Anleitung zum Erfassen der Protokolle von CrowdStrike Falcon Sensor

Ein Nutzer kann das Troubleshooting für CrowdStrike Falcon Sensor unter Windows durchführen, indem er für Folgendes manuell Protokolle sammelt:

• MSI-Protokolle : Werden für das Troubleshooting von Installationsproblemen verwendet.
• Produktprotokolle : Werden für das Troubleshooting bei Problemen mit Aktivierung, Kommunikation und Verhalten verwendet.

Klicken Sie auf den entsprechenden Protokollierungstyp, um weitere Informationen zu erhalten.

MSI

1. Melden Sie sich beim betroffenen Endpunkt an .
2. Klicken Sie mit der rechten Maustaste auf das Startmenü von Windows und wählen Sie Ausführen aus.

3. Geben Sie in der Benutzeroberfläche (UI) eine der beiden Optionen ein:
   • Wenn vom Nutzer installiert: %LOCALAPPDATA%\Temp und klicken Sie dann auf OK.
   • Wenn installiert durch automatisches Update: %SYSTEMROOT%\Temp und klicken Sie dann auf OK.

4. Sammeln:
   • CrowdStrike Window Sensor_[TIMESTAMP]_[BIT].log
   • CrowdStrike Window Sensor_[TIMESTAMP].log

Produkt

Es wird empfohlen, die Ausführlichkeit zu aktivieren und das Problem dann vor der Erfassung von Produktprotokollen zu reproduzieren. Sobald das Problem behoben ist, wird empfohlen, Ausführlichkeit zu deaktivieren . Klicken Sie auf den entsprechenden Prozess für weitere Informationen.

Aktivieren

1. Melden Sie sich beim betroffenen Endpunkt an .
2. Klicken Sie mit der rechten Maustaste auf das Startmenü von Windows und wählen Sie Ausführen aus.

3. Geben Sie in der Benutzeroberfläche Ausführen (UI) Folgendes ein regedit und drücken Sie dann STRG+UMSCHALT+EINGABETASTE, um den Registrierungs-Editor als Administrator auszuführen.

4. Wenn die Nutzerkontensteuerung aktiviert ist, klicken Sie auf Ja. Andernfalls fahren Sie mit Schritt 5 fort.

5. Gehe zu [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default].

6. Doppelklicken Sie AFLAGS.

7. Drücken Sie die Entf-Taste und geben Sie Folgendes ein: 03, und klicken Sie dann auf OK.

8. Klicken Sie auf Datei und wählen Sie Beenden.

Erfassung

1. Melden Sie sich beim betroffenen Endpunkt an .
2. Klicken Sie mit der rechten Maustaste auf das Startmenü von Windows und wählen Sie Ausführen aus.

3. Geben Sie in der Benutzeroberfläche Ausführen (UI) Folgendes ein eventvwr und klicken Sie dann auf OK.

4. Erweitern Sie in der Ereignisanzeige Windows-Protokolle und klicken Sie dann auf System.

5. Klicken Sie mit der rechten Maustaste auf das Systemprotokoll und wählen Sie dann Aktuelles Protokoll filtern aus.

6. Legen Sie die Quelle fest auf CSAgent.

7. Klicken Sie mit der rechten Maustaste auf das Systemprotokoll und wählen Sie dann Gefilterte Protokolldatei speichern unter aus.

8. Ändern Sie den Dateinamen in CrowdStrike_[WORKSTATIONNAME].evtx und klicken Sie dann auf Speichern.

Deaktiveren

1. Melden Sie sich beim betroffenen Endpunkt an .
2. Klicken Sie mit der rechten Maustaste auf das Startmenü von Windows und wählen Sie Ausführen aus.

3. Geben Sie in der Benutzeroberfläche Ausführen (UI) Folgendes ein regedit und drücken Sie dann STRG+UMSCHALT+EINGABETASTE, um den Registrierungs-Editor als Administrator auszuführen.

4. Wenn die Nutzerkontensteuerung aktiviert ist, klicken Sie auf Ja. Andernfalls fahren Sie mit Schritt 5 fort.

5. Gehen Sie zu [HKEY_LOCAL_MACHINE\SYSTEM\CrowdStrike\{9b03c1d9-3138-44ed-9fae-d9f4c034b88d}\{16e0423f-7058-48c9-a204-725362b67639}\Default].

