如何收集 CrowdStrike Falcon Sensor 記錄

使用者可以手動收集以下記錄，在 Windows 上疑難解答 CrowdStrike Falcon 感測器：

• MSI 記錄：用於故障診斷安裝問題。
• 產品 記錄：用於故障診斷啟用、通訊和行為問題。

如需詳細資訊，請按一下適當的記錄類型。

MSI

1. 登入 受影響的端點。
2. 以滑鼠右鍵按一下 Windows「開始」功能表，然後選取執行。

3. 在執行使用者介面 (UI) 中，輸入以下任一項：
   • 若由使用者安裝： %LOCALAPPDATA%\Temp 然後按一下 「OK」。
   • 如果是透過自動更新安裝： %SYSTEMROOT%\Temp 然後按一下 「OK」。

4. 收集：
   • CrowdStrike Window Sensor_[TIMESTAMP]_[BIT].log
   • CrowdStrike Window Sensor_[TIMESTAMP].log

產品

建議 您啟用 詳細數據，然後在 擷取 產品記錄之前重現問題。問題解決后，建議 您停 用詳細資訊。如需詳細資訊，請按一下適當的程序。

啟用

1. 登入 受影響的端點。
2. 以滑鼠右鍵按一下 Windows「開始」功能表，然後選取執行。

3. 在執行使用者介面 （UI） 中鍵入 regedit 然後按下 CTRL+SHIFT+ENTER，以系統管理員身分執行登錄編輯器。

4. 如果已啟用使用者帳戶控制 (UAC)，請按一下是。否則，請前往步驟 5。

5. 移至（G） [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default]。

6. 連按兩下 AFLAGS。

7. 按 下 Delete 鍵，鍵入 03然後按一下 「OK」。

8. 按一下檔案，然後選取退出。

擷取

1. 登入 受影響的端點。
2. 以滑鼠右鍵按一下 Windows「開始」功能表，然後選取執行。

3. 在執行使用者介面 （UI） 中鍵入 eventvwr 然後按一下 「OK」。

4. 在「事件檢視器」中，展開 Windows 記錄，然後按一下系統。

5. 以滑鼠右鍵按一下系統記錄，然後選取篩選目前的記錄。

6. 將 來源 設定為 CSAgent。

7. 以滑鼠右鍵按一下系統記錄，然後選取將篩選的記錄檔另存新檔。

8. 將檔名變更為 CrowdStrike_[WORKSTATIONNAME].evtx 然後按下[ Save] （儲存）。

停用

1. 登入 受影響的端點。
2. 以滑鼠右鍵按一下 Windows「開始」功能表，然後選取執行。

3. 在執行使用者介面 （UI） 中鍵入 regedit 然後按下 CTRL+SHIFT+ENTER，以系統管理員身分執行登錄編輯器。

4. 如果已啟用使用者帳戶控制 (UAC)，請按一下是。否則請前往步驟 5。

5. 移至（G） [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default]。

6. 按 下 Delete 鍵，鍵入 0然後按一下 「OK」。

7. 按一下檔案，然後選取退出。

使用者可以收集以下數據，對 Mac 上的 CrowdStrike Falcon 感測器進行故障診斷：

• 安裝 記錄：用於故障診斷安裝問題。
• 產品 記錄：用於故障診斷啟用、通訊和行為問題。

如需詳細資訊，請按一下適當的紀錄類型。

安裝

CrowdStrike Falcon Sensor 使用原生 install.log 記錄安裝資訊。

1. 從 Apple 功能表中，按一下「前往」，然後選取前往資料夾。

2. 類型 /var/log 然後按兩 下「Go」。

3. 複製 Install.log 前往立即可用的位置以利進一步調查。

產品

建議 您啟用 詳細數據，然後在 擷取 產品記錄之前重現問題。問題解決后，建議 您停 用詳細資訊。如需詳細資訊，請按一下適當的程序。

啟用

1. 登入受影響的端點。
2. 在 Apple 功能表中，按一下執行，然後選取公用程式。

3. 按兩下終端機。

4. 在終端機中，輸入 sudo sysctl cs.feature=3 然後按下 Enter 鍵。
5. 填入密碼 sudo然後按下 Enter 鍵。

6. 確認 cs.feature=3。

擷取

1. 登入 受影響的端點。
2. 在 Apple 功能表中，按一下執行，然後選取公用程式。

3. 按兩下終端機。

4. 在終端機中，輸入 sudo /Library/CS/falconctl diagnose 然後按下 Enter 鍵。
5. 填入密碼 sudo然後按下 Enter 鍵。

6. 數分鐘后， falconctl_diagnose.tgz 將產生於 /private/tmp。

停用

1. 登入受影響的端點。
2. 在 Apple 功能表中，按一下執行，然後選取公用程式。

3. 按兩下終端機。

4. 在終端機中，輸入 sudo sysctl cs.feature=0 然後按下 Enter 鍵。
5. 填入密碼 sudo然後按下 Enter 鍵。

6. 確認 cs.feature=0。

1. 登入受影響的端點。
2. 開啟 Linux 終端機。

3. 在終端機中，輸入 su root 然後按下 Enter 鍵。
4. 填入密碼 sudo然後按下 Enter 鍵。

5. 類型 sudo mkdir /tmp/CrowdStrike 然後按下 Enter 鍵。

6. 類型 sudo grep falcon /var/log/messages > /tmp/CrowdStrike/log_messages.txt 然後按下 Enter 鍵。
7. 類型 sudo grep falcon /var/log/syslog > /tmp/CrowdStrike/log_syslog.txt 然後按下 Enter 鍵。
8. 類型 sudo grep falcon /var/log/rsyslog > /tmp/CrowdStrike/log_rsyslog.txt 然後按下 Enter 鍵。
9. 類型 sudo grep falcon /var/log/daemon > /tmp/CrowdStrike/log_daemon.txt 然後按下 Enter 鍵。

10. 擷取內的所有輸出檔案 /tmp/CrowdStrike （步驟 5） 使用 SSH。