Подключение источников данных

Источники данных в боковом меню консоли показывают те же инструкции, что и эта страница, уже с адресом вашей платформы, создают API-ключ, когда он нужен источнику, и отправляют тестовое событие, чтобы вы увидели, как оно приходит.

Источник	Как приходит	Где настраивается
Компьютеры Windows	Агент Legit AI, по HTTPS	Подключение конечной точки
Серверы Linux	SSH каждые 30 секунд; ничего не устанавливается	SSH-серверы
Межсетевые экраны, коммутаторы, маршрутизаторы	Syslog на порт 514, UDP или TCP	Ниже
Серверы, где уже работает rsyslog	Syslog, пересылаемый по TCP	Ниже
Fluent Bit, Vector	HTTPS, с API-ключом	Ниже
Ваше приложение	HTTPS, с API-ключом	Отправка событий
Файлы журналов	Загружаются в Обозреватель событий → Импорт файла журнала	—

Syslog от устройств

На вашем сервере платформа принимает syslog на порт 514, по UDP и TCP, так, как устройства его уже отправляют, — без агента и без ключа. В настройках журналирования устройства укажите сервер syslog — адрес платформы и порт 514. UDP поддерживает любое устройство; если устройство умеет TCP, выберите его.

Каждая строка проходит тот же путь, что и любое событие: нормализация, уровни обнаружения, дедупликация. Строка с CEF читается как CEF. Адрес, с которого она пришла, сохраняется как observer.ip.

Правило	По умолчанию
Каким сетям можно отправлять	Все частные сети (10/8, 172.16/12, 192.168/16) и loopback; сужается по вашей просьбе
Строк в секунду от одного отправителя	500
Самая длинная строка	8 КБ

Источники данных показывают, сколько строк пришло, когда пришла последняя, сколько отклонено и почему.

Отправитель на том же сервере

Отправитель на сервере самой платформы попадает к приёмнику без собственного адреса, поэтому его строки по умолчанию отклоняются — консоль об этом сообщает. По вашей просьбе Legit AI может его разрешить. Отправители на других машинах приходят со своим адресом.

В облаке Legit AI syslog напрямую не принимается: отправляйте его на ваш ретранслятор (Fluent Bit или Vector, ниже), а он передаст его по HTTPS.

Серверы, где уже работает rsyslog

Создайте на сервере /etc/rsyslog.d/90-legit-ai.conf:

# Legit AI: forward every message over TCP.
*.* @@legit.corp.internal:514

и перезапустите rsyslog: sudo systemctl restart rsyslog.

Сборщики журналов

Оба отправляют на POST /api/ingest/records, который принимает JSON-массив или по одному JSON-объекту в строке. Создайте ключ в Источниках данных (или в Настройки → API-ключи) с ролью ANALYST и областью write.

Fluent Bit — добавьте output:

[OUTPUT]
    Name        http
    Match       *
    Host        legit.corp.internal
    Port        443
    URI         /api/ingest/records
    Format      json
    Header      X-API-Key legit_…
    tls         On
    tls.verify  On

Vector — добавьте sink:

[sinks.legit_ai]
type = "http"
inputs = ["your_source"]
uri = "https://legit.corp.internal/api/ingest/records"
method = "post"
encoding.codec = "json"
framing.method = "newline_delimited"
request.headers.X-API-Key = "legit_…"

Понимаются имена полей, принятые в большинстве инструментов: hostname, event_type, severity, src_ip, message и их распространённые варианты — см. Отправка событий.

Самоподписанный сертификат

Пока платформа работает с сертификатом, созданным при установке, передайте сборщику этот сертификат (tls.ca_file в обоих) — или, только на время проверки, отключите проверку (tls.verify Off, tls.verify_certificate = false).

Проверить, что работает

Источники данных → Отправить тестовое событие проводит одно безвредное событие через весь путь обработки. Обозреватель событий показывает каждое событие по мере поступления; ищите имя хоста, которое передаёт источник.