Jede Kante in der Zugriffskarte trägt zwei unabhängige Fakten: ob der Zugriff erlaubt ist und ob er beobachtet wurde. Der Abgleich zwischen diesen beiden Ebenen ist das Unterscheidungsmerkmal — er verwandelt einen statischen Graphen in einen Befund.
Zwei Ebenen auf einer Kante
Die Karte führt keinen separaten “Richtlinien-Graphen” und “Telemetrie-Graphen”. Jede Kante ist eine einzelne Beziehung (Ursprung zu Ressource, typisiert als Lesen oder Lesen-Schreiben), die beide Flags trägt:
- Erlaubt — eine Berechtigung oder Richtlinie erlaubt diesen Zugriff. Die Signalquelle ist die deklarierte Richtlinie selbst.
- Beobachtet — der Zugriff wurde tatsächlich gesehen, abgeleitet aus Telemetrie und nativem Audit (OpenTelemetry von kooperativen Agenten, PostgreSQL pgAudit, Cloud-Audit-Logs, ein Kernel-Level eBPF-Backstop).
Eine Nuance, die für die Ehrlichkeit wichtig ist: nicht erlaubt bedeutet “nicht bekannt als erlaubt”, nicht “verboten”. Die Karte zeichnet auf, was sie aus deklarierten Berechtigungen beweisen kann; das Fehlen einer Berechtigung ist eine zu untersuchende Lücke, kein Durchsetzungsurteil.
Der Abgleich: Wo der Wert liegt
Least-Privilege-Drift ist einfach die Menge der Kanten, bei denen die beiden Flags nicht übereinstimmen. Er teilt sich in zwei operativ unterschiedliche Befunde auf:
- Unerwarteter Zugriff — beobachtet, aber nicht erlaubt. Ein Agent hat eine Ressource berührt, die keine Berechtigung abdeckt. Das ist die sicherheitsrelevante Hälfte, hervorgehoben als Hauptbefund.
- Ungenutzte Berechtigungen — erlaubt, aber nie beobachtet. Eine Berechtigung, die niemand jemals ausgeübt hat. Das ist Ihre konkrete Least-Privilege-Bereinigungsliste, nicht eine vage “Überprüfen-Sie-Ihr-IAM”-Erinnerung.
Die Kanten, bei denen beide Flags übereinstimmen — erlaubt und genutzt, oder keines von beidem — sind der langweilige, erwartete Normalzustand. Der Abgleich ist die kleine, handlungsrelevante Schnittmenge dazwischen.
Ehrlichkeit innerhalb des Abgleichs
Ein naiver Abgleich produziert falsche Befunde, daher ist die Abstimmung bewusst konservativ.
Abstimmung ausstehend
Audit ordnet einen Zugriff einem Credential oder einer Rolle zu; eine Berechtigung ist
gegen eine Identität geschrieben; ein kooperatives Signal benennt einen Agenten oder eine
Sitzung. Wenn die Zugriffskarte den handelnden Agenten noch nicht sicher mit der Identität
verknüpfen kann, für die seine Berechtigung geschrieben wurde, kann sie den Zugriff
nicht als erlaubt beweisen — aber sie darf ihn auch nicht als Verstoß hervorheben. Solche
Kanten werden als reconciliation_pending markiert: ehrliche Unsicherheit, kein
fabrizierter Befund. Sie lösen sich sauber auf, sobald die Pro-Agent-Identität das
Credential mit dem Agenten verknüpft.
Berechtigungen auf Ressourcen, die niemand überwacht
Einige Berechtigungen existieren auf Ressourcenarten, die keinen Beobachtungs-Kollektor haben — es gibt nichts, das überwacht, wer tatsächlich ein LDAP-Verzeichnis oder eine IdP-App-Zuweisung genutzt hat. Für diese ist “nie beobachtet” der erwartete Normalzustand, kein Beweis für Überversorgung. Sie werden aus der Hauptliste ungenutzter Berechtigungen herausgehalten, anstatt sie mit Rauschen aufzublähen.
Abdeckung und Zuordnung reisen weiterhin mit der Kante
Der Abgleich erbt die gestufte Genauigkeit der zugrunde
liegenden Kanten. Bei einem opaque-Speicher (Redis, SQLite, D1) gibt es überhaupt
kein passives Lese-/Schreibsignal, sodass das Fehlen einer beobachteten Kante kein
Beweis ist, dass der Zugriff nicht stattfand — es ist Stille. Ebenso kollabiert ein
gemeinsames Dienstkonto die Zuordnung zu approximate. Der Abgleich präsentiert nie
einen Befund mit niedriger Konfidenz, als wäre er sicher.
Wenn der Abgleich über ein partielles Fenster berechnet wird (eine sehr große Umgebung, die die Seitengrenze überschreitet), wird das Ergebnis explizit als partiell markiert, anstatt als autoritativ dargestellt.
Detektiv, nicht im Pfad
Die Erstellung dieses Abgleichs ist eine außerhalb-des-Pfads, detektive Aktivität. Die Steuerungsebene läuft in Ihrer eigenen Infrastruktur (und kann air-gapped sein); sie beobachtet durch Logs, OpenTelemetry und natives Audit, und sie sitzt nicht im Anfragepfad zwischen einem Agenten und seinen Ressourcen. Ein ausfallender Kollektor unterbricht nie den Produktionsverkehr.
Zwei Konsequenzen folgen. Erstens ist der Abgleich ein Bericht, kein Tor: Er zeigt auf, was bereits passiert ist. Wo das Produkt auf einen Befund reagiert, tut es dies standardmäßig-ablehnend und auf Anfrage — nie als pauschaler Ausführer. Zweitens ist das Lesen des Abgleichs selbst eine privilegierte, mandantenbezogene, vollständig auditierte Aktion: Der Akt der Inspektion, wer-was-erreichen-kann, ist aufklärungsrelevant, und der Lesevorgang wird im nur-anhängenden Audit-Ledger aufgezeichnet, bevor eine Kante zurückgegeben wird.
Das ist auch der Grund, warum der Abgleich sicher auf sensiblen Umgebungen ausgeführt werden kann: Die Karte speichert die Beziehung — Ursprung, Ressource, Lesen/Schreiben, Quelle, Konfidenz, Zeitstempel — nie die Payloads, SQL-Körper, Geheimnisse oder PII, die über die Kante flossen. Was nicht gespeichert ist, kann nicht leaken.
Verwandte Themen
- Die Lese-/Schreib-Zugriffskarte — der Graph, über den dieser Abgleich läuft.
- Genauigkeit — wie Abdeckungs- und Zuordnungsstufen abgeleitet werden.
- Steuern und Genehmigen — auf einen Befund reagieren.
- Zugriffskarten-Produkttour — die Erlaubt-vs-Beobachtet-Überlagerung auf einem echten Capture.