Popular topics: Sobre les pauses Com configurar el temps lliure en funció del temps treballat

Support Home / Gestió de l'IT / Factorial IT / Gestió de dispositius
Back

CrowdStrike Falcon

Descobreix com CrowdStrike Falcon millora la ciberseguretat mitjançant la detecció avançada de amenaces, el monitoratge en temps real i estratègies de defensa proactives.

Factorial IT pot instal·lar el sensor CrowdStrike Falcon en dispositius macOS, Windows i Ubuntu. Aquesta guia cobreix el desplegament i com confirmar que cada sensor està realment activat al teu lloguer de CrowdStrike.

 

Funcionalitat

Visió general

macOS Windows Linux iOS / iPadOS Android
✅ ✅ ✅ (Ubuntu i altres distribucions basades en Debian, .deb package)    

El CrowdStrike Falcon no es desplega automàticament. Descarregues els instal·ladors des de la consola de CrowdStrike, els puges i afegeixes un script amb el teu CustomerID (CID) a cada paquet. Si omets el CID, el sensor s'instal·la igual, però mai s'activa al teu lloguer de CrowdStrike.

 

Com utilitzar

1. Descarrega els instal·ladors i copia el teu CID

  1. Obre la consola d'administració de CrowdStrike i ves a Configuració i gestió d'hostes > Desplegar > Descarregues de sensors.
  2. Descarrega els instal·ladors que necessites: .pkg per a macOS, .exe per a Windows i .deb per a Ubuntu (tria el que coincideixi amb l'arquitectura de CPU dels teus dispositius).
  3. Al panell de Com instal·lar, copia el teu CID. Ho necessitaràs a l'step 4.

2. Pujar el perfil de configuració (només macOS)

Ves a MDM > Controls, obre el teu control de macOS i puja el mobileconfig següent com a Fitxer personalitzat.

