Product · Toegangskaart
Bekijk toegang uit uw geconfigureerde bronnen
Vergelijk toegangsrechten met waarnemingen uit uw geconfigureerde bronnen. De kaart toont opgeloste oorsprongen en resources, met lees-/schrijfmodi en identiteitstoeschrijving waar de bron die ondersteunt. Niet-opgeloste oorsprongen of resources verschijnen niet. Geen verplichte proxy in het datapad.
Het model
Lees-/schrijfmodi
Elke bron levert de toegangsmodus die zij kan classificeren. De kaart legt relaties en beperkte metadata vast, geen SQL-tekst, parameters, payloads of geheimen.
Lezen
Een toegang die de bron als lezen heeft geclassificeerd. In een neutrale kleur getoond.
Lezen / Schrijven
Een toegang die de bron als schrijven of lezen/schrijven heeft geclassificeerd. Gemarkeerd voor beoordeling.
Onbekende modus
Als de bron een toegang niet als lezen of schrijven kan classificeren, blijft de modus onbekend. Dat staat los van hoe zeker de toegang aan een agent kan worden toegeschreven.
Least-privilege drift
Vergelijk toegestane en waargenomen toegang
Vergelijk ontvangen rechten met waarnemingen via de gekoppelde agentidentiteit, waar beschikbaar. Beoordeel onverwachte toegang, wachtende vergelijkingen en ongebruikte rechten binnen het verzamelbereik.
- Onverwachte toegang
Waargenomen zonder dekkend recht in de ontvangen gegevens. Controleer het verzamelbereik voordat u de bevinding als overtreding behandelt.
- In afwachting van verzoening
De identiteitskoppeling of toegangsmodus laat nog geen beslissing toe. Als in afwachting gemarkeerd, zonder een bevestigde overtreding te suggereren.
- Ongebruikte rechten
Niet waargenomen sinds het begin van de verzameling door de bronnen. Controleer actieve bronnen, opgeslagen waarnemingen en eventuele afkapping van het resultaat voordat u een recht beperkt. Rechten voor LDAP-directory’s, Okta/Entra-apps en Infisical-projecten blijven inventaris.
Hoe het werkt
Vergelijk rechten en waarnemingen
Dit diagram toont de vergelijking van rechten en waarnemingen tussen gekoppelde oorsprongen: overeenkomende toegang, verschillen en gedeclareerde relaties.
Dekking
Resourcedekking en toeschrijving van de oorsprong
Resourcedekking en zekerheid over de toeschrijving van de oorsprong zijn verschillend. Elke relatie draagt beide niveaus; ontbrekende signalen gelden niet als bewijs.
Resource-dekking
Het ondersteunde niveau van auditsignalen voor een resourcetype.
- Schoon
- Ondersteunde native auditbronnen, waaronder pgAudit en CloudTrail. De graaf hangt af van de signalen die u configureert en verzamelt.
- Met verlies
- Document- en vector stores: gedeeltelijk signaal, getoond als gedeeltelijk — niet naar boven afgerond.
- Ondoorzichtig
- De huidige kaart behandelt Redis, SQLite, D1 en memcached als ondoorzichtig. Een inventarisrecord bewijst geen toegang.
- Gemengd
- Samenwerkende of toolsignalen voor andere resourcetypen, waaronder MCP-tools, HTTP-API’s en shell.
Toeschrijving van oorsprong
Hoe zeker een toegang terug te koppelen is aan een specifieke agent.
- Zeker
- Een ondersteunde identiteit of een samenwerkend signaal herkent één agent of een eigen niet-menselijke identiteit. Doorgetrokken lijn; de kaart geeft geen inloggegevens uit.
- Bij benadering
- Een identiteit is bekend, maar het bewijs herkent niet één agent. Bij benadering gemarkeerd.
- Onbekend
- De beschikbare signalen ondersteunen geen toeschrijving per agent. Ondoorzichtige resources gebruiken dit niveau ook als de toeschrijving niet zeker is.
Dekking en toeschrijving zijn onafhankelijk. Een samenwerkend signaal kan een agent zeker herkennen, ook als de resourcedekking ondoorzichtig is.
Wat echt is
Geconfigureerde bronnen, gecontroleerde query’s
De graaf vergelijkt ontvangen waarnemingen en rechten. Het lezen van de graaf vereist autorisatie en een auditrecord. Mislukt het toevoegen van dat record, dan wordt de query geweigerd.
- Het openen van de kaart vereist toestemming en voegt voor elke geslaagde query een auditregel toe. De kaart toont relaties, geen inhoud.
- Ontbrekende of dubbelzinnige signalen beperken de toeschrijving. Begrensde queryresultaten kunnen zijn afgekapt; controleer het verzamelbereik en opgeslagen waarnemingen voordat u een recht wijzigt.
Toegangskaart — vragen
Is er een proxy of een inline agent nodig?
Een verplichte proxy is niet nodig. Configureer ondersteunde audit- en observatiebronnen; de graaf bevat alleen de signalen die zij leveren. Een geconfigureerde bron maakt niet elke agent of resource zichtbaar.
Slaat de kaart mijn SQL, payloads of geheimen op?
De graaf bewaart relaties en beperkte metadata. De lijst met toegestane metadata sluit SQL-tekst, parameters, payloads en geheimen uit. Lees-/schrijfmodi komen uit de bron waar ondersteund.
Hoe zit het met resources die de kaart als ondoorzichtig behandelt?
De huidige kaart markeert deze resourcetypen als ondoorzichtig. Een inventarisrecord bewijst geen toegang. Toeschrijving van de oorsprong hangt apart af van de ontvangen identiteitssignalen.
Hoe onderscheidt het lezen van lezen/schrijven?
De bron levert de geclassificeerde modus waar ondersteund. De graaf bewaart die modus; een niet geclassificeerde toegang blijft onbekend.
Bekijk uw eigen toegangskaart
De toegangskaart en de identiteitsinventaris horen bij Community. De inventaris vullen vanuit een directory hoort bij Business (Identity & Scale).