Sådan indsamles CrowdStrike Falcon Sensor-logfiler

En bruger kan fejlfinde CrowdStrike Falcon Sensor på Windows ved manuelt at indsamle logfiler for:

• MSI-logfiler : Bruges til fejlfinding af installationsproblemer.
• Produktlogfiler : Bruges til fejlfinding af aktiverings-, kommunikations- og adfærdsproblemer.

Klik på den pågældende logføringstype for at få flere oplysninger.

MSI

1. Log på det berørte slutpunkt.
2. Højreklik på startmenuen i Windows, og vælg herefter Kør.

3. Skriv i brugergrænsefladen Kør enten:
   • Hvis installeret af brugeren: %LOCALAPPDATA%\Temp og klik derefter på OK.
   • Hvis installeret af automatisk opdatering: %SYSTEMROOT%\Temp og klik derefter på OK.

4. Indsaml:
   • CrowdStrike Window Sensor_[TIMESTAMP]_[BIT].log
   • CrowdStrike Window Sensor_[TIMESTAMP].log

Produkt

Det anbefales at aktivere omfang og derefter genskabe problemet før registrering af produktlogfiler. Når problemet er løst, anbefales det at deaktivere omfang. Klik på den relevante proces for at få flere oplysninger.

Aktiver

1. Log på det berørte slutpunkt.
2. Højreklik på startmenuen i Windows, og vælg herefter Kør.

3. I brugergrænsefladen Kør skal du skrive regedit og derefter trykke på CTRL+SKIFT+ENTER for at køre registreringseditoren som administrator.

4. Hvis Kontrol af brugerkonto (UAC) er aktiveret, skal du klikke på Ja. Ellers skal du gå til trin 5.

5. Gå til [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default].

6. Dobbeltklik AFLAGS.

7. Tryk på Delete, skriv 03, og klik derefter på OK.

8. Klik på Fil, og vælg derefter Afslut.

Registrering

1. Log på det berørte slutpunkt.
2. Højreklik på startmenuen i Windows, og vælg herefter Kør.

3. I brugergrænsefladen Kør skal du skrive eventvwr og klik derefter på OK.

4. Udvid Windows-logfiler i Logbog , og klik derefter på System.

5. Højreklik på systemloggen, og vælg derefter Filtrer den aktuelle logfil.

6. Indstil kilden til CSAgent.

7. Højreklik på systemloggen, og vælg derefter Gem filtreret logfil som.

8. Skift filnavn til CrowdStrike_[WORKSTATIONNAME].evtx og derefter klikke på Gem.

Deaktiver

1. Log på det berørte slutpunkt.
2. Højreklik på startmenuen i Windows, og vælg herefter Kør.

3. I brugergrænsefladen Kør skal du skrive regedit og derefter trykke på CTRL+SKIFT+ENTER for at køre registreringseditoren som administrator.

4. Hvis Kontrol af brugerkonto (UAC) er aktiveret, skal du klikke på Ja. Ellers skal du gå til trin 5.

5. Gå til [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default].

6. Tryk på Delete, skriv 0, og klik derefter på OK.

7. Klik på Fil, og vælg derefter Afslut.

En bruger kan fejlfinde CrowdStrike Falcon Sensor på Mac ved at indsamle:

• Installer logfiler: Bruges til fejlfinding af installationsproblemer.
• Produktlogfiler : Bruges til fejlfinding af aktiverings-, kommunikations- og adfærdsproblemer.

Klik på den relevante logtype for at få flere oplysninger.

Installer

CrowdStrike Falcon Sensor anvender den oprindelige install.log til at dokumentere installationsoplysninger.

1. I Apple-menuen skal du klikke på Start og derefter vælge Gå til mappe.

2. Skriv /var/log , og klik derefter på Gå.

3. Kopier Install.log til et let tilgængeligt sted med henblik på yderligere undersøgelser.

Produkt

Det anbefales at aktivere omfang og derefter genskabe problemet før registrering af produktlogfiler. Når problemet er løst, anbefales det at deaktivere omfang. Klik på den relevante proces for at få flere oplysninger.

Aktiver

1. Log på det berørte slutpunkt.
2. I Apple-menuen skal du klikke på Start og derefter vælge Hjælpeprogrammer.

3. Dobbeltklik på Terminal.

4. Skriv i Terminal sudo sysctl cs.feature=3 og derefter trykke på Enter.
5. Udfyld adgangskoden til sudo, og tryk derefter på Enter.

6. Bekræfte cs.feature=3.

Registrering

1. Log på det berørte slutpunkt.
2. I Apple-menuen skal du klikke på Start og derefter vælge Hjælpeprogrammer.

3. Dobbeltklik på Terminal.

4. Skriv i Terminal sudo /Library/CS/falconctl diagnose og derefter trykke på Enter.
5. Udfyld adgangskoden til sudo, og tryk derefter på Enter.

6. Efter flere minutter, falconctl_diagnose.tgz vil blive genereret i /private/tmp.

Deaktiver

1. Log på det berørte slutpunkt.
2. I Apple-menuen skal du klikke på Start og derefter vælge Hjælpeprogrammer.

3. Dobbeltklik på Terminal.

4. Skriv i Terminal sudo sysctl cs.feature=0 og derefter trykke på Enter.
5. Udfyld adgangskoden til sudo, og tryk derefter på Enter.

6. Bekræfte cs.feature=0.

1. Log på det berørte slutpunkt.
2. Åbn Linux Terminal.

3. Skriv i Terminal su root og derefter trykke på Enter.
4. Udfyld adgangskoden til sudo, og tryk derefter på Enter.

5. Skriv sudo mkdir /tmp/CrowdStrike og derefter trykke på Enter.

6. Skriv sudo grep falcon /var/log/messages > /tmp/CrowdStrike/log_messages.txt og derefter trykke på Enter.
7. Skriv sudo grep falcon /var/log/syslog > /tmp/CrowdStrike/log_syslog.txt og derefter trykke på Enter.
8. Skriv sudo grep falcon /var/log/rsyslog > /tmp/CrowdStrike/log_rsyslog.txt og derefter trykke på Enter.
9. Skriv sudo grep falcon /var/log/daemon > /tmp/CrowdStrike/log_daemon.txt og derefter trykke på Enter.

10. Optag alle outputfiler indeni /tmp/CrowdStrike (Trin 5) ved hjælp af SSH.