Como coletar logs do sensor CrowdStrike Falcon

Este artigo discute os métodos de coleta de logs do sensor CrowdStrike Falcon.

Produtos afetados:

• Sensor CrowdStrike Falcon

Sistemas operacionais afetados:

• Windows
• Mac
• Linux

É altamente recomendável coletar registros antes de solucionar problemas do sensor CrowdStrike Falcon ou entrar em contato com o suporte Dell.

Clique em Windows, Mac ou Linux para obter informações de log relevantes.

Windows

O sensor CrowdStrike Falcon pode ser solucionado no Windows coletando registros manualmente para:

• Logs do MSI : usados para solucionar problemas de instalação.
• Logs do produto : usados para solucionar problemas de ativação, comunicação e comportamento.

Clique no tipo apropriado de log para obter mais informações.

MSI

1. Faça login no endpoint afetado.
2. Clique com o botão direito do mouse no menu Iniciar do Windows e selecione Executar.
   
3. Em Executar interface do usuário (IU), digite:
   • Se instalado pelo usuário: digite o seguinte comando e clique em OK.

     %LOCALAPPDATA%\Temp

   • Se instalado pela atualização automática: digite o seguinte comando e clique em OK.

     %SYSTEMROOT%\Temp

   
4. Colete:
   • CrowdStrike Window Sensor_<TIMESTAMP>_<BIT>.log
   • CrowdStrike Window Sensor_<TIMESTAMP>.log
   
   Nota:

   • <TIMESTAMP> = Data e hora da instalação
   • <BIT> = Representa Agent32 ou Agent64

Produto

A Dell Technologies recomenda habilitar o detalhamento e, em seguida, reproduzir o problema antes da captura de logs do produto. Depois que o problema for resolvido, a Dell Technologies recomenda Desabilitar o verbosidade. Clique no processo adequado para obter mais informações.

Ativar

1. Faça login no endpoint afetado.
2. Clique com o botão direito do mouse no menu Iniciar do Windows e selecione Executar.
3. Em Executar interface do usuário (IU), digite o seguinte comando e pressione CTRL+SHIFT+ENTER para executar o Editor do Registro como administrador.

   regedit

   
4. Se a opção UAC (User Account Control, controle da conta de usuário) estiver ativada, clique em Sim. Caso contrário, avance para a etapa 5.
   
5. Vá até [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default].
   
6. Clique duplo AFLAGS.
   
7. Pressione Excluir, digite 03 e clique em OK.
   
8. Clique em File (Arquivo) e, depois, em Exit (Sair).
   
   Nota: Depois que o log estiver habilitado, reproduza o problema.

Captura

1. Faça login no endpoint afetado.
2. Clique com o botão direito do mouse no menu Iniciar do Windows e selecione Executar.
    
3. Em Executar interface do usuário (UI), digite o seguinte comando e clique em OK.

   eventvwr

   
   
4. No Visualizador de eventos, expanda Logs do Windows e clique em Sistema.
   
5. Clique com o botão direito do mouse em Log do sistema e selecione Filtrar log atual.
   
6. Defina a origem como CSAgent.
   
7. Clique com o botão direito no log do sistema e selecione Salvar arquivo de log filtrado como.
   
8. Altere o nome do arquivo para CrowdStrike_<WORKSTATIONNAME>.evtx e, em seguida, clique em Save.
   
   Nota: A Dell Technologies recomenda especificar o <WORKSTATIONNAME> Caso o problema esteja ocorrendo em vários endpoints.

Disable

1. Faça login no endpoint afetado.
2. Clique com o botão direito do mouse no menu Iniciar do Windows e selecione Executar.
   
3. Em Executar interface do usuário (IU), digite o seguinte comando e pressione CTRL+SHIFT+ENTER para executar o Editor do Registro como administrador.

    regedit

   
4. Se a opção UAC (User Account Control, controle da conta de usuário) estiver ativada, clique em Sim. Caso contrário, avance para a etapa 5.
   
