Produit · Carte des accès
Voyez les accès depuis vos sources configurées
Comparez les autorisations aux observations de vos sources configurées. La carte affiche les origines et ressources résolues, avec les modes de lecture/écriture et l’attribution d’identité pris en charge par la source. Les origines ou ressources non résolues n’apparaissent pas. Aucun proxy obligatoire dans le chemin des données.
Le modèle
Modes de lecture/écriture
Chaque source fournit le mode d’accès qu’elle peut classifier. La carte enregistre des relations et des métadonnées limitées, sans texte SQL, paramètres, charges utiles ni secrets.
Lecture
Un accès classifié comme lecture par sa source. Affiché dans une teinte neutre.
Lecture / Écriture
Un accès classifié comme écriture ou lecture/écriture par sa source. Mis en évidence pour examen.
Mode inconnu
Si la source ne peut classifier un accès comme lecture ou écriture, son mode reste inconnu. C’est distinct du caractère ferme de son attribution à un agent.
Dérive du moindre privilège
Comparez les accès autorisés et observés
Comparez les autorisations reçues aux observations, avec l’identité liée à l’agent lorsqu’elle est disponible. Examinez les accès inattendus, les comparaisons en attente et les autorisations inutilisées dans le périmètre de collecte.
- Accès inattendu
Observé sans autorisation couvrante dans les données reçues. Vérifiez le périmètre de collecte avant de traiter ce résultat comme une violation.
- Réconciliation en attente
Le lien d’identité ou le mode d’accès ne permet pas encore de décider. Marqué en attente, sans être présenté comme une violation confirmée.
- Autorisations inutilisées
Non observé depuis le début de la collecte des sources. Avant de réduire une autorisation, vérifiez les sources actives, les observations stockées et si le résultat est tronqué. Les autorisations des annuaires LDAP, applications Okta/Entra et projets Infisical restent de l’inventaire.
Comment ça marche
Comparez autorisations et observations
Ce diagramme illustre la comparaison des autorisations et observations entre origines liées : accès concordants, écarts et relations déclarées.
Couverture
Couverture des ressources et attribution des origines
La couverture des ressources et la certitude d’attribution de l’origine sont distinctes. Chaque relation porte les deux niveaux ; un signal manquant n’est pas une preuve.
Couverture de la ressource
Le niveau de signal d’audit pris en charge pour un type de ressource.
- Propre
- Sources d’audit natives prises en charge, dont pgAudit et CloudTrail. Le graphe dépend des signaux configurés et collectés.
- Avec pertes
- Magasins documentaires et vectoriels : signal partiel, montré comme partiel — sans arrondir à la hausse.
- Opaque
- La carte actuelle traite Redis, SQLite, D1 et memcached comme opaques. Une fiche d’inventaire ne prouve pas un accès.
- Mixte
- Signaux coopératifs ou d’outils pour d’autres types de ressources, dont les outils MCP, les API HTTP et le shell.
Attribution de l’origine
À quel point un accès se rattache fermement à un agent précis.
- Ferme
- Une identité prise en charge ou un signal coopératif résout un agent ou une identité non humaine dédiée. Trait plein ; la carte n’émet pas d’identifiants.
- Approximatif
- Une identité est connue, mais les preuves ne résolvent pas un seul agent. Marqué approximatif.
- Inconnu
- Les signaux disponibles ne permettent pas une attribution par agent. Les ressources opaques utilisent aussi ce niveau lorsque l’attribution n’est pas ferme.
Couverture et attribution sont indépendantes. Un signal coopératif peut identifier fermement un agent même lorsque la couverture de la ressource est opaque.
Ce qui est réel
Sources configurées, requêtes auditées
Le graphe compare les observations et autorisations reçues. La lecture du graphe exige une autorisation et une entrée d’audit ; si l’ajout à l’audit échoue, la requête est refusée.
- L’ouverture de la carte est soumise à autorisation et ajoute une entrée d’audit à chaque requête réussie. Elle montre des relations, pas des contenus.
- Les signaux absents ou ambigus limitent l’attribution. Les résultats bornés peuvent être tronqués ; vérifiez le périmètre de collecte et les observations stockées avant de modifier une autorisation.
Carte des accès — questions
A-t-elle besoin d’un proxy ou d’un agent en ligne ?
Aucun proxy obligatoire. Configurez les sources d’audit et d’observation prises en charge ; le graphe contient uniquement les signaux qu’elles fournissent. Une source configurée ne rend pas tous les agents ou ressources visibles.
La carte stocke-t-elle mon SQL, mes charges utiles ou mes secrets ?
Le graphe stocke des relations et des métadonnées limitées. Sa liste de métadonnées autorisées exclut le texte SQL, les paramètres, les charges utiles et les secrets. Les modes de lecture/écriture viennent de la source lorsqu’elle les prend en charge.
Qu’en est-il des ressources que la carte traite comme opaques?
La carte actuelle marque ces types de ressources comme opaques. Une fiche d’inventaire ne prouve pas un accès. L’attribution d’origine dépend séparément des signaux d’identité reçus.
Comment distingue-t-elle lecture et lecture/écriture ?
La source fournit le mode qu’elle a classifié, lorsqu’elle le prend en charge. Le graphe conserve ce mode ; un accès non classifié reste inconnu.
Découvrez votre propre carte des accès
La carte des accès et l’inventaire des identités font partie de Community. Alimenter l’inventaire depuis un annuaire relève de Business (Identity & Scale).