CrowdStrike Falcon Sensorのログの収集方法

ユーザーは、次のログを手動で収集することで、Windows上のCrowdStrike Falcon Sensorのトラブルシューティングを行うことができます。

• MSI ログ: インストールの問題をトラブルシューティングするために使用します。
• 製品 ログ: アクティブ化、通信、動作の問題をトラブルシューティングするために使用します。

詳細については、該当するログ タイプをクリックしてください。

MSI

1. 影響を受けるエンドポイントにログインします。
2. Windowsの「スタート」メニューを右クリックして、「ファイル名を指定して実行」を選択します。

3. ［ファイル名を指定して実行］ユーザー インターフェイス（UI）で、次のいずれかを入力します。
   • ユーザーがインストールした場合： %LOCALAPPDATA%\Temp をクリックし 、「OK」をクリックします。
   • 自動アップデートによってインストールされている場合： %SYSTEMROOT%\Temp をクリックし 、「OK」をクリックします。

4. 収集:
   • CrowdStrike Window Sensor_[TIMESTAMP]_[BIT].log
   • CrowdStrike Window Sensor_[TIMESTAMP].log

製品

製品ログを収集する前に、冗長性を有効にしてから問題を再現することをお勧めします。問題が解決したら、冗長性 を無効にする ことをお勧めします。詳細については、適切なプロセスをクリックしてください。

有効

1. 影響を受けるエンドポイントにログインします。
2. Windowsの「スタート」メニューを右クリックして、「ファイル名を指定して実行」を選択します。

3. [ファイル名を指定して実行]ユーザー インターフェイス(UI)で、次を入力します。 regedit 次に、CTRL+SHIFT+ENTERを押して、レジストリー エディターを管理者として実行します。

4. ユーザー アカウント制御（UAC）が有効になっている場合は、［Yes］をクリックします。それ以外の場合は、手順5に進みます。

5. 行きます [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default]に戻ります。

6. ダブルクリック AFLAGSに戻ります。

7. Deleteを押して、 03をクリックし 、[OK] をクリックします。

8. ［ファイル］メニューの［終了］をクリックします。

キャプチャ

1. 影響を受けるエンドポイントにログインします。
2. Windowsの「スタート」メニューを右クリックして、「ファイル名を指定して実行」を選択します。

3. [ファイル名を指定して実行]ユーザー インターフェイス(UI)で、次を入力します。 eventvwr をクリックし 、「OK」をクリックします。

4. イベント ビューアーで［Windows ログ］を展開し、［システム］をクリックします。

5. ［システム ログ］を右クリックし、［現在のログをフィルター］を選択します。

6. [ソース] を CSAgentに戻ります。

7. ［システム ログ］を右クリックして［フィルターされたログ ファイルの名前を付けて保存］を選択します。

8. ファイル名を CrowdStrike_[WORKSTATIONNAME].evtx をクリックし 、「保存」をクリックします。

Disable

1. 影響を受けるエンドポイントにログインします。
2. Windowsの「スタート」メニューを右クリックして、「ファイル名を指定して実行」を選択します。

3. [ファイル名を指定して実行]ユーザー インターフェイス(UI)で、次を入力します。 regedit 次に、CTRL+SHIFT+ENTERを押して、レジストリー エディターを管理者として実行します。

4. ユーザー アカウント制御（UAC）が有効になっている場合は、［Yes］をクリックします。それ以外の場合は、手順5に進みます。

5. 次のリンクにアクセスする： [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default]に戻ります。

6. Deleteを押して、 0をクリックし 、[OK] をクリックします。

7. ［ファイル］メニューの［終了］をクリックします。

ユーザーは、次の情報を収集することで、Mac上のCrowdStrike Falcon Sensorをトラブルシューティングできます。

• インストール ログ: インストールの問題をトラブルシューティングするために使用します。
• 製品 ログ: アクティブ化、通信、動作の問題をトラブルシューティングするために使用します。

詳細については、該当するログ タイプをクリックしてください。

インストール

CrowdStrike Falcon Sensorは、ネイティブのinstall.logを使用してインストール情報を文書化します。

1. アップル メニューの［移動］をクリックし、次に［フォルダへー移動］を選択します。

2. コマンド /var/log をクリックし、「 実行」をクリックします。

3. コピー Install.log さらなる調査のためにすぐに利用できる場所に。

製品

製品ログを収集する前に、冗長性を有効にしてから問題を再現することをお勧めします。問題が解決したら、冗長性 を無効にする ことをお勧めします。詳細については、適切なプロセスをクリックしてください。

有効

1. 対象のエンドポイントにログインします。
2. アップル メニューの［移動］をクリックし、［ユーティリティ］を選択します。

3. ［ターミナル］をダブルクリックします。

4. ターミナルで、「sudo shasum -a 256 [FILENAME]」と入力して、 sudo sysctl cs.feature=3 「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。
5. 次の パスワード を入力します: sudoをクリックし、Enter キーを押します。

6. ［Confirm］ cs.feature=3に戻ります。

キャプチャ

1. 影響を受けるエンドポイントにログインします。
2. アップル メニューの［移動］をクリックし、［ユーティリティ］を選択します。

3. ［ターミナル］をダブルクリックします。

4. ターミナルで、「sudo shasum -a 256 [FILENAME]」と入力して、 sudo /Library/CS/falconctl diagnose 「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。
5. 次のパスワードを入力します: sudoをクリックし、Enter キーを押します。

6. 数分後、 falconctl_diagnose.tgz で生成されます /private/tmpに戻ります。

Disable

1. 対象のエンドポイントにログインします。
2. アップル メニューの［移動］をクリックし、［ユーティリティ］を選択します。

3. ［ターミナル］をダブルクリックします。

4. ターミナルで、「sudo shasum -a 256 [FILENAME]」と入力して、 sudo sysctl cs.feature=0 「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。
5. 次のパスワードを入力します: sudoをクリックし、Enter キーを押します。

6. ［Confirm］ cs.feature=0に戻ります。

1. 対象のエンドポイントにログインします。
2. Linuxのターミナルを開きます。

3. ターミナルで、「sudo shasum -a 256 [FILENAME]」と入力して、 su root 「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。
4. 次の パスワード を入力します: sudoをクリックし、Enter キーを押します。

5. コマンド sudo mkdir /tmp/CrowdStrike 「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。

6. コマンド sudo grep falcon /var/log/messages > /tmp/CrowdStrike/log_messages.txt 「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。
7. コマンド sudo grep falcon /var/log/syslog > /tmp/CrowdStrike/log_syslog.txt 「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。
8. コマンド sudo grep falcon /var/log/rsyslog > /tmp/CrowdStrike/log_rsyslog.txt 「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。
9. コマンド sudo grep falcon /var/log/daemon > /tmp/CrowdStrike/log_daemon.txt 「CertUtil -hashfile [FILENAME] SHA256」と入力して、Enterを押します。

10. 内のすべての出力ファイルをキャプチャします /tmp/CrowdStrike (ステップ5)をSSHで使用します。