Как работает Legit AI

Путь события от сенсора до алерта, с которым может работать аналитик, и где работает каждая часть.

Где это работает

На вашем сервере API и движок обнаружения, консоль, база данных и модель ИИ работают на машинах, которыми управляете вы, и интернет не нужен ни для чего. В облаке Legit AI они работают на серверах Legit AI. См. Выбор пути.

Платформа обращается к публичным сервисам только в двух случаях. Запросы, которые она начала бы сама, — геолокация IP, список выходных узлов Tor, ленты CVE и abuse.ch — выключены, пока их не разрешат. В облаке Legit AI они включены. Сервисы, которые администратор настроил со своим ключом, например VirusTotal, используются, потому что сама настройка и есть согласие.

Платформа, установленная на вашем сервере, работает в режиме air-gap и запрещает и то, и другое. На сервере с интернетом Legit AI включает эти запросы по вашей просьбе — см. Изменение настройки.

Откуда приходят события

Источник	Как приходит
Машины Windows	Агент Windows читает журналы Security, System и Sysmon и отправляет их пакетами со своим ключом.
Linux-серверы и другие SSH-хосты	Платформа каждые 30 секунд подключается своим SSH-ключом и читает входы, самые тяжёлые процессы, прослушиваемые порты, установленные пакеты, хеши критичных файлов и состояние журнала auth. Ничего не устанавливается. См. SSH-серверы.
Межсетевые экраны, коммутаторы и другие устройства	Syslog на порт 514 по UDP или TCP — на вашем сервере. См. Подключение источников данных.
Всё, что умеет HTTP	JSON, syslog или CEF в API приёма с ключом API — включая сборщики журналов вроде Fluent Bit и Vector. Для записей CloudTrail и Azure Monitor есть отдельные эндпоинты.
Лог-файлы	Syslog, CEF, NDJSON или экспорт Windows `.evtx`, загруженные из консоли, — до 5 000 записей в файле.

Что происходит с каждым событием

Каждое событие проходит один и тот же путь, каким бы путём оно ни пришло.

Нормализация. Событие приводится к одной схеме, legit.event.v1. Сервер сам отмечает время получения, поэтому злоумышленник, переписавший время в журнале, не сдвинет событие во времени.
Проверка при поступлении. Применяются эвристики бесфайловых атак, известные индикаторы компрометации, активные canary-токены и правила для съёмных устройств.
Сохранение и обогащение. Теги, которым нужна история, вычисляются по предыдущим событиям: сканирование портов, регулярный beacon, вход администратора в нерабочее время.
Сопоставление с правилами. Правило срабатывает только тогда, когда выполнено каждое его условие. См. Правила обнаружения.
Подавление, если так велит правило подавления. Решение записывается в журнал аудита.
Оценка. Детерминированный анализ даёт событию оценку риска. Событие становится алертом, если совпало правило или оценка 45 и выше.
Дедупликация. То же правило на той же сущности в течение часа увеличивает счётчик открытого алерта вместо нового. Известная уязвимость остаётся одним алертом, пока он открыт.
Корреляция. Многоэтапные сценарии объединяются в одну находку — неудачные входы, а затем успешный; сканирование, а затем эксплойт; входы с сервера на сервер; накопление данных, а затем их вывод — и для каждого хоста продвигается стадия kill chain.
Обучение. Обновляется поведенческий профиль хоста. После семи дней обучения отклонения от него оцениваются.

Событие, которое не удалось разобрать, попадает в очередь dead-letter, доступную администраторам. Оно не теряется молча.

От алерта к реагированию

Алерт попадает в очередь алертов с доказательствами, совпадениями правил и техниками MITRE ATT&CK. Аналитик подтверждает его, отклоняет с указанием причины или передаёт в расследование.

Действия, которые меняют машину, — изоляция, завершение процесса, карантин файла, блокировка USB-накопителей — выполняются только по решению человека: с одобрением второго сотрудника или, если организация разрешает действовать одному, с новым кодом аутентификатора. См. Изоляция и завершение процессов.

Хранение

По умолчанию платформа хранит данные в одном файле SQLite в режиме WAL, поэтому чтение не блокирует запись. Загруженные файлы и доказательства хранятся на собственном диске сервера.