Fes-ho abans de pujar l'instal·ladors. macOS no executarà l'extensió del sistema Falcon fins que sigui aprovada, i aquest perfil l'aprova per avançat. El perfil també estableix l'Accés complet al disc, les notificacions, l'element de login gestionat i el filtre de xarxa. Si el sensor arriba a un dispositiu abans que el perfil, la seva extensió del sistema espera l'aprovació fins que arribi el perfil.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
	<key>PayloadContent</key>
	<array>
		<dict>
			<key>AllowedSystemExtensions</key>
			<dict>
				<key>X9E956P446</key>
				<array>
					<string>com.crowdstrike.falcon.Agent</string>
				</array>
			</dict>
			<key>NonRemovableFromUISystemExtensions</key>
			<dict>
				<key>X9E956P446</key>
				<array>
					<string>com.crowdstrike.falcon.Agent</string>
				</array>
			</dict>
			<key>PayloadDescription</key>
			<string>Permet l'extensió del sistema CrowdStrike Falcon sense l'aprovació de l'usuari.</string>
			<key>PayloadDisplayName</key>
			<string>Extensions del sistema - Crowdstrike</string>
			<key>PayloadIdentifier</key>
			<string>com.fleet.systemextensions</string>
			<key>PayloadOrganization</key>
			<string>CrowdStrike Inc.</string>
			<key>PayloadType</key>
			<string>com.apple.system-extension-policy</string>
			<key>PayloadUUID</key>
			<string>6527669C-0C1F-4B84-998F-33902DBFEB86</string>
			<key>PayloadVersion</key>
			<integer>1</integer>
		</dict>
	<dict>
			<key>PayloadDescription</key>
			<string>Atorga Accés complet al disc als processos de CrowdStrike Falcon.</string>
			<key>PayloadDisplayName</key>
			<string>Accés complet al disc - Crowdstrike</string>
			<key>PayloadIdentifier</key>
			<string>com.fleet.privacy</string>
			<key>PayloadOrganization</key>
			<string>CrowdStrike Inc.</string>
			<key>PayloadType</key>
			<string>com.apple.TCC.configuration-profile-policy</string>
			<key>PayloadUUID</key>
			<string>C7B25543-8A46-4782-B5F1-FABF2CC07934</string>
			<key>PayloadVersion</key>
			<integer>1</integer>
			<key>Services</key>
			<dict>
				<key>SystemPolicyAllFiles</key>
				<array>
					<dict>
						<key>Allowed</key>
						<true/>
						<key>CodeRequirement</key>
						<string>identifier "com.crowdstrike.falcon.Agent" and anchor apple generic and certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = X9E956P446</string>
				<key>Identifier</key>
						<string>com.crowdstrike.falcon.Agent</string>
						<key>IdentifierType</key>
						<string>bundleID</string>
						<key>StaticCode</key>
						<false/>
					</dict>
	<dict>
				<key>Allowed</key>
						<true/>
						<key>CodeRequirement</key>
						<string>identifier "com.crowdstrike.falcon.App" and anchor apple generic and certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = X9E956P446</string>
				<key>Identifier</key>
						<string>com.crowdstrike.falcon.App</string>
						<key>IdentifierType</key>
						<string>bundleID</string>
						<key>StaticCode</key>
						<false/>
					</dict>
	</array>
	</dict>
	</dict>
	<dict>
			<key>FilterDataProviderBundleIdentifier</key>
			<string>com.crowdstrike.falcon.Agent</string>
			<key>FilterDataProviderDesignatedRequirement</key>
			<string>identifier "com.crowdstrike.falcon.Agent" and anchor apple generic and certificate 1[field.1.2.840.113635.100.6.2.6] and certificate leaf[field.1.2.840.113635.100.6.1.13] and certificate leaf[subject.OU] = "X9E956P446"</string>
			<key>FilterGrade</key>
			<string>inspector</string>
			<key>FilterPackets</key>
			<false/>
			<key>FilterSockets</key>
			<true/>
			<key>FilterType</key>
			<string>Plugin</string>
			<key>Organization</key>
			<string>CrowdStrike Inc.</string>
			<key>PayloadDescription</key>
			<string>Habilita el filtre de xarxa de CrowdStrike Falcon.</string>
			<key>PayloadDisplayName</key>
			<string>Filtre de contingut web</string>
			<key>PayloadIdentifier</key>
			<string>com.fleet.webfilter</string>
			<key>PayloadType</key>
			<string>com.apple.webcontent-filter</string>
			<key>PayloadUUID</key>
			<string>E63C7607-408B-485F-BF2F-0900AAE6797F</string>
			<key>PayloadVersion</key>
			<integer>1</integer>
	</dict>
	</array>
	<key>PayloadDescription</key>
	<string>CrowdStrike Falcon - Configuració completa (Extensions del sistema, Accés complet al disc, Filtre web, Gestió de serveis, Notificacions)</string>
	<key>PayloadDisplayName</key>
	<string>Configuració CrowdStrike Falcon</string>
	<key>PayloadIdentifier</key>
	<string>com.factorialit.crowdstrike</string>
	<key>PayloadOrganization</key>
	<string>Factorial IT</string>
	<key>PayloadScope</key>
	<string>System</string>
	<key>PayloadType</key>
	<string>Configuració</string>
	<key>PayloadUUID</key>
	<string>D269B6A4-2E8D-4EC1-B818-ADAE81B8CF0B</string>
	<key>PayloadVersion</key>
	<integer>1</integer>
	</dict>
</plist>

3. Puja els instal·ladors com a programari personalitzat

Per a cada instal·lador:

  1. Ves a MDM > Programari, fes clic a Afegeix, després Puja paquet personalitzat, i puja el fitxer.
  2. Activa Instal·la automàticament. Factorial IT crearà la política que instal·la Falcon en dispositius objectiu que encara no el tenen.
  3. Per a un .exe o un .deb, substitueix el que hi ha a la Consulta de detecció d'instal·lació amb la consulta per a aquella plataforma (a continuació). Factorial IT omple aquest camp per avançat amb una suposició basada en el nom del fitxer.
  4. Sota Targeting, tria Target tots els dispositius o Target per grup de dispositius. Sense objectiu és el valor per defecte, i amb ell Instal·la automàticament no instal·la el sensor enlloc.
  5. Afegeix els scripts d'activació (pas 4), després fes clic a Afegeix.

