Подключение конечной точки Windows

Агент отправляет на платформу журналы Windows Security, System и Sysmon и выполняет одобренные команды реагирования: изоляцию машины, завершение процесса, отключение USB-накопителей. Он работает как служба Windows LegitAIEndpointSensor.

Перед началом

Нужны роль ADMIN в консоли, учётная запись администратора на машине Windows (Windows 10, 11 или Windows Server) и доступ с этой машины к адресу платформы по HTTPS.

Получите команду в консоли

1. Откройте Админ-панель → Конечные точки и нажмите Добавить конечную точку.

2. Нажмите Создать команду подключения. Консоль создаст токен для вашего тенанта и соберёт с ним команду.

3. Скопируйте команду. Токен в ней показывается только один раз. Он действует для любого числа машин, пока вы не отзовёте его в том же окне, — поэтому отзовите его, когда закончите развёртывание.

Запустите от имени администратора

Откройте PowerShell на машине через Запуск от имени администратора и вставьте строку. Она выглядит так:

PowerShell — администратор

Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass -Force; iwr "https://soc.example.com/api/agents/installer?token=<token>" -OutFile "$env:TEMP\legit-install.ps1" -UseBasicParsing; & "$env:TEMP\legit-install.ps1" -ServerUrl "https://soc.example.com" -EnrollmentToken "<token>"

И установщик, и agent.exe берутся с вашего сервера платформы; из интернета ничего не скачивается. Политика выполнения ослабляется только для этого окна PowerShell — после его закрытия снова действует собственная политика машины.

Затем установщик делает четыре вещи, в таком порядке:

Шаг	Что происходит
Регистрация	Сервер выдаёт агенту ID и ключ API. Ключ хранится в папке, которую могут читать только SYSTEM и администраторы. Повторный запуск установщика на той же машине сохраняет тот же ID.
Политика аудита	Включает две подкатегории аудита, выключенные в Windows по умолчанию: Process Creation (событие 4688, с командной строкой) и PNP Activity (событие 6416, съёмные устройства).
Файлы	Копирует агент в C:\Program Files\LegitAI, а конфигурацию, ключ и очередь хранит в C:\ProgramData\LegitAI. Предыдущая установка обновляется на месте.
Служба	Устанавливает и запускает LegitAIEndpointSensor.

Машины в домене

Там настройками аудита управляет групповая политика и возвращает их при следующем обновлении. Включите обе подкатегории в GPO (Computer Configuration → Policies → Windows Settings → Security Settings → Advanced Audit Policy Configuration), иначе через несколько часов после установки события процессов и USB перестанут приходить.

Установка с носителя

Если машине нельзя скачивать с сервера, после создания команды выберите в том же окне Скачать офлайн-пакет (.zip). В архиве agent.exe, install_windows.ps1, настройки Sysmon и README с точной командой для вашего сервера и токена. Перенесите его на съёмном носителе, распакуйте и запустите установщик из этой папки. Он найдёт agent.exe рядом с собой и ничего не будет скачивать; для регистрации он один раз обратится к серверу.

Сразу на много машин: Установка на много машин.

PowerShell — администратор

.\install_windows.ps1 -ServerUrl "https://soc.example.com" -EnrollmentToken "<token>"

Параметр	Обязательный	По умолчанию
-ServerUrl	Да	—
-EnrollmentToken	Да	—
-InstallDir	Нет	C:\Program Files\LegitAI
-DataDir	Нет	C:\ProgramData\LegitAI

Добавьте Sysmon

Установщик не ставит Sysmon: это собственный инструмент Microsoft, и распространяет его Microsoft. С ним агент дополнительно видит сетевые подключения скриптовых хостов и программ из папок, доступных пользователю на запись, обращения к LSASS, ключи автозапуска в реестре, файлы в папках автозагрузки и документов, а также DNS-запросы.

Конфигурация Legit AI намеренно узкая — чтобы один сервер выдерживал объём. Создание процессов в ней выключено, потому что событие 4688 уже сообщает о каждом процессе; загрузка образов выключена (на рабочей станции это тысячи событий в минуту); удаление файлов выключено, потому что Sysmon архивировал бы каждый удалённый файл на диск. Скачайте её со своего сервера тем же токеном:

PowerShell — администратор

iwr "https://soc.example.com/api/agents/installer/sysmon-config.xml?token=<token>" -OutFile legitai-sysmon.xml -UseBasicParsing
Sysmon64.exe -accepteula -i legitai-sysmon.xml

Sysmon можно поставить и до агента, и после. Агент продолжает искать канал Sysmon и начинает читать его, как только тот появится.

Проверьте, что события собираются

Агент отчитывается каждые 60 секунд, поэтому машина появится в Админ-панель → Конечные точки в течение минуты. Каждый отчёт содержит состояние сборщиков: консоль показывает, действительно ли машина собирает события, а не только то, что агент жив.

На самой машине:

PowerShell

Get-Service LegitAIEndpointSensor
Get-EventLog -LogName Application -Source LegitAIEndpointSensor -Newest 20

Собирать — не то же самое, что доставлять. Если машина собирает события, но они не доходят до сервера, конечная точка показывает Не доставляется вместо зелёного статуса, а в её сведениях указано, с какого времени и почему. Строка Последняя доставка показывает, когда её события пришли в последний раз. Пока сервер недоступен, события ждут на машине и отправляются, как только связь восстановится.

Если агент версии до 1.1.5 показывает Не доставляется с заполненной очередью, ещё раз выполните на этой машине команду из раздела о получении команды в консоли. Она обновит агент на месте, сохранит его регистрацию и освободит очередь.