Vai al contenuto

Prodotto · Mappa degli accessi

Vedi cosa può raggiungere ogni agente — lettura o scrittura

Per ogni agente, sessione e identità, la mappa degli accessi mostra le risorse che tocca, separa le letture dalle scritture e segnala il momento in cui l'accesso osservato diverge da ciò che hai autorizzato. Rilevata passivamente dai segnali che già possiedi — nessun proxy nel percorso dei dati.

Nel prodotto

La mappa, dalla console reale

Uno screenshot autentico della console Olivares, popolato con dati di esempio. Le origini a sinistra, le risorse che toccano a destra, colorate per lettura, scrittura/RW, sconosciuto e approssimato. Aprire la mappa è un'azione privilegiata e tracciata — mostra relazioni, mai SQL, payload o segreti.

Screenshot reale
Agenti e sessioni a sinistra raggiungono database, object store, API e integrazioni a destra. Il colore dell'arco codifica lettura o lettura/scrittura; un arco è segnalato come scrittura inattesa — scostamento dal least-privilege.
Screenshot reale
Passa a “autorizzato vs osservato” e la mappa confronta le tue concessioni con l'accesso reale: ciò che è stato osservato ma mai autorizzato, e ciò che è stato autorizzato ma mai utilizzato.

Il modello

Lettura, scrittura e l'onesto sconosciuto

Olivares classifica ogni accesso a livello del connettore, a partire dall'istruzione o dal verbo stesso — il tipo di SQL, il metodo HTTP, la semantica dello strumento MCP, la modalità di apertura del file. Registra la relazione, mai l'istruzione: nessun testo SQL, nessun parametro, nessun payload, nessun segreto.

Lettura

Un agente che si limita a leggere una risorsa — una SELECT, una GET, una chiamata a uno strumento di sola lettura. Disegnato in tono neutro e tranquillo.

Lettura / Scrittura

Un agente che può modificare una risorsa — una INSERT o UPDATE, uno strumento di scrittura, una chiamata che muta lo stato. Gli archi che determinano il tuo raggio d'impatto.

Sconosciuto · approssimato

Dove uno store non offre audit per singola identità, o il segnale è debole, Olivares lo dichiara — un arco tratteggiato e in secondo piano — invece di inventare una certezza.

Scostamento dal least-privilege

Autorizzato rispetto a osservato — il rilievo che conta

Lo scostamento è il divario tra l'accesso che hai concesso e l'accesso che avviene davvero. Olivares riconcilia un'osservazione attribuita a un agente con l'identità che quell'agente usa realmente, e mette in evidenza tre stati onesti.

  • Accesso inatteso

    Osservato, ma mai autorizzato. Il rilievo a massima priorità — un accesso che avviene senza alcuna concessione alle spalle.

  • Riconciliazione in sospeso

    Osservato senza una concessione corrispondente, ma il legame agente-identità è ancora irrisolto. Mostrato come in sospeso, non come violazione certa — incertezza onesta, non un allarme inventato.

  • Concessioni inutilizzate

    Autorizzato, ma mai osservato. Over-provisioning da restringere — il least privilege, al contrario.

Come funziona

Da concessioni e osservazioni a un unico verdetto

Olivares prende ciò che hai autorizzato e ciò che ha osservato, li riconcilia tra le origini e restituisce il risultato: una corrispondenza, uno scostamento o una relazione che può solo dichiarare — mai una che finge di aver visto.

Diagramma: le concessioni autorizzate e gli accessi osservati vengono confrontati; le corrispondenze sono confermate, le divergenze segnalate come scostamento in arancione e le relazioni dichiarate ma mai osservate disegnate tratteggiate.
Autorizzato vs osservato, riconciliato tra le origini. Il tratteggio indica dichiarato, mai osservato — disegnato onestamente, non nascosto.

Copertura, dichiarata con onestà

Due assi di fedeltà — e non ne falsifichiamo nessuno

Quanto bene una risorsa può essere sottoposta ad audit, e quanto saldamente un accesso si lega a uno specifico agente, sono due cose diverse. Olivares mostra entrambe, per ogni nodo, e degrada con eleganza invece di tirare a indovinare.

Copertura della risorsa

Quanto completamente la risorsa stessa può essere sottoposta ad audit.

Pulita
Audit nativo — Postgres pgAudit, AWS CloudTrail e simili. Fedeltà piena per singolo accesso.
Con perdita
Document e vector store: segnale parziale, mostrato come parziale — non arrotondato per eccesso.
Opaca
Redis, SQLite, D1 e simili non offrono audit per singola identità. Contrassegnati come opachi, mai promossi in silenzio.

Attribuzione dell'origine

Quanto saldamente un accesso si riconduce a uno specifico agente.

Solida
Un'identità non umana dedicata — una credenziale SPIFFE/WIF emessa per singolo agente. Disegnata continua.
Approssimata
Un account condiviso o in pool: l'accesso è reale, l'agente è ambiguo. Disegnata tratteggiata, etichettata come approssimata.
Sconosciuta
Nessun segnale di identità. Messa in secondo piano — e mai promossa a un agente con nome.

I due assi sono indipendenti: un accesso a uno store opaco può comunque essere attribuito in modo solido se un segnale cooperante ha indicato l'agente. Ciò che Olivares non farà è rappresentare l'approssimato o lo sconosciuto come se fosse solido.

Cosa è reale

Costruita e verificata — e onesta sui suoi limiti

La mappa degli accessi ha superato il gate del proof-of-concept tecnico ed è ciò che scrive il grafo. Due note oneste:

  • Aprire la mappa è un'azione privilegiata e tracciata: ogni query sigilla una voce nel registro append-only. Serve alla revisione difensiva — relazioni, non contenuti.
  • La fedeltà dipende dalle tue fonti. Collega l'audit nativo (pgAudit, CloudTrail) e le identità per singolo agente e la mappa è al massimo della nitidezza; senza, Olivares mostra il livello a fedeltà inferiore invece di una finzione sicura di sé.

Mappa degli accessi — domande

Serve un proxy o un agente inline?

No. Olivares rileva gli accessi passivamente dai segnali che già possiedi — audit nativo del database, log di audit del cloud, OpenTelemetry, eBPF e introspezione MCP. Non c'è alcun proxy obbligatorio nel percorso dei dati e nulla da sorvegliare.

La mappa memorizza il mio SQL, i payload o i segreti?

No. Ogni accesso è classificato dal verbo — il tipo di SQL, il metodo HTTP, la semantica dello strumento — e registrato come relazione: origine, risorsa, lettura o scrittura. Il testo dell'istruzione, i parametri, i payload e i segreti non vengono mai catturati.

E gli store senza audit per singola identità, come Redis?

Vengono contrassegnati come copertura opaca. Olivares mostra la relazione alla fedeltà che può effettivamente dimostrare ed etichetta il limite, invece di inventare un'attribuzione per singola identità che lo store non può supportare.

Come distingue la lettura dalla lettura/scrittura?

Dall'istruzione o dal verbo stesso, classificato a livello del connettore — una SELECT rispetto a una INSERT o UPDATE, una GET rispetto a un metodo che muta lo stato, una chiamata a uno strumento di sola lettura rispetto a una di scrittura. Il colore dell'arco segue di conseguenza: lettura, scrittura/RW o sconosciuto quando il segnale è debole.

Vedi la tua mappa degli accessi

Distribuisci Olivares sulla tua infrastruttura, puntalo sulle tue fonti di audit e ottieni la mappa lettura/scrittura che i tuoi team di piattaforma e sicurezza chiedono da tempo.