Слой данных

Всё, что читает Legit AI, по источникам, и как каждое приходит.

Тридцать три вида записей из семи видов источников. Каким бы ни был источник, событие попадает в одну схему и проходит одно и то же обнаружение.

Слой данныхВсё, что читает платформа, в одной схеме

Legit AI

Как каждое приходит

Источник	Как приходит
Конечные точки	Агент Windows отправляет журналы Security, System и Sysmon пакетами со своим ключом; экспорт `.evtx` загружается из консоли.
Серверы по SSH	Платформа подключается каждые 30 секунд своим ключом и читает входы, открытые порты, установленные пакеты и хеши важных файлов. Ничего не устанавливается.
Сеть	Syslog и CEF на порт 514; записи PCAP, загруженные или снятые вживую; чтение роутера с логином владельца.
API и сборщики	JSON, NDJSON, syslog или CEF в Ingest API с API-ключом — из Fluent Bit, Vector или ваших скриптов.
Облако	Записи CloudTrail и Azure Monitor через Ingest API; AWS IAM читается через assume-role, для этого нужен доступ к AWS.
Данные об угрозах	Подписанные пакеты, применяемые в консоли, ваши индикаторы и список доверенных, canary-токены, сопоставления MITRE ATT&CK.
Проверенные файлы	Любой файл или архив, загруженный на проверку: программы Windows, макросы Office, пакеты Android.

Подробнее: Подключение источников данных, Отправка событий, Как работает Legit AI.