CrowdStrike Falcon Sensor -lokien kerääminen

Tässä artikkelissa käsitellään CrowdStrike Falcon -anturin lokien keräämismenetelmiä.

Tuotteet, joita asia koskee:

• CrowdStrike Falcon Sensor

Käyttöjärjestelmät, joita asia koskee:

• Windows
• Mac
• Linux

On erittäin suositeltavaa kerätä lokit ennen CrowdStrike Falcon -anturin vianmääritystä tai yhteyden ottamista Dellin tukeen.

Katso tarvittavat lokitiedot valitsemalla Windows, Mac tai Linux .

Windows

CrowdStrike Falcon -anturi voidaan vianmääritykseen Windowsissa keräämällä manuaalisesti lokit:

• MSI-lokit : Käytetään asennusongelmien vianmääritykseen.
• Tuotelokit : Käytetään aktivointi-, viestintä- ja toimintaongelmien vianmääritykseen.

Katso lisätietoja valitsemalla asianmukainen lokityyppi.

MSI

1. Kirjaudu sisään päätepisteeseen.
2. Napsauta Windowsin Käynnistä-valikkoa hiiren kakkospainikkeella ja valitse Suorita.
   
3. Kirjoita Suorita-käyttöliittymään jompikumpi seuraavista:
   • Jos käyttäjä on asentanut asennuksen: Kirjoita seuraava komento ja valitse sitten OK.

     %LOCALAPPDATA%\Temp

   • Jos asennus tapahtuu automaattisella päivityksellä: Kirjoita seuraava komento ja valitse sitten OK.

     %SYSTEMROOT%\Temp

   
4. Kerää:
   • CrowdStrike Window Sensor_<TIMESTAMP>_<BIT>.log
   • CrowdStrike Window Sensor_<TIMESTAMP>.log
   
   Huomautus:

   • <TIMESTAMP> = Asennuspäivämäärä &; -aika
   • <BIT> = Edustaa joko Agent32:ta tai Agent64:ää

Tuote

Dell Technologies suosittelee, että otat monisanaisuuden käyttöön ja toistat ongelman ennen tuotelokien tallentamista . Kun ongelma on ratkaistu, Dell Technologies suosittelee poistamaan monisanaisuuden käytöstä . Katso lisätietoja valitsemalla asianmukainen prosessi.

Enable (Käytössä)

1. Kirjaudu sisään päätepisteeseen.
2. Napsauta Windowsin Käynnistä-valikkoa hiiren kakkospainikkeella ja valitse Suorita.
3. Kirjoita Suorita käyttöliittymä -käyttöliittymään seuraava komento ja suorita sitten rekisterieditori järjestelmänvalvojana painamalla CTRL+VAIHTO+ENTER.

   regedit

   
4. Jos Käyttäjätilien valvonta on käytössä, valitse Kyllä. Siirry muutoin vaiheeseen 5.
   
5. Siirry kohtaan [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default].
   
6. Kaksoisnapsauta AFLAGS.
   
7. Paina Delete-näppäintä, kirjoita 03 ja valitse sitten OK.
   
8. Valitse Tiedosto ja Sulje.
   
   Huomautus: Kun kirjaaminen on käytössä, toista ongelma.

Capture

1. Kirjaudu sisään päätepisteeseen.
2. Napsauta Windowsin Käynnistä-valikkoa hiiren kakkospainikkeella ja valitse Suorita.
    
3. Kirjoita Suorita käyttöliittymä (UI) -komentoon seuraava komento ja valitse sitten OK.

   eventvwr

   
   
4. Laajenna Tapahtumienvalvonnassa Windows-lokit ja valitse Järjestelmä.
   
5. Napsauta järjestelmälokia hiiren kakkospainikkeella ja valitse Suodata nykyinen loki.
   
6. Valitse lähteeksi CSAgent.
   
7. Napsauta järjestelmälokia hiiren kakkospainikkeella ja valitse Tallenna suodatettu lokitiedosto nimellä.
   
8. Muuta tiedostonimeksi CrowdStrike_<WORKSTATIONNAME>.evtx ja valitse sitten Save.
   
   Huomautus: Dell Technologies suosittelee, että määritetään <WORKSTATIONNAME> Jos ongelma ilmenee useissa päätepisteissä.

Disable (Poista käytöstä)

1. Kirjaudu sisään päätepisteeseen.
2. Napsauta Windowsin Käynnistä-valikkoa hiiren kakkospainikkeella ja valitse Suorita.
   
3. Kirjoita Suorita käyttöliittymä -käyttöliittymään seuraava komento ja suorita sitten rekisterieditori järjestelmänvalvojana painamalla CTRL+VAIHTO+ENTER.

    regedit

   
4. Jos Käyttäjätilien valvonta on käytössä, valitse Kyllä. Siirry muutoin vaiheeseen 5.
   
5. Siirry kohtaan [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default].
   
6. Paina Delete-näppäintä, kirjoita 0 ja valitse sitten OK.
   
7. Valitse Tiedosto ja Sulje.
   

Mac

CrowdStrike Falcon -anturi voidaan vianmääritykseen Macissa keräämällä:

• Asennuslokit : Käytetään asennusongelmien vianmääritykseen.
• Tuotelokit : Käytetään aktivointi-, viestintä- ja toimintaongelmien vianmääritykseen.