5. Vá até [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default].
   
6. Pressione Excluir, digite 0 e clique em OK.
   
7. Clique em File (Arquivo) e, depois, em Exit (Sair).
   

Mac

O sensor CrowdStrike Falcon pode ser solucionado no Mac coletando:

• Registros de instalação : usados para solucionar problemas de instalação.
• Logs do produto : usados para solucionar problemas de ativação, comunicação e comportamento.

Clique no tipo apropriado de log para obter mais informações.

Instalar

O sensor CrowdStrike Falcon usa o install.log nativo para documentar as informações de instalação.

1. No menu Apple, clique em Ir e, em seguida, selecione Ir para pasta.
   
2. Digite o seguinte comando e clique em Ir.

   /var/log

   
   
3. Copiar Install.log para um local prontamente disponível para uma investigação mais aprofundada.
   
   Nota: A Dell Technologies recomenda pesquisar por "CrowdStrike" para garantir que as informações sejam relevantes para o CrowdStrike.

Produto

A Dell Technologies recomenda habilitar o detalhamento e, em seguida, reproduzir o problema antes da captura de logs do produto. Depois que o problema for resolvido, a Dell Technologies recomenda Desabilitar o verbosidade. Clique no processo adequado para obter mais informações.

Ativar

1. Faça login no endpoint afetado.
2. No menu Apple, clique em Go e, em seguida, selecione Utilities.
   
3. Clique duas vezes em Terminal.
   
4. No Terminal, digite o seguinte comando e pressione Enter.

   sudo sysctl cs.feature=3

5. Preencha a senha para sudo e pressione Enter.
   
6. Confirm cs.feature=3.
   
   Nota: Depois que o log estiver habilitado, reproduza o problema.

Captura

1. Faça login no endpoint afetado.
2. No menu Apple, clique em Go e, em seguida, selecione Utilities.
   
3. Clique duas vezes em Terminal.
   
4. No Terminal, digite o seguinte comando e pressione Enter.

   sudo /Library/CS/falconctl diagnose

5. Preencha a senha para sudoe, em seguida, prima Enter.
   
6. Após alguns minutos, falconctl_diagnose.tgz será gerado em /private/tmp.

Disable

1. Faça login no endpoint afetado.
2. No menu Apple, clique em Go e, em seguida, selecione Utilities.
   
3. Clique duas vezes em Terminal.
   
4. No Terminal, digite o seguinte comando e pressione Enter.

   sudo sysctl cs.feature=0

5. Preencha a senha para sudoe, em seguida, prima Enter.
   
6. Confirm cs.feature=0.
   

Linux

1. Faça login no endpoint afetado.
2. Abra o Terminal do Linux.
   
   Nota: O layout da interface do usuário (IU) pode ser diferente entre as distribuições Linux.
3. No Terminal, digite o seguinte comando e pressione Enter.

   su root

4. Preencha a senha para sudoe, em seguida, prima Enter.
   
5. Digite o comando a seguir e pressione Enter.

   sudo mkdir /tmp/CrowdStrike

   
   Nota: O exemplo /tmp/CrowdStrike O diretório pode ser modificado em seu ambiente.
6. Digite o comando a seguir e pressione Enter.

   sudo grep falcon /var/log/messages > /tmp/CrowdStrike/log_messages.txt

7. Digite o comando a seguir e pressione Enter.

   sudo grep falcon /var/log/syslog > /tmp/CrowdStrike/log_syslog.txt

8. Digite o comando a seguir e pressione Enter.

   sudo grep falcon /var/log/rsyslog > /tmp/CrowdStrike/log_rsyslog.txt

9. Digite o comando a seguir e pressione Enter.

   sudo grep falcon /var/log/daemon > /tmp/CrowdStrike/log_daemon.txt

   
   Nota: As distribuições Linux podem não ter todos os diretórios listados.
10. Capture todos os arquivos de saída dentro /tmp/CrowdStrike (Etapa 5) usando SSH.
    
    Nota:

    • Por padrão, o SSH é desativado nas distribuições do Linux.
    • Assim que o SSH for ativado, um software de terceiro (como o PuTTY) poderá ser usado para a conexão ao endpoint Linux.