Prodotto · Mappa degli accessi
Vedi cosa può raggiungere ogni agente — lettura o scrittura
Per ogni agente, sessione e identità, la mappa degli accessi mostra le risorse che tocca, separa le letture dalle scritture e segnala il momento in cui l'accesso osservato diverge da ciò che hai autorizzato. Rilevata passivamente dai segnali che già possiedi — nessun proxy nel percorso dei dati.
Nel prodotto
La mappa, dalla console reale
Uno screenshot autentico della console Olivares, popolato con dati di esempio. Le origini a sinistra, le risorse che toccano a destra, colorate per lettura, scrittura/RW, sconosciuto e approssimato. Aprire la mappa è un'azione privilegiata e tracciata — mostra relazioni, mai SQL, payload o segreti.
Il modello
Lettura, scrittura e l'onesto sconosciuto
Olivares classifica ogni accesso a livello del connettore, a partire dall'istruzione o dal verbo stesso — il tipo di SQL, il metodo HTTP, la semantica dello strumento MCP, la modalità di apertura del file. Registra la relazione, mai l'istruzione: nessun testo SQL, nessun parametro, nessun payload, nessun segreto.
Lettura
Un agente che si limita a leggere una risorsa — una SELECT, una GET, una chiamata a uno strumento di sola lettura. Disegnato in tono neutro e tranquillo.
Lettura / Scrittura
Un agente che può modificare una risorsa — una INSERT o UPDATE, uno strumento di scrittura, una chiamata che muta lo stato. Gli archi che determinano il tuo raggio d'impatto.
Sconosciuto · approssimato
Dove uno store non offre audit per singola identità, o il segnale è debole, Olivares lo dichiara — un arco tratteggiato e in secondo piano — invece di inventare una certezza.
Scostamento dal least-privilege
Autorizzato rispetto a osservato — il rilievo che conta
Lo scostamento è il divario tra l'accesso che hai concesso e l'accesso che avviene davvero. Olivares riconcilia un'osservazione attribuita a un agente con l'identità che quell'agente usa realmente, e mette in evidenza tre stati onesti.
- Accesso inatteso
Osservato, ma mai autorizzato. Il rilievo a massima priorità — un accesso che avviene senza alcuna concessione alle spalle.
- Riconciliazione in sospeso
Osservato senza una concessione corrispondente, ma il legame agente-identità è ancora irrisolto. Mostrato come in sospeso, non come violazione certa — incertezza onesta, non un allarme inventato.
- Concessioni inutilizzate
Autorizzato, ma mai osservato. Over-provisioning da restringere — il least privilege, al contrario.
Come funziona
Da concessioni e osservazioni a un unico verdetto
Olivares prende ciò che hai autorizzato e ciò che ha osservato, li riconcilia tra le origini e restituisce il risultato: una corrispondenza, uno scostamento o una relazione che può solo dichiarare — mai una che finge di aver visto.
Copertura, dichiarata con onestà
Due assi di fedeltà — e non ne falsifichiamo nessuno
Quanto bene una risorsa può essere sottoposta ad audit, e quanto saldamente un accesso si lega a uno specifico agente, sono due cose diverse. Olivares mostra entrambe, per ogni nodo, e degrada con eleganza invece di tirare a indovinare.
Copertura della risorsa
Quanto completamente la risorsa stessa può essere sottoposta ad audit.
- Pulita
- Audit nativo — Postgres pgAudit, AWS CloudTrail e simili. Fedeltà piena per singolo accesso.
- Con perdita
- Document e vector store: segnale parziale, mostrato come parziale — non arrotondato per eccesso.
- Opaca
- Redis, SQLite, D1 e simili non offrono audit per singola identità. Contrassegnati come opachi, mai promossi in silenzio.
Attribuzione dell'origine
Quanto saldamente un accesso si riconduce a uno specifico agente.
- Solida
- Un'identità non umana dedicata — una credenziale SPIFFE/WIF emessa per singolo agente. Disegnata continua.
- Approssimata
- Un account condiviso o in pool: l'accesso è reale, l'agente è ambiguo. Disegnata tratteggiata, etichettata come approssimata.
- Sconosciuta
- Nessun segnale di identità. Messa in secondo piano — e mai promossa a un agente con nome.
I due assi sono indipendenti: un accesso a uno store opaco può comunque essere attribuito in modo solido se un segnale cooperante ha indicato l'agente. Ciò che Olivares non farà è rappresentare l'approssimato o lo sconosciuto come se fosse solido.
Cosa è reale
Costruita e verificata — e onesta sui suoi limiti
La mappa degli accessi ha superato il gate del proof-of-concept tecnico ed è ciò che scrive il grafo. Due note oneste:
- Aprire la mappa è un'azione privilegiata e tracciata: ogni query sigilla una voce nel registro append-only. Serve alla revisione difensiva — relazioni, non contenuti.
- La fedeltà dipende dalle tue fonti. Collega l'audit nativo (pgAudit, CloudTrail) e le identità per singolo agente e la mappa è al massimo della nitidezza; senza, Olivares mostra il livello a fedeltà inferiore invece di una finzione sicura di sé.
Mappa degli accessi — domande
Serve un proxy o un agente inline?
No. Olivares rileva gli accessi passivamente dai segnali che già possiedi — audit nativo del database, log di audit del cloud, OpenTelemetry, eBPF e introspezione MCP. Non c'è alcun proxy obbligatorio nel percorso dei dati e nulla da sorvegliare.
La mappa memorizza il mio SQL, i payload o i segreti?
No. Ogni accesso è classificato dal verbo — il tipo di SQL, il metodo HTTP, la semantica dello strumento — e registrato come relazione: origine, risorsa, lettura o scrittura. Il testo dell'istruzione, i parametri, i payload e i segreti non vengono mai catturati.
E gli store senza audit per singola identità, come Redis?
Vengono contrassegnati come copertura opaca. Olivares mostra la relazione alla fedeltà che può effettivamente dimostrare ed etichetta il limite, invece di inventare un'attribuzione per singola identità che lo store non può supportare.
Come distingue la lettura dalla lettura/scrittura?
Dall'istruzione o dal verbo stesso, classificato a livello del connettore — una SELECT rispetto a una INSERT o UPDATE, una GET rispetto a un metodo che muta lo stato, una chiamata a uno strumento di sola lettura rispetto a una di scrittura. Il colore dell'arco segue di conseguenza: lettura, scrittura/RW o sconosciuto quando il segnale è debole.
Vedi la tua mappa degli accessi
Distribuisci Olivares sulla tua infrastruttura, puntalo sulle tue fonti di audit e ottieni la mappa lettura/scrittura che i tuoi team di piattaforma e sicurezza chiedono da tempo.