نشر مستشعر CrowdStrike Falcon على Windows وLinux باستخدام falconctl

مستشعر CrowdStrike Falcon هو وكيل واحد خفيف يرسل البيانات (telemetry) إلى وحدة تحكم Falcon المُدارة سحابياً. يشرح هذا المقال نشر المستشعر وتسجيله على نظامي Windows وLinux، ثم التحقق من سلامته وأنه يحمي الجهاز بالكامل. جميع الأوامر أدناه هي الصيغة الحقيقية الموثّقة — استبدل القيم النائبة (CID والرموز وأسماء الملفات) بقيم وحدة تحكم Falcon الخاصة بك.

قبل أن تبدأ

ستحتاج إلى:

• معرّف العميل (CID) المنسوخ من وحدة تحكم Falcon ضمن Host setup and management > Sensor downloads. يتضمن المعرّف لاحقة تحقق بعد شَرطة (مثل ABCD...WXYZ-7A) — انسخه كما هو بالضبط.
• أداة تثبيت المستشعر الصحيحة لنظام التشغيل والمعمارية المستهدفة، من الصفحة نفسها.
• (اختياري) رمز تثبيت / تزويد (provisioning token) إن كان مستأجِرك يفرضه.
• صلاحية مسؤول محلي (Windows) أو root/sudo (Linux) على الجهاز.

1. التثبيت على Windows

يأتي مستشعر Windows على شكل WindowsSensor.exe (أو باسم يتضمن رقم الإصدار). للتثبيت التفاعلي يمكنك النقر المزدوج عليه، لكن للنشر على الأسطول استخدم سطر الأوامر الصامت. افتح موجّه أوامر أو PowerShell بصلاحيات مرتفعة ونفّذ:

WindowsSensor.exe /install /quiet /norestart CID=<معرّف-CID>

معاني المعاملات:

• /install — تنفيذ التثبيت.
• /quiet — التشغيل بصمت دون تفاعل المستخدم.
• /norestart — عدم إعادة التشغيل تلقائياً (المستشعر نفسه لا يتطلب إعادة تشغيل).
• CID=<معرّف-CID> — يسجّل الجهاز ضمن مستأجِرك.

إذا كان مستأجِرك يفرض رمز تزويد، أضِف الخاصيتين الحقيقيتين: ProvToken=<الرمز>، واختيارياً ProvNoWait=1 كي لا ينتظر المثبّت الرمز. هذا الأمر الصامت هو ما تُغلّفه داخل Microsoft Intune أو Group Policy (GPO) أو SCCM/ConfigMgr أو أداة RMM للنشر الجماعي.

2. التثبيت على Linux

يتم النشر على Linux في خطوتين: تثبيت الحزمة، ثم تسجيلها بـ falconctl. استخدم مدير الحزم المناسب لتوزيعتك.

RHEL / Rocky / Alma / Amazon Linux (RPM):

sudo dnf install ./falcon-sensor.rpm
# أو على الأنظمة الأقدم:
sudo yum install ./falcon-sensor.rpm
# أو مباشرةً عبر rpm:
sudo rpm -ivh falcon-sensor.rpm

Ubuntu / Debian (DEB):

sudo dpkg -i falcon-sensor.deb

تسجيل المستشعر بمعرّف CID

تثبيت الحزمة لا يربط المستشعر — يجب ضبط CID. تقع أداة falconctl في المسار /opt/CrowdStrike/falconctl. نفّذ:

sudo /opt/CrowdStrike/falconctl -s -f --cid=<معرّف-CID>

معاني الرايات:

• -s — ضبط قيمة تهيئة.
• --cid=<معرّف-CID> — القيمة المضبوطة هي معرّف العميل.
• -f — إجبار؛ كتابة القيمة دون مطالبة تأكيد تفاعلية. مفيد في الإعداد المؤتمت/الأول وعند الكتابة فوق قيمة موجودة.

