Produkt · Zugriffskarte
Sehen Sie Zugriffe aus Ihren konfigurierten Quellen
Vergleichen Sie Berechtigungen mit Beobachtungen aus Ihren konfigurierten Quellen. Die Karte zeigt aufgelöste Ursprünge und Ressourcen samt Lese-/Schreibmodus und Identitätszuordnung, soweit die Quelle dies unterstützt. Nicht aufgelöste Ursprünge oder Ressourcen erscheinen nicht. Kein verpflichtender Proxy im Datenpfad.
Das Modell
Lese-/Schreibmodi
Jede Quelle liefert den Zugriffsmodus, den sie bestimmen kann. Die Karte speichert Beziehungen und begrenzte Metadaten, keine SQL-Texte, Parameter, Nutzdaten oder Geheimnisse.
Lesen
Ein von der Quelle als Lesen klassifizierter Zugriff. In neutraler Farbe dargestellt.
Lesen / Schreiben
Ein von der Quelle als Schreiben oder Lesen/Schreiben klassifizierter Zugriff. Zur Prüfung hervorgehoben.
Unbekannter Modus
Kann die Quelle einen Zugriff nicht als Lesen oder Schreiben einordnen, bleibt sein Modus unbekannt. Das ist unabhängig davon, wie eindeutig der Zugriff einem Agenten zugeordnet werden kann.
Least-Privilege-Drift
Erlaubte und beobachtete Zugriffe vergleichen
Vergleichen Sie gelieferte Berechtigungen mit Beobachtungen anhand der verknüpften Agentenidentität, soweit verfügbar. Prüfen Sie unerwartete Zugriffe, ausstehende Vergleiche und ungenutzte Berechtigungen innerhalb des Erfassungsumfangs.
- Unerwarteter Zugriff
In den gelieferten Daten ohne abdeckende Berechtigung beobachtet. Prüfen Sie den Erfassungsumfang, bevor Sie den Befund als Verstoß behandeln.
- Abgleich ausstehend
Identitätsverknüpfung oder Zugriffsmodus erlauben noch keine Entscheidung. Als ausstehend markiert, ohne einen bestätigten Verstoß zu behaupten.
- Ungenutzte Berechtigungen
Seit Beginn der Erfassung durch die Quellen nicht beobachtet. Prüfen Sie vor einer Einschränkung aktive Quellen, gespeicherte Beobachtungen und eine mögliche Kürzung des Ergebnisses. Berechtigungen für LDAP-Verzeichnisse, Okta/Entra-Apps und Infisical-Projekte bleiben Inventar.
So funktioniert es
Berechtigungen und Beobachtungen vergleichen
Dieses Diagramm zeigt den Vergleich von Berechtigungen und Beobachtungen über verknüpfte Ursprünge: übereinstimmende Zugriffe, Unterschiede und deklarierte Beziehungen.
Abdeckung
Ressourcenabdeckung und Ursprungszuordnung
Ressourcenabdeckung und Sicherheit der Ursprungszuordnung sind unabhängig. Jede Beziehung trägt beide Stufen. Fehlende Signale gelten nicht als Beweis.
Ressourcenabdeckung
Die unterstützte Auditsignalstufe eines Ressourcentyps.
- Sauber
- Unterstützte native Auditquellen wie pgAudit und CloudTrail. Der Graph hängt von den konfigurierten und erfassten Signalen ab.
- Verlustbehaftet
- Dokument- und Vector Stores: teilweises Signal, als teilweise ausgewiesen — nicht aufgerundet.
- Opak
- Die aktuelle Karte behandelt Redis, SQLite, D1 und memcached als opak. Ein Inventareintrag belegt keinen einzelnen Zugriff.
- Gemischt
- Kooperative oder Werkzeugsignale für andere Ressourcentypen, darunter MCP-Werkzeuge, HTTP-APIs und Shell.
Ursprungszuordnung
Wie eindeutig sich ein Zugriff auf einen bestimmten Agenten zurückführen lässt.
- Eindeutig
- Eine unterstützte Identität oder ein kooperatives Signal löst einen Agenten oder eine dedizierte nichtmenschliche Identität auf. Durchgezogene Linie; die Karte stellt keine Zugangsdaten aus.
- Näherungsweise
- Eine Identität ist bekannt, aber die Belege lösen keinen einzelnen Agenten auf. Als näherungsweise markiert.
- Unbekannt
- Die vorhandenen Signale erlauben keine Zuordnung zu einem Agenten. Opake Ressourcen verwenden diese Stufe ebenfalls, wenn die Zuordnung nicht eindeutig ist.
Abdeckung und Zuordnung sind unabhängig. Ein kooperatives Signal kann einen Agenten eindeutig identifizieren, auch bei opaker Ressourcenabdeckung.
Was real ist
Konfigurierte Quellen, auditierte Abfragen
Der Graph vergleicht gelieferte Beobachtungen und Berechtigungen. Das Lesen des Graphen erfordert eine Autorisierung und einen Auditeintrag. Scheitert dessen Anfügen, wird die Abfrage abgelehnt.
- Das Öffnen der Karte setzt eine Berechtigung voraus und fügt bei jeder erfolgreichen Abfrage einen Auditeintrag hinzu. Die Karte zeigt Beziehungen, keine Inhalte.
- Fehlende oder mehrdeutige Signale begrenzen die Zuordnung. Begrenzte Abfrageergebnisse können gekürzt sein; prüfen Sie Erfassungsumfang und gespeicherte Beobachtungen, bevor Sie eine Berechtigung ändern.
Zugriffskarte — Fragen
Braucht es einen Proxy oder einen Inline-Agenten?
Ein verpflichtender Proxy ist nicht nötig. Konfigurieren Sie unterstützte Audit- und Beobachtungsquellen. Der Graph enthält nur deren Signale. Eine konfigurierte Quelle macht nicht jeden Agenten oder jede Ressource sichtbar.
Speichert die Karte mein SQL, meine Nutzdaten oder Geheimnisse?
Der Graph speichert Beziehungen und begrenzte Metadaten. Seine Metadaten-Zulassungsliste schließt SQL-Texte, Parameter, Nutzdaten und Geheimnisse aus. Lese-/Schreibmodi stammen aus der Quelle, soweit unterstützt.
Was gilt für Ressourcen, die die Karte als opak behandelt?
Die aktuelle Karte markiert diese Ressourcentypen als opak. Ein Inventareintrag belegt keinen Zugriff. Die Ursprungszuordnung hängt unabhängig davon von den empfangenen Identitätssignalen ab.
Wie unterscheidet es Lesen von Lesen/Schreiben?
Die Quelle liefert ihren bestimmten Modus, soweit unterstützt. Der Graph übernimmt diesen Modus. Ein nicht klassifizierter Zugriff bleibt unbekannt.
Sehen Sie Ihre eigene Zugriffskarte
Die Zugriffskarte und das Identitätsinventar gehören zu Community. Das Inventar aus einem Verzeichnis zu befüllen, gehört zu Business (Identity & Scale).