Защищённый терминал

Чтобы исправить найденное алертом, раньше приходилось выйти из Legit AI, найти адрес сервера и войти вручную. Защищённый терминал открывает оболочку прямо в консоли, рядом с алертом, — и каждую сессию потом можно доказать.

Что его защищает

• Свежий код каждый раз. Открытие сессии требует текущего кода из приложения-аутентификатора. Каждый код действует один раз; неверные коды учитываются в блокировке входа.
• Свой ключ на две минуты. Терминал никогда не входит ключом мониторинга. Для каждой сессии Legit AI создаёт в памяти новую пару ключей и подписывает сертификат на две минуты: только терминал, без проброса портов, агента и X11. Журнал auth.log сервера называет человека и сессию из сертификата.
• Только где включён и только учётной записью мониторинга. Администратор включает терминал для каждого сервера. Это одна строка в authorized_keys учётной записи мониторинга — без root и без изменения sshd. Удалите строку — и терминал выключен, что бы ни случилось с Legit AI.
• Записывается и опечатывается. Всё, что показывает экран, записывается (AES-256), прикрепляется к алерту и хешируется по окончании сессии. При просмотре хеш проверяется. Пароли, введённые в ответ на запрос, не записываются.
• Защита от опасных команд. Команда, которая стирает диск, выключает сервер, сбрасывает firewall, удаляет учётные записи, отрезает SSH или уничтожает логи, задерживается до ввода кода, иначе отменяется. Это ловит ошибки, а не намеренный обход; главная улика — запись.
• Ограничения. 5 минут без нажатий или 30 минут всего завершают сессию; одна открытая сессия на человека, три на сервер, двадцать в день.
• Другие видят. При открытии сессии уведомляется вся организация; администратор может наблюдать или завершить её.

Включить сервер

1. Серверы, откройте сервер, вкладка Доступ. Там показано состояние терминала для этого сервера рядом со списком разрешённых входов.

2. Включить (администратор, с кодом). Legit AI добавляет строку через соединение мониторинга и входит тестовым сертификатом. «Терминал вкл.» появляется, только если вход удался.

Вручную: на той же вкладке откройте Включить сервер вручную, выполните показанную команду от учётной записи мониторинга и нажмите Включить, чтобы Legit AI проверил.

Открыть сессию

В панели Быстрое реагирование алерта выберите Открыть терминал или нажмите Открыть терминал на странице «Защищённый терминал». Выберите сервер, укажите причину (не менее 8 символов — её видят коллеги) и введите код.

Рядом с оболочкой — алерт, проверки только для чтения из его данных, действия реагирования и введённые команды. Предложенная проверка вставляется, но выполняется только по Enter.

В конце — Завершить сессию и, если проблема решена, Закрыть алерт как решённый: сессия уже прикреплена к алерту.

Самостоятельно или «четыре глаза»

Защищённый терминал → Политика:

	Самостоятельно (по умолчанию в облаке)	Четыре глаза (по умолчанию на своём сервере)
Терминальная сессия	открывается после кода	ждёт второго администратора
Блокировка адреса, завершение процесса, карантин файла	выполняется после кода	запрос, одобряет другой
Изоляция хоста, усиление SSH	код + имя хоста; изоляция не более 4 ч	запрос
Рецепты, сброс учётных данных, учётные записи платформы	всегда второй администратор	всегда второй администратор

Никогда в одиночку: ваш адрес, адрес Legit AI, адрес сервера под мониторингом, loopback и зарезервированные диапазоны; PID 1, слушающий sshd, systemd. Не более 10 прямых действий на человека за 10 минут.

Остановить на той же странице прекращает прямые действия и новые сессии и завершает открытые.

sudo

Сессия работает от учётной записи мониторинга. Если нужен sudo, он спросит собственный пароль этой учётной записи; Legit AI его не запрашивает, не видит и не хранит.