Så här samlar du in CrowdStrike Falcon-sensorloggar

I den här artikeln beskrivs metoderna för att samla in loggar för CrowdStrike Falcon-sensorn.

Berörda produkter:

• CrowdStrike Falcon Sensor

Berörda operativsystem:

• Windows
• Mac
• Linux

Vi rekommenderar starkt att du samlar in loggar innan du felsöker CrowdStrike Falcon-sensorn eller kontaktar Dells support.

Klicka på Windows, Mac eller Linux om du vill ha relevant loggningsinformation.

Windows

CrowdStrike Falcon-sensorn kan felsökas i Windows genom att manuellt samla in loggar för:

• MSI-loggar : Används för att felsöka installationsproblem.
• Produktloggar : Används för att felsöka aktiverings-, kommunikations- och beteendeproblem.

Klicka på loggtyperna nedan om du vill ha mer information om dem.

MSI

1. Logga in på den berörda slutpunkten.
2. Högerklicka på Windows startmeny och välj Kör.
   
3. I Kör användargränssnitt (UI) skriver du antingen:
   • Om den installerats av användaren: Skriv följande kommando och klicka sedan på OK.

     %LOCALAPPDATA%\Temp

   • Om Installeras genom automatisk uppdatering: Skriv följande kommando och klicka sedan på OK.

     %SYSTEMROOT%\Temp

   
4. Samla:
   • CrowdStrike Window Sensor_<TIMESTAMP>_<BIT>.log
   • CrowdStrike Window Sensor_<TIMESTAMP>.log
   
   Obs!

   • <TIMESTAMP> = Datum och tid för installationen
   • <BIT> = Representerar antingen Agent32 eller Agent64

Produkt

Dell Technologies rekommenderar att du aktiverar utförlighet och sedan återskapar problemet innan du samlar in produktloggar. När problemet har lösts rekommenderar Dell Technologies att du inaktiverar utförlighet. Klicka på avsnitten nedan för mer information.

Aktivera

1. Logga in på den berörda slutpunkten.
2. Högerklicka på Windows startmeny och välj Kör.
3. I Kör användargränssnitt (UI) skriver du följande kommando och trycker sedan på CTRL+SKIFT+RETUR för att köra Registereditorn som administratör.

   regedit

   
4. Klicka på Ja om UAC (kontroll av användarkonto) är aktiverat. Annars fortsätter du till steg 5.
   
5. Gå till [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default].
   
6. Dubbelklicka AFLAGS.
   
7. Tryck på Delete, skriv 03 och klicka sedan på OK.
   
8. Klicka på Arkiv och välj sedan Avsluta.
   
   Observera: När loggning har aktiverats återskapar du problemet.

Samla in

1. Logga in på den berörda slutpunkten.
2. Högerklicka på Windows startmeny och välj Kör.
    
3. Skriv följande kommando i Kör användargränssnitt (UI) och klicka sedan på OK.

   eventvwr

   
   
4. I Loggboken expanderar du Windows-loggar och klickar sedan på System.
   
5. Högerklicka på systemloggen och välj sedan Filtrera aktuell logg.
   
6. Ställ in Källa på CSAgent.
   
7. Högerklicka på systemloggen och välj sedan Spara filtrerad loggfil som.
   
8. Ändra filnamnet till CrowdStrike_<WORKSTATIONNAME>.evtx och klicka sedan på Spara.
   
   Observera: Dell Technologies rekommenderar att du specificerar <WORKSTATIONNAME> Om problemet uppstår på flera slutpunkter.

Avaktivera

1. Logga in på den berörda slutpunkten.
2. Högerklicka på Windows startmeny och välj Kör.
   
3. I Kör användargränssnitt (UI) skriver du följande kommando och trycker sedan på CTRL+SKIFT+RETUR för att köra Registereditorn som administratör.

    regedit

   
4. Klicka på Ja om UAC (kontroll av användarkonto) är aktiverat. Annars fortsätter du till steg 5.
   
5. Gå till [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default].
   
6. Tryck på Delete, skriv 0 och klicka sedan på OK.
   
7. Klicka på Arkiv och välj sedan Avsluta.
   

Mac

CrowdStrike Falcon-sensorn kan felsökas på Mac genom att samla in:

• Installationsloggar : Används för att felsöka installationsproblem.
• Produktloggar : Används för att felsöka aktiverings-, kommunikations- och beteendeproblem.

