Producto · Mapa de acceso
Ve el acceso desde tus fuentes configuradas
Compara los permisos con las observaciones de tus fuentes configuradas. El mapa muestra orígenes y recursos resueltos, con modos de lectura/escritura y atribución de identidad cuando la fuente los admite. Los orígenes o recursos sin resolver no aparecen. No exige un proxy en la ruta de datos.
El modelo
Modos de lectura/escritura
Cada fuente aporta el modo de acceso que puede clasificar. El mapa registra relaciones y metadatos limitados, no texto SQL, parámetros, cargas útiles ni secretos.
Lectura
Un acceso que su fuente clasifica como lectura. Se muestra en un tono neutro.
Lectura / Escritura
Un acceso que su fuente clasifica como escritura o lectura/escritura. Se destaca para su revisión.
Modo desconocido
Si la fuente no puede clasificar un acceso como lectura o escritura, su modo queda desconocido. Es distinto de la firmeza con la que se atribuye ese acceso a un agente.
Deriva de mínimo privilegio
Compara el acceso permitido y observado
Compara los permisos recibidos con las observaciones, usando la identidad vinculada al agente cuando esté disponible. Revisa el acceso inesperado, las comparaciones pendientes y los permisos sin uso dentro del alcance de la recogida.
- Acceso inesperado
Observado sin un permiso que lo cubra en los datos recibidos. Revisa el alcance de la recogida antes de tratar el hallazgo como una infracción.
- Reconciliación pendiente
El vínculo de identidad o el modo de acceso aún no permiten decidir. Se marca como pendiente, sin presentarlo como una infracción confirmada.
- Permisos sin usar
No observado desde que las fuentes empezaron a recoger datos. Antes de reducir un permiso, comprueba las fuentes activas, las observaciones guardadas y si el resultado está truncado. Los permisos de directorios LDAP, aplicaciones Okta/Entra y proyectos Infisical siguen siendo inventario.
Cómo funciona
Compara permisos y observaciones
Este diagrama ilustra la comparación de permisos y observaciones entre orígenes vinculados: accesos coincidentes, diferencias y relaciones declaradas.
Cobertura
Cobertura del recurso y atribución del origen
La cobertura del recurso y la certeza de la atribución del origen son distintas. Cada relación incluye ambos niveles; la ausencia de señales no se trata como una prueba.
Cobertura del recurso
El nivel de señal de auditoría admitido para un tipo de recurso.
- Limpia
- Fuentes de auditoría nativas compatibles, como pgAudit y CloudTrail. El grafo depende de las señales que configures y recojas.
- Con pérdidas
- Almacenes documentales y vectoriales: señal parcial, mostrada como parcial — sin redondear al alza.
- Opaca
- El mapa actual trata Redis, SQLite, D1 y memcached como opacos. Un registro de inventario no demuestra un acceso.
- Mixta
- Señales cooperativas o de herramientas para otros tipos de recurso, como herramientas MCP, API HTTP y shell.
Atribución del origen
Cómo de firme es el vínculo de un acceso con un agente concreto.
- Firme
- Una identidad compatible o una señal cooperativa resuelve un agente o una identidad no humana dedicada. Línea continua; el mapa no emite credenciales.
- Aproximada
- Se conoce una identidad, pero la evidencia no resuelve un único agente. Se marca como aproximada.
- Desconocida
- Las señales disponibles no permiten atribuir el acceso a un agente. Los recursos opacos también usan este nivel cuando la atribución no es firme.
La cobertura y la atribución son independientes. Una señal cooperativa puede identificar con firmeza a un agente incluso si la cobertura del recurso es opaca.
Qué es real
Fuentes configuradas, consultas auditadas
El grafo compara las observaciones y los permisos recibidos. Su consulta requiere autorización y una entrada de auditoría; si falla su escritura, la consulta se rechaza.
- Abrir el mapa requiere permiso y deja una entrada de auditoría por cada consulta correcta. Muestra relaciones, no contenidos.
- Las señales ausentes o ambiguas limitan la atribución. Los resultados acotados pueden estar truncados; revisa el alcance de la recogida y las observaciones guardadas antes de cambiar un permiso.
Mapa de acceso — preguntas
¿Necesita un proxy o un agente en línea?
No exige un proxy. Configura fuentes de auditoría y observación compatibles; el grafo solo contiene las señales que aportan. Configurar una fuente no hace visibles todos los agentes o recursos.
¿El mapa guarda mi SQL, cargas útiles o secretos?
El grafo guarda relaciones y metadatos limitados. Su lista de metadatos permitidos excluye texto SQL, parámetros, cargas útiles y secretos. El modo de lectura/escritura procede de la fuente cuando lo admite.
¿Qué ocurre con los recursos que el mapa trata como opacos?
El mapa actual marca estos tipos de recurso como opacos. Un registro de inventario no demuestra un acceso. La atribución del origen depende por separado de las señales de identidad recibidas.
¿Cómo distingue lectura de lectura/escritura?
La fuente aporta el modo que ha clasificado, cuando lo admite. El grafo conserva ese modo; un acceso sin clasificar queda como desconocido.
Mira tu propio mapa de acceso
El mapa de acceso y el inventario de identidades forman parte de Community. Llenar el inventario desde un directorio es Business (Identity & Scale).