Изоляция и завершение процессов

Действия реагирования меняют реальную машину, поэтому ни одно не выполняется по одному лишь слову одного человека. Либо одобряет второй человек, либо — если организация разрешает действовать одному (Защищённый терминал → Политика, Самостоятельно) — человек подтверждает личность свежим кодом, а место второго занимают ограничители платформы. Что разрешает каждый режим — на странице Защищённый терминал.

Из консоли

1. На панели Быстрое реагирование алерта выберите Изолировать хост, Завершить процесс — при желании вместе со всеми запущенными им процессами — или Поместить файл в карантин и подтвердите.

2. Четыре глаза: запрос ждёт в разделе Ожидают одобрения на верхней панели, одобряет или отклоняет его другой человек — ANALYST или выше. Самостоятельно: вы вводите код (для изоляции — и имя хоста), и действие выполняется сразу; организация уведомляется, а в записи одобрившим значитесь вы (step-up), а не второй человек.

3. После одобрения платформа отправляет команду на машину и показывает ответ самой машины: выполнено или не выполнено — с причиной, которую назвала конечная точка.

Через API те же команды можно поставить в очередь агенту напрямую — POST /api/agents/{agent_id}/commands с {"command": "isolate_host", "params": {}}, — и тогда одобрение требуется от другого ADMIN: POST /api/agents/{agent_id}/commands/{id}/approve.

Пять минут, чтобы дойти до машины

Чтобы получить команду, агент должен был выйти на связь в последние десять минут, а команда, не забранная агентом в течение пяти минут после запроса, истекает. Если агент молчит, действие сразу завершается неудачей с объяснением, а не сообщает об успехе.

На машине Windows

Команду выполняет агент. Начиная с версии 1.1.6 он выполняет только команды, подписанные ключом вашей организации, и отклоняет неподписанные, подписанные для другого агента, просроченные и повторные. Агенты не обновляются сами: 1.1.6 устанавливается вручную, командой из консоли.

Изоляция

• Брандмауэр Windows блокирует весь трафик в обе стороны, кроме обмена с сервером Legit AI, — агент продолжает отчитываться и может получить команду снятия.
• Если брандмауэр на каком-то профиле выключен, агент его включает: правила на выключенном профиле игнорируются, и изоляция сообщила бы об успехе, ничего не изолировав.
• Время снятия записывается на диск до каких-либо изменений. Когда оно наступает, агент снимает изоляцию сам — без сервера и даже после перезапуска агента или машины.
• Изоляция длится 60 минут, если не задано иное, и не более 24 часов. Вернуть снимает её раньше.
• Каждое изменение проверяется; если что-то не удалось, уже сделанное возвращается.

Завершение процесса

По PID или по имени. Агент сначала проверяет PID и отказывается завершать:

• ядро Windows (PID 0 и 4);
• процессы, без которых Windows не работает: smss.exe, csrss.exe, wininit.exe, winlogon.exe, services.exe, lsass.exe, lsaiso.exe, svchost.exe, fontdrvhost.exe, dwm.exe и системные процессы;
• сам агент Legit AI.

Карантин файла

Агент вычисляет хеш файла, перемещает его в закрытую папку карантина под случайным именем и ограничивает права только SYSTEM и Администраторами. Файл из карантина можно вернуть на прежнее место.

На Linux-сервере

Серверы, наблюдаемые по SSH, изолируются через тот же SSH-канал:

• платформа добавляет собственные цепочки iptables, не трогая существующие правила и политики по умолчанию, и отбрасывает весь трафик, кроме своего подключения;
• изоляция снимается сама через 15 минут как страховка; Вернуть удаляет ровно то, что было добавлено;
• учётной записи платформы нужен sudo без пароля для iptables и kill. Без этого действие сообщает unavailable — платформа никогда не запрашивает и не хранит пароль sudo.

Запись

Каждый запрос, одобрение, отклонение и результат записываются в журнал аудита с указанием исполнителя.