Consulta de detecció d'instal·lació per plataforma:

macOS: res a canviar. Per a un .pkg, Factorial IT genera la consulta.

Windows:

  • SELECT 1 FROM programs WHERE name LIKE 'CrowdStrike Windows Sensor%';

Ubuntu:

  • SELECT 1 FROM deb_packages WHERE name = 'falcon-sensor' AND status = 'install ok installed';

Cada .deb està construït per a una única arquitectura de CPU. Dirigeix-lo només a dispositius amb aquesta arquitectura, per exemple a través d'un grup de dispositius que utilitzi el filtre arquitectura de CPU.

Per instal·lar Falcon tan aviat com un dispositiu es provisiona, activa Instal·la durant la configuració Zero Touch en cada paquet. Combina-ho amb les comprovacions d'activació més avall: durant el desplegament sense tocs, l'script post-instal·lació pot executar-se abans que existeixi el compte de l'empleat.

4. Afegeix els scripts d'activació

Obre Configuració avançada en cada paquet (ja està obert quan afegeixes un .exe) i afegeix els scripts per a aquella plataforma. A macOS i Ubuntu, deixa Script d'instal·lació sol: està buit quan afegeixes el paquet, així que s'utilitza l'script d'instal·lació per defecte. Substitueix el marcador amb el teu CID.

macOS

Pega això a Script post-instal·lació. Activa el sensor amb el teu CID immediatament després de la instal·lació, i no fa res en un dispositiu on el sensor ja està activat.

#!/bin/bash
CUSTOMER_ID="YOUR-CUSTOMER-ID-HERE"
FALCONCTL="/Applications/Falcon.app/Contents/Resources/falconctl"

if [ -z "$CUSTOMER_ID" ] || [ "$CUSTOMER_ID" = "YOUR-CUSTOMER-ID-HERE" ]; then
  echo "No customer ID set"
  exit 1
fi

if [ ! -x "$FALCONCTL" ]; then
  echo "falconctl not found at $FALCONCTL"
  exit 1
fi

if "$FALCONCTL" stats agent_info 2>/dev/null | grep -q "agentID:.*[0-9a-fA-F]"; then
  echo "Ja està activat"
  exit 0
fi

if "$FALCONCTL" license "$CUSTOMER_ID"; then
  echo "Activació completada"
  exit 0
fi

echo "Activació fallida"
exit 1

Quan l'script post-instal·lació falla, la instal·lació es marca com a fallida i l'agent intenta eliminar el programari. Si una instal·lació de macOS falla, comprova primer el CID.

Si el teu lloguer de CrowdStrike necessita un token de provisionament, segueix la guia de desplegament del sensor de macOS a la teva consola Falcon per lliurar-lo a falconctl.

Windows

Intercanvia els scripts d'instal·lació i desinstal·lació per les que hi ha a continuació. A l'script d'instal·lació, substitueix CustomerID pel teu CID.

Script d'instal·lació:

$exeFilePath = "${env:INSTALLER_PATH}"

try {
  $processOptions = @{
    FilePath     = "$exeFilePath"
    ArgumentList = "/install /quiet /norestart CID=CustomerID"
    PassThru     = $true
  Wait         = $true
  }
  $process = Start-Process @processOptions
  $exitCode = $process.ExitCode
  Write-Host "Instal·la codi de sortida: $exitCode"
  Exit $exitCode
} catch {
  Write-Host "Error: $_"
  Exit 1
}

Si el teu lloguer de CrowdStrike necessita un token de provisionament, posa'l després del CID a ArgumentList: CID=CustomerID ProvToken=YourToken.

