Windows endpointni ulash

Agent mashinaning Windows Security, System va Sysmon jurnallarini platformaga yuboradi va tasdiqlangan javob buyruqlarini bajaradi: mashinani izolyatsiya qilish, jarayonni to’xtatish, USB xotirani o’chirish. U LegitAIEndpointSensor nomli Windows xizmati sifatida ishlaydi.

Boshlashdan oldin

Konsolda ADMIN roli, Windows mashinada administrator hisobi (Windows 10, 11 yoki Windows Server) va shu mashinadan platforma manziliga HTTPS orqali kirish kerak.

Konsolda buyruqni oling

1. Admin → Endpointlar bo’limini oching va Endpoint qo’shish tugmasini bosing.

2. Buyruq yaratish tugmasini bosing. Konsol tenantingiz uchun token yaratadi va buyruqni shu token bilan tuzadi.

3. Buyruqdan nusxa oling. Undagi token faqat shu safar ko’rsatiladi. U siz shu oynada bekor qilmaguningizcha istalgan sondagi mashinada ishlaydi, shuning uchun o’rnatish tugagach uni bekor qiling.

Administrator sifatida ishga tushiring

Windows mashinada PowerShell’ni Run as administrator bilan oching va qatorni qo’ying. U taxminan shunday ko’rinadi:

PowerShell — administrator

Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass -Force; iwr "https://soc.example.com/api/agents/installer?token=<token>" -OutFile "$env:TEMP\legit-install.ps1" -UseBasicParsing; & "$env:TEMP\legit-install.ps1" -ServerUrl "https://soc.example.com" -EnrollmentToken "<token>"

Installer ham, agent.exe ham platforma serveringizdan olinadi; internetdan hech narsa yuklanmaydi. Execution policy faqat shu PowerShell oynasi uchun yumshatiladi — oyna yopilgach mashinaning o’z siyosati qaytadi.

So’ng installer to’rt ishni shu tartibda bajaradi:

Qadam	Nima bo’ladi
Ro’yxatdan o’tish	Agent ID va API kalitini server beradi. Kalit faqat SYSTEM va administratorlar o’qiy oladigan papkada saqlanadi. Installer shu mashinada qayta ishga tushirilsa, ID o’zgarmaydi.
Audit siyosati	Windows sukut bo’yicha o’chirib qo’yadigan ikki audit kategoriyasini yoqadi: Process Creation (4688-hodisa, buyruq qatori bilan) va PNP Activity (6416-hodisa, olinadigan qurilmalar).
Fayllar	Agentni C:\Program Files\LegitAI ga ko’chiradi, konfiguratsiya, kalit va navbatni C:\ProgramData\LegitAI da saqlaydi. Avvalgi o’rnatish bo’lsa, joyida yangilanadi.
Xizmat	LegitAIEndpointSensor xizmatini o’rnatadi va ishga tushiradi.

Domen kompyuterlari

U yerda audit sozlamalari Group Policy’ga tegishli va keyingi yangilanishda qaytariladi. Ikkala kategoriyani GPO’da yoqing (Computer Configuration → Policies → Windows Settings → Security Settings → Advanced Audit Policy Configuration), aks holda o’rnatishdan bir necha soat o’tib jarayon va USB hodisalari kelmay qoladi.

Diskdan o’rnatish

Mashina serverdan yuklab ololmasa, buyruqni yaratgandan keyin xuddi shu oynada Offline paketni yuklab olish (.zip) ni tanlang. Zip ichida agent.exe, install_windows.ps1, Sysmon sozlamalari va serveringiz hamda tokeningiz uchun aniq buyruq yozilgan README bor. Uni olinadigan disk orqali ko’chiring, oching va installerni o’sha papkadan ishga tushiring. U agent.exe ni yonida topadi va hech narsa yuklamaydi; ro’yxatdan o’tish uchun server bilan bir marta bog’lanadi.

Ko’p mashinaga bir yo’la: Ko’p kompyuterga o’rnatish.

PowerShell — administrator

.\install_windows.ps1 -ServerUrl "https://soc.example.com" -EnrollmentToken "<token>"

Parametr	Majburiy	Sukut bo’yicha
-ServerUrl	Ha	—
-EnrollmentToken	Ha	—
-InstallDir	Yo’q	C:\Program Files\LegitAI
-DataDir	Yo’q	C:\ProgramData\LegitAI

Sysmon qo’shing

Installer Sysmon’ni o’rnatmaydi: bu Microsoft’ning o’z vositasi va uni Microsoft tarqatadi. Sysmon bilan agent qo’shimcha ravishda script hostlar va foydalanuvchi yoza oladigan papkalardagi dasturlarning tarmoq ulanishlarini, LSASS’ga murojaatni, registrdagi doimiylik kalitlarini, startup va hujjat papkalariga tushgan fayllarni va DNS so’rovlarini ko’radi.

Legit AI konfiguratsiyasi ataylab tor — bitta server hajmni ko’tara olishi uchun. Unda jarayon yaratish o’chiq, chunki 4688-hodisa har bir jarayonni allaqachon beradi; image load o’chiq (desktopda daqiqasiga minglab); fayl o’chirish o’chiq, chunki Sysmon har bir o’chirilgan faylni diskka arxivlaydi. Uni o’sha token bilan serveringizdan yuklab oling:

PowerShell — administrator

iwr "https://soc.example.com/api/agents/installer/sysmon-config.xml?token=<token>" -OutFile legitai-sysmon.xml -UseBasicParsing
Sysmon64.exe -accepteula -i legitai-sysmon.xml

Sysmon agentdan oldin ham, keyin ham o’rnatilishi mumkin. Agent Sysmon kanalini qidirishda davom etadi va u paydo bo’lishi bilan o’qishni boshlaydi.

Hodisa yig’ayotganini tekshiring

Agent har 60 soniyada holat yuboradi, shuning uchun mashina bir daqiqa ichida Admin → Endpointlar ro’yxatida paydo bo’ladi. Har bir hisobotda kollektorlarning holati ham bor: konsol agent tirikligini emas, mashina haqiqatan hodisa yig’ayotganini ko’rsatadi.

Mashinaning o’zida:

PowerShell

Get-Service LegitAIEndpointSensor
Get-EventLog -LogName Application -Source LegitAIEndpointSensor -Newest 20

Yig’ish va yetkazish bir narsa emas. Mashina hodisa yig’sa-yu, ular serverga yetib kelmasa, endpoint yashil holat o’rniga Yetkazilmayapti deb ko’rsatiladi, tafsilotlarida esa qachondan beri va nima sababdan ekani yoziladi. Oxirgi yetkazilgan qatori hodisalar oxirgi marta qachon kelganini ko’rsatadi. Server bilan aloqa yo’q paytda hodisalar mashinada kutib turadi va aloqa tiklanganda yuboriladi.

1.1.5 dan oldingi agent navbati to’lib Yetkazilmayapti deb ko’rsatilsa: Konsolda buyruqni oling bo’limidagi buyruqni o’sha mashinada yana bir marta ishga tushiring. U agentni joyida yangilaydi, ro’yxatdan o’tganini saqlaydi va navbatni bo’shatadi.