Klicka på lämplig loggtyp om du vill ha mer information.

Installera

CrowdStrike Falcon-sensorn använder den inbyggda install.log för att dokumentera installationsinformation.

1. Från Apple-menyn klickar du på Gå och väljer sedan Gå till mapp.
   
2. Skriv följande kommando och klicka sedan på Gå.

   /var/log

   
   
3. Kopiera Install.log till en lättillgänglig plats för vidare undersökning.
   
   Observera: Dell Technologies rekommenderar att du söker efter "CrowdStrike" för att säkerställa att informationen är relevant för CrowdStrike.

Produkt

Dell Technologies rekommenderar att du aktiverar utförlighet och sedan återskapar problemet innan du samlar in produktloggar. När problemet har lösts rekommenderar Dell Technologies att du inaktiverar utförlighet. Klicka på avsnitten nedan för mer information.

Aktivera

1. Logga in på den berörda slutpunkten.
2. Klicka på Gå i Apple-menyn och välj sedan Verktyg.
   
3. Dubbelklicka på Terminal.
   
4. Skriv följande kommando i Terminal och tryck sedan på Retur.

   sudo sysctl cs.feature=3

5. Ange lösenordet för sudo och tryck sedan på Enter.
   
6. Bekräfta cs.feature=3.
   
   Observera: När loggning har aktiverats återskapar du problemet.

Samla in

1. Logga in på den berörda slutpunkten.
2. Klicka på Gå i Apple-menyn och välj sedan Verktyg.
   
3. Dubbelklicka på Terminal.
   
4. Skriv följande kommando i Terminal och tryck sedan på Retur.

   sudo /Library/CS/falconctl diagnose

5. Ange lösenordet för sudooch tryck sedan på Retur.
   
6. Efter flera minuter, falconctl_diagnose.tgz kommer att genereras i /private/tmp.

Avaktivera

1. Logga in på den berörda slutpunkten.
2. Klicka på Gå i Apple-menyn och välj sedan Verktyg.
   
3. Dubbelklicka på Terminal.
   
4. Skriv följande kommando i Terminal och tryck sedan på Retur.

   sudo sysctl cs.feature=0

5. Ange lösenordet för sudooch tryck sedan på Retur.
   
6. Bekräfta cs.feature=0.
   

Linux

1. Logga in på den berörda slutpunkten.
2. Öppna Linux Terminal.
   
   Observera: Användargränssnittets (UI) layout kan skilja sig åt mellan Linux-distributioner.
3. Skriv följande kommando i Terminal och tryck sedan på Retur.

   su root

4. Ange lösenordet för sudooch tryck sedan på Retur.
   
5. Skriv följande kommando och tryck sedan på Retur.

   sudo mkdir /tmp/CrowdStrike

   
   Observera: Exemplet /tmp/CrowdStrike katalogen kan ändras i din miljö.
6. Skriv följande kommando och tryck sedan på Retur.

   sudo grep falcon /var/log/messages > /tmp/CrowdStrike/log_messages.txt

7. Skriv följande kommando och tryck sedan på Retur.

   sudo grep falcon /var/log/syslog > /tmp/CrowdStrike/log_syslog.txt

8. Skriv följande kommando och tryck sedan på Retur.

   sudo grep falcon /var/log/rsyslog > /tmp/CrowdStrike/log_rsyslog.txt

9. Skriv följande kommando och tryck sedan på Retur.

   sudo grep falcon /var/log/daemon > /tmp/CrowdStrike/log_daemon.txt

   
   Observera: Linux-distributioner kanske inte har alla kataloger i listan.
10. Samla in alla utdatafiler i /tmp/CrowdStrike (Steg 5) med SSH.
    
    Obs!

    • Som standard är SSH inaktiverat på Linux-distributioner.
    • När SSH har aktiverats kan programvara från tredje part (till exempel PuTTY) användas för att ansluta till Linux-slutpunkten.