Elke verbinding in de toegangskaart draagt twee onafhankelijke feiten: of de toegang toegestaan is en of deze is waargenomen. Het verschil tussen die twee lagen is het onderscheidende kenmerk — het is wat een statische grafiek verandert in een bevinding.
Twee lagen op één verbinding
De kaart houdt geen apart “beleidsgrafiek” en “telemetriegrafiek” bij. Elke verbinding is een enkele relatie (oorsprong naar resource, getypeerd als lezen of lezen-schrijven) die beide vlaggen draagt:
- Toegestaan — een toekenning of beleid staat deze toegang toe. De signaalbron is het gedeclareerde beleid zelf.
- Waargenomen — de toegang werd daadwerkelijk gezien, afgeleid van telemetrie en native audit (OpenTelemetry van coöperatieve agents, PostgreSQL pgAudit, cloud- auditlogs, een kernel-level eBPF-backstop).
Een nuance die ertoe doet voor eerlijkheid: niet toegestaan betekent “niet bekend als toegestaan”, niet “verboden”. De kaart registreert wat het kan bewijzen uit gedeclareerde toekenningen; de afwezigheid van een toekenning is een gat om te onderzoeken, geen handhavingsbesluit.
Het verschil: waar de waarde zit
Least-privilege-drift is simpelweg de set verbindingen waar de twee vlaggen niet overeenkomen. Het splitst zich in twee operationeel verschillende bevindingen:
- Onverwachte toegang — waargenomen maar niet toegestaan. Een agent heeft een resource aangeraakt die geen toekenning dekt. Dit is de beveiligingsrelevante helft, getoond als de hoofdbevinding.
- Ongebruikte toekenningen — toegestaan maar nooit waargenomen. Een toekenning die niemand ooit heeft uitgeoefend. Dit is je concrete least-privilege-opschoningslijst, geen vage “controleer je IAM”-herinnering.
De verbindingen waar beide vlaggen overeenkomen — toegestaan en gebruikt, of geen van beide — zijn de saaie, verwachte stabiele toestand. Het verschil is het kleine, actiegericht stuk ertussen.
Eerlijkheid binnen het verschil
Een naïef verschil produceert valse bevindingen, dus de reconciliatie is bewust conservatief.
Reconciliatie in afwachting
Audit schrijft een toegang toe aan een credential of rol; een toekenning is geschreven tegen een
identiteit; een coöperatief signaal noemt een agent of sessie. Wanneer de toegangskaart
de handelende agent nog niet stevig kan koppelen aan de identiteit waarvoor zijn toekenning is geschreven, kan het
niet bewijzen dat de toegang is toegestaan — maar het mag het ook niet als overtreding
koppen. Zulke verbindingen worden gemarkeerd als reconciliation_pending: eerlijke
onzekerheid, geen verzonnen bevinding. Ze lossen schoon op zodra per-agent-identiteit
de credential aan de agent koppelt.
Toekenningen op resources die niemand bewaakt
Sommige toekenningen bestaan op resourcetypen die geen waargenomen-zijde-collector hebben — er is niets dat bewaakt wie daadwerkelijk een LDAP-directory of een IdP-app-toewijzing heeft gebruikt. Daarvoor is “nooit waargenomen” de verwachte stabiele toestand, geen bewijs van overmatige toekenning. Ze worden buiten de hoofdlijst van ongebruikte toekenningen gehouden in plaats van deze op te blazen met ruis.
Dekking en attributie reizen nog steeds mee met de verbinding
Het verschil erft de gelaagde betrouwbaarheid van de onderliggende
verbindingen. Op een opaque opslagplaats (Redis, SQLite, D1) is er helemaal geen passief lees/schrijf-
signaal, dus de afwezigheid van een waargenomen verbinding is geen bewijs dat de toegang niet
heeft plaatsgevonden — het is stilte. Evenzo comprimeert een gedeeld serviceaccount attributie tot
approximate. Het verschil presenteert een laag-vertrouwen-bevinding nooit alsof deze stevig is.
Wanneer het verschil berekend wordt over een gedeeltelijk venster (een zeer groot domein dat de paginalimiet overschrijdt), wordt het resultaat expliciet gemarkeerd als gedeeltelijk in plaats van gepresenteerd als gezaghebbend.
Detectief, niet in het pad
Het produceren van dit verschil is een out-of-band, detectieve activiteit. Het control plane draait in je eigen infrastructuur (en kan air-gapped zijn); het observeert via logs, OpenTelemetry en native audit, en het zit niet in het verzoekpad tussen een agent en zijn resources. Een falende collector breekt nooit productieverkeer.
Twee gevolgen volgen. Ten eerste is het verschil een rapport, geen gate: het toont wat al is gebeurd. Waar het product handelt naar een bevinding, doet het dat deny-closed en on-demand — nooit als een generieke executor. Ten tweede is het lezen van het verschil zelf een geprivilegieerde, tenant-afgebakende, volledig geauditeerde actie: het inspecteren van wie-kan-wat-bereiken is verkenningsrelevant, en het leesverzoek wordt vastgelegd in het append-only auditlogboek voordat enige verbinding wordt geretourneerd.
Dit is ook waarom het verschil veilig is om uit te voeren op gevoelige domeinen: de kaart slaat de relatie op — oorsprong, resource, lezen/schrijven, bron, betrouwbaarheid, tijdstempels — nooit de payloads, SQL-body’s, geheimen of PII die over de verbinding stroomden. Wat niet wordt opgeslagen, kan niet lekken.
Gerelateerd
- De lees/schrijf-toegangskaart — de grafiek waarover dit verschil wordt berekend.
- Betrouwbaarheid — hoe dekking- en attributietiers worden afgeleid.
- Besturen en goedkeuren — handelen naar een bevinding.
- Toegangskaart-producttour — de toegestaan-versus-waargenomen-overlay op een echte opname.