Legit AI qanday ishlaydi

Qayerda ishlaydi

O’z serveringizda API va aniqlash dvigateli, konsol, ma’lumotlar bazasi va AI modeli — barchasi siz boshqaradigan mashinalarda ishlaydi va hech narsaga internet kerak emas. Legit AI bulutida ular Legit AI serverlarida ishlaydi. Qaysi yo’l sizniki sahifasiga qarang.

Platforma ommaviy xizmatlarga faqat ikki holatda murojaat qiladi. U o’zi boshlaydigan so’rovlar — IP geolokatsiya, Tor chiqish tugunlari ro’yxati, CVE va abuse.ch lentalari — ruxsat berilmaguncha o’chiq. Legit AI bulutida ular yoqilgan. Administrator o’z kaliti bilan sozlagan xizmatlar (masalan, VirusTotal) ishlatiladi, chunki o’sha sozlamaning o’zi roziligidir.

O’z serveringizga o’rnatilgan platforma air-gap rejimida ishlaydi va ikkalasini ham rad etadi. Internetli serverda Legit AI so’rovingiz bilan bu so’rovlarni yoqadi — Sozlamani o’zgartirish bo’limiga qarang.

Hodisalar qayerdan keladi

Manba	Qanday keladi
Windows mashinalar	Windows agent Security, System va Sysmon jurnallarini o’qiydi va ularni o’z kaliti bilan paketlab yuboradi.
Linux serverlar va boshqa SSH hostlar	Platforma har 30 soniyada o’z SSH kaliti bilan ulanadi va kirishlar, eng og’ir jarayonlar, tinglayotgan portlar, o’rnatilgan paketlar, muhim fayllar hash’lari va auth log holatini o’qiydi. Hech narsa o’rnatilmaydi. SSH serverlar sahifasiga qarang.
Firewall, switch va boshqa qurilmalar	514-portga UDP yoki TCP orqali yuborilgan syslog — o’z serveringizda. Ma’lumot manbalarini ulash sahifasiga qarang.
HTTP biladigan har qanday tizim	JSON, syslog yoki CEF — API kalit bilan ingest APIga, Fluent Bit va Vector kabi log jo’natuvchilar ham. CloudTrail va Azure Monitor yozuvlarining o’z endpointlari bor.
Log fayllar	Konsoldan yuklangan syslog, CEF, NDJSON yoki Windows .evtx eksporti — bir faylda 5 000 tagacha yozuv.

Har bir hodisa bilan nima bo’ladi

Har bir hodisa qaysi yo’l bilan kelganidan qat’i nazar, bir xil yo’ldan o’tadi.

1. Normallashtiriladi. Bitta sxemaga — legit.event.v1 — keltiriladi. Server hodisani qabul qilgan vaqtni o’zi belgilaydi, shuning uchun logdagi vaqtni o’zgartirgan hujumchi hodisani vaqt bo’yicha siljita olmaydi.
2. Kelishi bilan tekshiriladi. Fileless-malware evristikasi, ma’lum kompromat indikatorlari, faol canary tokenlar va olinadigan qurilma qoidalari qo’llanadi.
3. Saqlanadi, so’ng boyitiladi. Tarixni talab qiladigan teglar oldingi hodisalardan hisoblanadi: port skanerlash, muntazam beacon, ish vaqtidan tashqari admin kirishi.
4. Qoidalar bilan solishtiriladi. Qoida faqat undagi har bir shart bajarilganda ishga tushadi. Aniqlash qoidalari sahifasiga qarang.
5. Bostirish qoidasi aytsa, bostiriladi. Bu qaror audit logga yoziladi.
6. Baholanadi. Deterministik tahlil hodisaga xavf balli beradi. Qoida mos kelgan yoki ball 45 va undan yuqori bo’lsa, hodisa alertga aylanadi.
7. Dublikatlar birlashtiriladi. Bir soat ichida bir xil obyektda bir xil qoida — yangi alert ochilmaydi, mavjud alertning hisoblagichi oshadi. Ma’lum zaiflik ochiq turguncha bitta alert bo’lib qoladi.
8. Korrelyatsiya qilinadi. Ko’p bosqichli naqshlar bitta finding’ga birlashtiriladi — muvaffaqiyatsiz kirishlardan keyin muvaffaqiyatli kirish, skanerdan keyin exploit, serverdan serverga sakrab kirishlar, ma’lumot yig’ilib keyin tashqariga yuborilishi — va har bir hostning kill-chain bosqichi yangilanadi.
9. O’rganiladi. Hostning xulq-atvor bazasi yangilanadi. Yetti kunlik o’rganishdan keyin undan chetga chiqishlar baholanadi.

O’qib bo’lmaydigan hodisa administratorlar ko’ra oladigan dead-letter navbatiga tushadi. U jimgina tashlab yuborilmaydi.

AI tushuntiradi, aniqlamaydi

Aniqlash — yuqoridagi to’rt qatlam: qoidalar, fileless evristika, xulq-atvor bazasi va kill-chain korrelyatsiyasi. Til modeli analitik o’qiydigan tushuntirishni shu qatlamlar yig’gan dalillardan yozadi. AI tahlilchi sahifasiga qarang.

Alertdan javobgacha

Alert o’z dalillari, qoida mosliklari va MITRE ATT&CK texnikalari bilan ogohlantirishlar navbatiga tushadi. Analitik uni tasdiqlaydi, sabab bilan rad etadi yoki tekshiruvga ko’taradi.

Mashinani o’zgartiradigan javob choralari — izolyatsiya, jarayonni to’xtatish, faylni karantinga olish, USB xotirani bloklash — faqat odam qarori bilan bajariladi: ikkinchi odam tasdig’i yoki, tashkilotingiz bir kishiga ruxsat bergan bo’lsa, yangi autentifikator kodi. Izolyatsiya va jarayonni to’xtatish sahifasiga qarang.

Saqlash

Sukut bo’yicha platforma ma’lumotlarini WAL rejimidagi bitta SQLite fayl bazasida saqlaydi — o’quvchilar yozuvchilarni to’smaydi. Yuklangan fayllar va dalillar serverning o’z diskida saqlanadi.