Produkt · Mapa dostępu
Zobacz dostęp ze skonfigurowanych źródeł
Porównuj uprawnienia z obserwacjami ze skonfigurowanych źródeł. Mapa pokazuje rozpoznane punkty pochodzenia dostępu i zasoby, wraz z trybami odczytu/zapisu i przypisaniem tożsamości, jeśli źródło je obsługuje. Nierozpoznane punkty pochodzenia dostępu i zasoby nie pojawiają się na mapie. Obowiązkowy proxy na ścieżce danych nie jest potrzebny.
Model
Tryby odczytu/zapisu
Każde źródło dostarcza tryb dostępu, który potrafi sklasyfikować. Mapa zapisuje relacje i ograniczone metadane, bez tekstu SQL, parametrów, danych żądań ani sekretów.
Odczyt
Dostęp sklasyfikowany przez źródło jako odczyt. Pokazany w neutralnym kolorze.
Odczyt / Zapis
Dostęp sklasyfikowany przez źródło jako zapis lub odczyt/zapis. Wyróżniony do sprawdzenia.
Nieznany tryb
Gdy źródło nie potrafi sklasyfikować dostępu jako odczytu lub zapisu, tryb pozostaje nieznany. To odrębne od pewności przypisania dostępu agentowi.
Odejście od zasady najmniejszych uprawnień
Porównuj dostęp dozwolony i zaobserwowany
Porównuj otrzymane uprawnienia z obserwacjami przez tożsamość powiązaną z agentem, jeśli jest dostępna. Sprawdzaj nieoczekiwany dostęp, oczekujące porównania i nieużywane uprawnienia w zakresie zbieranych danych.
- Nieoczekiwany dostęp
Zaobserwowano bez uprawnienia pokrywającego dostęp w otrzymanych danych. Sprawdź zakres zbierania danych, zanim uznasz wynik za naruszenie.
- Oczekuje na uzgodnienie
Powiązanie tożsamości lub tryb dostępu nie pozwalają jeszcze podjąć decyzji. Oznaczony jako oczekujący, bez przedstawiania go jako potwierdzonego naruszenia.
- Nieużywane uprawnienia
Nie zaobserwowano od rozpoczęcia zbierania danych przez źródła. Przed ograniczeniem uprawnienia sprawdź aktywne źródła, zapisane obserwacje i to, czy wynik jest ucięty. Uprawnienia do katalogów LDAP, aplikacji Okta/Entra i projektów Infisical pozostają inwentarzem.
Jak to działa
Porównuj uprawnienia i obserwacje
Ten diagram pokazuje porównanie uprawnień i obserwacji między powiązanymi punktami pochodzenia dostępu: zgodne dostępy, różnice i zadeklarowane relacje.
Pokrycie
Pokrycie zasobów i przypisanie pochodzenia dostępu
Pokrycie zasobów i pewność przypisania pochodzenia dostępu są odrębne. Każda relacja zawiera oba poziomy; brak sygnałów nie jest dowodem.
Pokrycie zasobu
Obsługiwany poziom sygnału audytu dla typu zasobu.
- Czyste
- Obsługiwane natywne źródła audytu, w tym pgAudit i CloudTrail. Graf zależy od skonfigurowanych i zebranych sygnałów.
- Ze stratami
- Magazyny dokumentów i magazyny wektorowe: częściowy sygnał, pokazany jako częściowy — nie zaokrąglony w górę.
- Nieprzejrzyste
- Obecna mapa traktuje Redis, SQLite, D1 i memcached jako nieprzejrzyste. Wpis inwentarza nie dowodzi pojedynczego dostępu.
- Mieszane
- Sygnały współpracy lub narzędzi dla innych typów zasobów, w tym narzędzi MCP, API HTTP i powłoki.
Przypisanie pochodzenia
Jak pewnie dostęp wiąże się z konkretnym agentem.
- Pewne
- Obsługiwana tożsamość lub sygnał współpracy rozpoznaje jednego agenta albo dedykowaną tożsamość nieludzką. Linia ciągła; mapa nie wystawia poświadczeń.
- Przybliżone
- Tożsamość jest znana, ale dowody nie rozpoznają jednego agenta. Oznaczone jako przybliżone przypisanie.
- Nieznane
- Dostępne sygnały nie pozwalają przypisać dostępu konkretnemu agentowi. Nieprzejrzyste zasoby też używają tego poziomu, gdy przypisanie nie jest pewne.
Pokrycie i przypisanie są niezależne. Sygnał współpracy może pewnie zidentyfikować agenta nawet przy nieprzejrzystym pokryciu zasobu.
Co jest rzeczywiste
Skonfigurowane źródła, audytowane zapytania
Graf porównuje otrzymane obserwacje i uprawnienia. Odczyt grafu wymaga autoryzacji i wpisu audytu; jeśli dodanie wpisu się nie powiedzie, zapytanie jest odrzucane.
- Otwarcie mapy wymaga uprawnienia i dodaje wpis audytu dla każdego udanego zapytania. Mapa pokazuje relacje, nie treść.
- Brakujące lub niejednoznaczne sygnały ograniczają przypisanie. Ograniczone wyniki zapytania mogą być ucięte; przed zmianą uprawnienia sprawdź zakres zbierania danych i zapisane obserwacje.
Mapa dostępu — pytania
Czy wymaga proxy lub agenta inline?
Obowiązkowy proxy nie jest potrzebny. Skonfiguruj obsługiwane źródła audytu i obserwacji; graf zawiera tylko dostarczone przez nie sygnały. Konfiguracja źródła nie sprawia, że każdy agent lub zasób staje się widoczny.
Czy mapa przechowuje mój SQL, dane żądań lub sekrety?
Graf przechowuje relacje i ograniczone metadane. Lista dozwolonych metadanych wyklucza tekst SQL, parametry, dane żądań i sekrety. Tryby odczytu/zapisu pochodzą ze źródła, jeśli są obsługiwane.
Co z zasobami, które mapa traktuje jako nieprzejrzyste?
Obecna mapa oznacza te typy zasobów jako nieprzejrzyste. Wpis inwentarza nie dowodzi dostępu. Przypisanie pochodzenia dostępu zależy osobno od otrzymanych sygnałów tożsamości.
Jak odróżnia odczyt od odczytu/zapisu?
Źródło dostarcza sklasyfikowany tryb, jeśli go obsługuje. Graf zachowuje ten tryb; niesklasyfikowany dostęp pozostaje nieznany.
Zobacz własną mapę dostępu
Mapa dostępu i inwentarz tożsamości należą do Community. Wypełnianie inwentarza z katalogu należy do Business (Identity & Scale).