CrowdStrike Windows Sensor расположение / имя процесса / журнал установки

Question

Под панелью управления -> программы и функции я вижу, что CrowdStrike Windows Sensor был установлен недавно, но я не установил его. Я не могу найти программу на моем компьютере. Что я могу сделать, чтобы увидеть, откуда пришла эта программа, где она установлена, работает ли она и является ли она законной?

Я должен добавить, что это старый рабочий компьютер. Некоторое время я не подключался к рабочей сети, поэтому я подумал, что это означает, что я не буду получать обновления, но я думаю, что это предположение может быть ошибочным.

Answer 1

Как вы попали в первую очередь? Скорее всего, он был выдвинут в вашу систему вашим системным администратором. CrowdStrike - это антивирусный продукт, обычно используемый в корпоративной / корпоративной среде. Журнал установки, возможно, уже был перезаписан, но вы можете поспорить, что он поступил от системных администраторов.

Вы можете запустить

sc запрос csagent

просмотреть его текущее состояние,

netstat -f

чтобы увидеть подключение датчика облака CS, некоторое подключение к aws.

В этих местах могут быть некоторые остатки бревен:

%LOCALAPPDATA%\Temp
%SYSTEMROOT%\Temp

CS установлен в:

C:\Windows\System32\drivers\CrowdStrike

Answer 2

CrowdStrike - это антивирусная программа. Вероятно, ваша работа использует его и, возможно, он всегда был на вашем компьютере, или, по крайней мере, с момента вашего последнего подключения к рабочей среде. В CrowdStrike есть настройка, которая позволяет автоматически обновлять развернутые датчики (например, на вашем компьютере). Если рассматриваемый компьютер был подключен к Интернету, то, скорее всего, он просто автоматически обновлялся сам по себе, поскольку была доступна новая версия Windows Sensor.

Answer 3

Вы можете использовать WMI (Win32_Product) и grep для этого паттерна "Crowdstrike", "CrowdStrike, Inc." или использовал WMI (Win32_Service) и grep для этого патерного csagent работает