Script de desinstal·lació:

try {
  $regPaths = @(
    "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall",
    "HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall"
  )
  $app = $regPaths |
    ForEach-Object { Get-ChildItem $_ -ErrorAction SilentlyContinue } |
    Get-ItemProperty |
    Where-Object { $_.DisplayName -like "CrowdStrike Windows Sensor*" } |
    Select-Object -First 1

  if (-not $app) {
    Write-Host "CrowdStrike Falcon no trobat, res res desinstal·lar"
    Exit 0
  }

$processOptions = @{
    FilePath     = $app.UninstallString
    ArgumentList = "/quiet /norestart"
    PassThru     = $true
    Wait         = $true
  }
  $process = Start-Process @processOptions
  $exitCode = $process.ExitCode
  Write-Host "Desinstal·la codi de sortida: $exitCode"
  Exit $exitCode
} catch {
  Write-Host "Error: $_"
  Exit 1
}

Ubuntu

Pega això a Script post-instal·lació. Reflecteix l'script d'instal·lació de Linux de CrowdStrike: estableix el teu CID i després inicia el servei falcon-sensor. En un dispositiu on el sensor ja s'està executant, no fa res.

#!/bin/bash
CUSTOMER_ID="YOUR-CUSTOMER-ID-HERE"
PROVISIONING_TOKEN=""   # només si la teva consola Falcon requereix una
FALCONCTL="/opt/CrowdStrike/falconctl"

if [ -z "$CUSTOMER_ID" ] || [ "$CUSTOMER_ID" = "YOUR-CUSTOMER-ID-HERE" ]; then
  echo "No customer ID set"
  exit 1
fi

if [ ! -x "$FALCONCTL" ]; then
  echo "falconctl no trobat en $FALCONCTL"
  exit 1
fi

if pgrep -u root falcon-sensor >/dev/null 2>&1; then
  echo "El sensor ja s'està executant"
  exit 0
fi

ARGS="--cid=$CUSTOMER_ID"
if [ -n "$PROVISIONING_TOKEN" ]; then
  ARGS="$ARGS --provisioning-token=$PROVISIONING_TOKEN"
fi

# shellcheck disable=SC2086
if ! "$FALCONCTL" -s -f $ARGS; then
  echo "Activació fallida"
  exit 1
fi

if command -v systemctl >/dev/null 2>&1; then
  systemctl restart falcon-sensor || { echo "Inici del sensor fallit"; exit 1; }
else
  service falcon-sensor restart || { echo "Inici del sensor fallit"; exit 1; }
fi

echo "Activació completada"
exit 0

Estableix PROVISIONING_TOKEN només si el teu lloguer de CrowdStrike en necessita un; si no, deixa'l buit.

Un cop activat, el sensor pot trigar uns minuts a aparèixer a la teva consola de CrowdStrike.

Si l'script acaba amb un error, la instal·lació es marca com a fallida i l'agent executa l'script de desinstal·lació, que elimina el sensor. Si una instal·lació d'Ubuntu falla, comprova primer el CID.

Si estàs editant un paquet que vas afegir anteriorment, fes clic a Desa.

 

Comprova que el sensor està activat

Un sensor pot ser instal·lat sense estar activat. Sense un CID vàlid, no informa res al teu lloguer de CrowdStrike, però la consulta de detecció d'instal·lació encara passa. Les comprovacions següents cobreixen macOS i Ubuntu.

Crea aquestes polítiques a Fleet (Polítiques > Afegeix Política) per detectar els dispositius que necessiten ser corregits:

CrowdStrike activat falla quan el sensor no té ID d'agent o no té CID:

  • SELECT 1 FROM crowdstrike_falcon
WHERE agent_id IS NOT NULL AND agent_id != ''
  AND cid IS NOT NULL AND cid != '';

CrowdStrike sensor carregat falla quan el sensor té el seu CID però no s'està executant. A macOS, això normalment significa que l'extensió del sistema no ha estat aprovada:

  • SELECT 1 FROM crowdstrike_falcon WHERE sensor_loaded = 'true';