إذا كان مستأجِرك يستخدم رمز تزويد، اضبطه في الاستدعاء نفسه:

sudo /opt/CrowdStrike/falconctl -s -f --cid=<معرّف-CID> --provisioning-token=<الرمز>

إذا كان الجهاز يصل إلى الإنترنت عبر وكيل (proxy)، فهيّئه:

sudo /opt/CrowdStrike/falconctl -s -f --aph=<مضيف-الوكيل> --app=<منفذ-الوكيل>

ولتطبيق وسوم التجميع كي يقع الجهاز في مجموعة/سياسة المضيفين الصحيحة:

sudo /opt/CrowdStrike/falconctl -s -f --tags="KSA,Servers,Production"

تشغيل الخدمة

sudo systemctl start falcon-sensor
sudo systemctl enable falcon-sensor   # التشغيل عند الإقلاع

على الأنظمة الأقدم التي تستخدم SysVinit، استخدم sudo service falcon-sensor start بدلاً من ذلك.

3. التحقق من سلامة المستشعر

تأكّد من أن المستشعر مُسجّل وقيد التشغيل. تحقّق من CID ومن معرّف الوكيل (AID) المُسنَد تلقائياً:

sudo /opt/CrowdStrike/falconctl -g --cid
sudo /opt/CrowdStrike/falconctl -g --aid

وجود AID يعني أن المستشعر سجّل دخوله بنجاح إلى السحابة. تأكّد من أن العملية تعمل:

ps -e | grep falcon-sensor

الآن تحقّق مما إذا كان المستشعر في وضع الوظائف المخفّضة (RFM). RFM هو وضع آمن يدخله مستشعر Linux عندما تكون نواة الجهاز غير مدعومة بعد — في هذا الوضع يستمر بإرسال نبضات الحياة لكنه لا يولّد أي اكتشافات، أي أنه عملياً لا يحميك:

sudo /opt/CrowdStrike/falconctl -g --rfm-state

إذا كانت حالة RFM true / غير مدعومة، فانقل الجهاز إلى إصدار نواة يدعمه المستشعر، ثم ثبّت (pin) تحديثات النواة كي لا يعود بصمت إلى RFM بعد الترقية التالية. على Windows، يكفي التأكد من ظهور الجهاز متصلاً ومحمياً في قائمة المضيفين بوحدة تحكم Falcon.

4. تجهيز صورة قالب (VDI / قوالب الأجهزة الافتراضية)

إذا أدمجت المستشعر داخل صورة قالب، فيجب أن يُسجّل كل نسخة كمضيف فريد. قبل ختم القالب، احذف معرّف الوكيل كي يُعاد توليده عند أول إقلاع لكل نسخة:

sudo /opt/CrowdStrike/falconctl -d -f --aid

هنا -d يحذف قيمة و-f يفرض ذلك دون مطالبة. إهمال هذه الخطوة يجعل النسخ تتصادم على معرّف AID واحد مشترك في وحدة التحكم.

5. مشكلات شائعة وحلولها

• عدم ظهور المستشعر في وحدة التحكم: أعِد التحقق من CID عبر falconctl -g --cid، وتأكّد من أن اتصال HTTPS الصادر إلى سحابة Falcon غير محجوب بجدار حماية أو وكيل يفحص TLS، وتحقّق من العملية بـ ps -e | grep falcon-sensor.
• عدم وجود اكتشافات على Linux: افحص falconctl -g --rfm-state — السبب المعتاد هو نواة غير مدعومة.
• مراجعة السجلات: يكتب Falcon إلى syslog؛ ابحث بـ sudo grep -i falcon /var/log/messages | tail -n 100 (أو /var/log/syslog على Debian/Ubuntu).

تحتاج مساعدة على نطاق واسع؟

تخطّط سكايلاين لعمليات نشر متدرّجة، وتُغلّف المثبّتات الصامتة لـ Intune/GPO/SCCM، وتضبط سياسات المنع، وتحلّ مشكلات RFM والاتصال في مختلف أنحاء السعودية. اطّلع على خدمة نشر ودعم CrowdStrike Falcon، أو تصفّح فئة حماية النقاط الطرفية، أو اقرأ دليل نشر Falcon EDR/XDR. أسئلة؟ تواصل معنا على +966 50 993 9334 أو عبر المتجر.