、
sudo /Library/CS/falconctl diagnose「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。 - 次のパスワードを入力します:
sudoをクリックし、Enter キーを押します。
- 数分後、
falconctl_diagnose.tgzで生成されます/private/tmpに戻ります。
Disable
- 対象のエンドポイントにログインします。
- アップル メニューの［移動］をクリックし、［ユーティリティ］を選択します。
- ［ターミナル］をダブルクリックします。
- ターミナルで、「sudo shasum -a 256 [FILENAME]」と入力して、
sudo sysctl cs.feature=0「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。 - 次のパスワードを入力します:
sudoをクリックし、Enter キーを押します。
- ［Confirm］
cs.feature=0に戻ります。
- 対象のエンドポイントにログインします。
- Linuxのターミナルを開きます。
注：ユーザー インターフェイス（UI）レイアウトは、Linuxディストリビューションによって異なる場合があります。
- ターミナルで、「sudo shasum -a 256 [FILENAME]」と入力して、
su root「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。 - 次の パスワード を入力します:
sudoをクリックし、Enter キーを押します。
- コマンド
sudo mkdir /tmp/CrowdStrike「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。
注：例
/tmp/CrowdStrike ディレクトリは、環境内で変更できます。
- コマンド
sudo grep falcon /var/log/messages > /tmp/CrowdStrike/log_messages.txt「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。 - コマンド
sudo grep falcon /var/log/syslog > /tmp/CrowdStrike/log_syslog.txt「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。 - コマンド
sudo grep falcon /var/log/rsyslog > /tmp/CrowdStrike/log_rsyslog.txt「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。 - コマンド
sudo grep falcon /var/log/daemon > /tmp/CrowdStrike/log_daemon.txt「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。
注：Linuxディストリビューションによっては、リストされているすべてのディレクトリーが含まれていない場合もあります。
- 内のすべての出力ファイルをキャプチャします
/tmp/CrowdStrike(ステップ5)をSSHで使用します。
注：
- デフォルトでSSHは、Linuxディストリビューション上で無効になっています。
- SSHが有効になると、サード パーティー製ソフトウェア（PuTTYなど）を使用して、Linuxエンドポイントへの接続ができます。
サポートに問い合わせるには、「Dell Data Securityのインターナショナル サポート電話番号」を参照してください。
TechDirectにアクセスして、テクニカル サポート リクエストをオンラインで生成します。
さらに詳しい情報やリソースについては、「デル セキュリティ コミュニティー フォーラム」に参加してください。
その他の情報
ビデオ
文書のプロパティ
影響を受ける製品
CrowdStrike
最後に公開された日付
01 2月 2024
バージョン
17
文書の種類
Solution