CrowdStrike protecció completa falla quan el sensor està en mode de funcionalitat reduïda, amb una protecció més feble. Això sol passar després d'una actualització d'OS o del nucli que la versió instal·lada del sensor no suporta encara:

  • SELECT 1 FROM crowdstrike_falcon WHERE reduced_functionality_mode = 'false';

CrowdStrike extensió del sistema activa (només macOS) falla quan l'extensió del sistema Falcon no està activada i habilitada, per exemple, mentre encara espera l'aprovació:

  • SELECT 1 FROM system_extensions
WHERE identifier = 'com.crowdstrike.falcon.Agent'
  AND team = 'X9E956P446'
  AND state = 'activated_enabled';

La taula crowdstrike_falcon necessita fleetd 1.50 o posterior. Està disponible a macOS i Linux, no a Windows.

Per tornar a provar l'activació automàticament, adjunta l'script post-instal·lació per a la plataforma corresponent a la política CrowdStrike activat com a automatització d'script (vegeu la guia de Fleet: https://fleetdm.com/guides/policy-automation-run-script). Utilitza una política separada per plataforma. Fleet executa l'script quan un dispositiu comença a fallar la política i ho intenta de nou fins a tres vegades mentre l'script retorna un error. Ambdós scripts deixen un sensor que ja està activat o en execució intacte, així que les reintents són segures.

Consells i millors pràctiques

  • Puja el perfil de macOS abans de l'instal·lar. D'altra manera, l'extensió del sistema espera l'aprovació i el sensor no s'executa.
  • Estableix sempre el CID. Un sensor instal·lat sense un CID sembla bé a Factorial IT però no informa res a CrowdStrike.
  • Tria un objectiu. Sense objectiu és el valor per defecte, i instal·la el sensor en cap dispositiu.
  • Fes coincidir cada .deb amb la seva arquitectura de CPU. Utilitza un grup de dispositius amb el filtre arquitectura de CPU.
  • Afegeix les polítiques d'activació. Són l'única manera de diferenciar un sensor instal·lat d'un activat.

 

Resolució de problemes i FAQ

Resolució de problemes

  • Una instal·lació de macOS o Ubuntu està marcada com a fallida. L'script post-instal·lació ha tornat un error, així que l'agent ha eliminat el sensor. Comprova primer el CID.
  • El sensor està instal·lat però no apareix a CrowdStrike. Probablement es va instal·lar sense un CID vàlid. La política CrowdStrike activat marca aquests dispositius. Just després de l'activació, permet uns minuts per a la registració.
  • El sensor té el seu CID però no s'està executant en un Mac. L'extensió del sistema normalment espera l'aprovació. Comprova que el perfil de configuració estigui instal·lat. La política CrowdStrike extensió del sistema activa mostra els dispositius afectats.
  • El sensor s'executa en mode de funcionalitat reduïda. Això normalment segueix una actualització d'OS o del nucli que la versió del sensor no suporta encara. Comprova que la teva versió del sensor suporta el nou OS o nucli.
  • No s'instal·la res fins i tot amb Instal·la automàticament activat. Comprova Targeting: amb Sense objectiu seleccionat, cap dispositiu rep el sensor.

 

FAQ

  1. On puc trobar el meu CID?
    A la consola de CrowdStrike, al panell de Com instal·lar sota Configuració i gestió d'hostes > Desplegar > Descarregues de sensors.
     
  2. El meu lloguer requereix un token de provisionament. On va?
    A Windows, després del CID a ArgumentList. A Ubuntu, a PROVISIONING_TOKEN. A macOS, segueix la guia de desplegament del sensor a la teva consola Falcon.
     
  3. Funcionen les comprovacions d'activació a Windows?
    No. La taula crowdstrike_falcon existeix només a macOS i Linux.
     
  4. És segur tornar a executar els scripts d'activació?
    Sí. No fan canvis en un dispositiu que ja està activat o en execució.

Was this article helpful?

Give feedback about this article

Related articles

Can’t find what you’re looking for?

Our customer care team is here for you.

Contact us

Knowledge Base Software powered by Helpjuice