Katso lisätietoja valitsemalla asianmukainen lokityyppi.

Asenna

CrowdStrike Falcon Sensor tallentaa asennustiedot alkuperäiseen install.log-tiedostoon.

1. Valitse Omenavalikosta Siirry ja valitse sitten Siirry kansioon.
   
2. Kirjoita seuraava komento ja valitse sitten Go.

   /var/log

   
   
3. Kopioi Install.log helposti saatavilla olevaan paikkaan lisätutkimuksia varten.
   
   Huomautus: Dell Technologies suosittelee hakua "CrowdStrike", jotta tiedot ovat varmasti olennaisia CrowdStriken kannalta.

Tuote

Dell Technologies suosittelee, että otat monisanaisuuden käyttöön ja toistat ongelman ennen tuotelokien tallentamista . Kun ongelma on ratkaistu, Dell Technologies suosittelee poistamaan monisanaisuuden käytöstä . Katso lisätietoja valitsemalla asianmukainen prosessi.

Enable (Käytössä)

1. Kirjaudu sisään päätepisteeseen.
2. Valitse omenavalikosta Siirry ja Lisäohjelmat.
   
3. Kaksoisnapsauta kohtaa Pääte.
   
4. Kirjoita Päätteeseen seuraava komento ja paina sitten Enter-näppäintä.

   sudo sysctl cs.feature=3

5. Kirjoita salasana kohteelle sudo ja paina sitten Enter-näppäintä.
   
6. Vahvista cs.feature=3.
   
   Huomautus: Kun kirjaaminen on käytössä, toista ongelma.

Capture

1. Kirjaudu sisään päätepisteeseen.
2. Valitse omenavalikosta Siirry ja Lisäohjelmat.
   
3. Kaksoisnapsauta kohtaa Pääte.
   
4. Kirjoita Päätteeseen seuraava komento ja paina sitten Enter-näppäintä.

   sudo /Library/CS/falconctl diagnose

5. Kirjoita salasana kohteelle sudoja paina sitten Enter-näppäintä.
   
6. Useiden minuuttien kuluttua falconctl_diagnose.tgz luodaan /private/tmp.

Disable (Poista käytöstä)

1. Kirjaudu sisään päätepisteeseen.
2. Valitse omenavalikosta Siirry ja Lisäohjelmat.
   
3. Kaksoisnapsauta kohtaa Pääte.
   
4. Kirjoita Päätteeseen seuraava komento ja paina sitten Enter-näppäintä.

   sudo sysctl cs.feature=0

5. Kirjoita salasana kohteelle sudoja paina sitten Enter-näppäintä.
   
6. Vahvista cs.feature=0.
   

Linux

1. Kirjaudu sisään päätepisteeseen.
2. Avaa Linuxin pääte.
   
   Huomautus: Käyttöliittymän (UI) asettelu voi vaihdella Linux-jakeluissa.
3. Kirjoita Päätteeseen seuraava komento ja paina sitten Enter-näppäintä.

   su root

4. Kirjoita salasana kohteelle sudoja paina sitten Enter-näppäintä.
   
5. Kirjoita seuraava komento ja paina sitten Enter-näppäintä.

   sudo mkdir /tmp/CrowdStrike

   
   Huomautus: Esimerkki /tmp/CrowdStrike Hakemistoa voidaan muokata ympäristössäsi.
6. Kirjoita seuraava komento ja paina sitten Enter-näppäintä.

   sudo grep falcon /var/log/messages > /tmp/CrowdStrike/log_messages.txt

7. Kirjoita seuraava komento ja paina sitten Enter-näppäintä.

   sudo grep falcon /var/log/syslog > /tmp/CrowdStrike/log_syslog.txt

8. Kirjoita seuraava komento ja paina sitten Enter-näppäintä.

   sudo grep falcon /var/log/rsyslog > /tmp/CrowdStrike/log_rsyslog.txt

9. Kirjoita seuraava komento ja paina sitten Enter-näppäintä.

   sudo grep falcon /var/log/daemon > /tmp/CrowdStrike/log_daemon.txt

   
   Huomautus: Linux-jakeluissa ei välttämättä ole kaikkia luetteloituja hakemistoja.
10. Kaappaa kaikki tulostetiedostot /tmp/CrowdStrike (Vaihe 5) SSH: n avulla.
    
    Huomautus:

    • SSH on oletusarvoisesti poissa käytöstä Linux-jakeluissa.
    • Kun SSH on otettu käyttöön, yhteys Linux-päätepisteeseen voidaan muodostaa kolmannen osapuolen ohjelmistolla (esimerkiksi PuTTY).