6. Drücken Sie die Entf-Taste und geben Sie Folgendes ein: 0, und klicken Sie dann auf OK.

7. Klicken Sie auf Datei und wählen Sie Beenden.

Ein Nutzer kann für CrowdStrike Falcon Sensor auf dem Mac eine Fehlerbehebung durchführen, indem er Folgendes erfasst:

• Protokolle installieren : Werden für das Troubleshooting von Installationsproblemen verwendet.
• Produktprotokolle : Werden für das Troubleshooting bei Problemen mit Aktivierung, Kommunikation und Verhalten verwendet.

Klicken Sie auf den entsprechenden Protokollierungstyp, um weitere Informationen zu erhalten.

Installation

CrowdStrike Falcon Sensor verwendet "native install.log", um Installationsinformationen zu dokumentieren.

1. Klicken Sie im Apple-Menü auf "Start" und Gehe zu Ordner.

2. Geben Sie /var/log und klicken Sie dann auf Los.

3. Kopieren Install.log an einen leicht zugänglichen Ort für weitere Untersuchungen.

Produkt

Es wird empfohlen, die Ausführlichkeit zu aktivieren und das Problem dann vor der Erfassung von Produktprotokollen zu reproduzieren. Sobald das Problem behoben ist, wird empfohlen, Ausführlichkeit zu deaktivieren . Klicken Sie auf den entsprechenden Prozess für weitere Informationen.

Aktivieren

1. Melden Sie sich am betroffenen Endpunkt an.
2. Klicken Sie im Apple-Menü auf Start und wählen Sie Dienstprogramme.

3. Doppelklicken Sie auf Terminal.

4. Geben Sie im Terminal sudo sysctl cs.feature=3 ein, und drücken Sie anschließend die Eingabetaste.
5. Geben Sie das Kennwort ein für sudo, und drücken Sie dann die Eingabetaste.

6. Bestätigen cs.feature=3.

Erfassung

1. Melden Sie sich beim betroffenen Endpunkt an .
2. Klicken Sie im Apple-Menü auf Start und wählen Sie Dienstprogramme.

3. Doppelklicken Sie auf Terminal.

4. Geben Sie im Terminal sudo /Library/CS/falconctl diagnose ein, und drücken Sie anschließend die Eingabetaste.
5. Geben Sie das Kennwort ein für sudo, und drücken Sie dann die Eingabetaste.

6. Nach einigen Minuten falconctl_diagnose.tgz wird generiert in /private/tmp.

Deaktiveren

1. Melden Sie sich am betroffenen Endpunkt an.
2. Klicken Sie im Apple-Menü auf Start und wählen Sie Dienstprogramme.

3. Doppelklicken Sie auf Terminal.

4. Geben Sie im Terminal sudo sysctl cs.feature=0 ein, und drücken Sie anschließend die Eingabetaste.
5. Geben Sie das Kennwort ein für sudo, und drücken Sie dann die Eingabetaste.

6. Bestätigen cs.feature=0.

1. Melden Sie sich am betroffenen Endpunkt an.
2. Öffnen Sie das Linux Terminal.

3. Geben Sie im Terminal su root ein, und drücken Sie anschließend die Eingabetaste.
4. Geben Sie das Kennwort ein für sudo, und drücken Sie dann die Eingabetaste.

5. Geben Sie sudo mkdir /tmp/CrowdStrike ein, und drücken Sie anschließend die Eingabetaste.

6. Geben Sie sudo grep falcon /var/log/messages > /tmp/CrowdStrike/log_messages.txt ein, und drücken Sie anschließend die Eingabetaste.
7. Geben Sie sudo grep falcon /var/log/syslog > /tmp/CrowdStrike/log_syslog.txt ein, und drücken Sie anschließend die Eingabetaste.
8. Geben Sie sudo grep falcon /var/log/rsyslog > /tmp/CrowdStrike/log_rsyslog.txt ein, und drücken Sie anschließend die Eingabetaste.
9. Geben Sie sudo grep falcon /var/log/daemon > /tmp/CrowdStrike/log_daemon.txt ein, und drücken Sie anschließend die Eingabetaste.

10. Erfassen Sie alle Ausgabedateien in /tmp/CrowdStrike (Schritt 5) über SSH.