Produto · Mapa de acessos
Veja os acessos das suas fontes configuradas
Compare permissões com observações das suas fontes configuradas. O mapa mostra origens e recursos resolvidos, com modos de leitura/escrita e atribuição de identidade quando a fonte os suporta. Origens ou recursos não resolvidos não aparecem. Não exige proxy no caminho dos dados.
O modelo
Modos de leitura/escrita
Cada fonte fornece o modo de acesso que consegue classificar. O mapa regista relações e metadados limitados, não texto SQL, parâmetros, payloads ou segredos.
Leitura
Um acesso classificado como leitura pela sua fonte. Apresentado em tom neutro.
Leitura / Escrita
Um acesso classificado como escrita ou leitura/escrita pela sua fonte. Destacado para revisão.
Modo desconhecido
Se a fonte não consegue classificar um acesso como leitura ou escrita, o modo permanece desconhecido. Isso é distinto da firmeza com que o acesso pode ser atribuído a um agente.
Desvio do princípio de least-privilege
Compare o acesso permitido e observado
Compare permissões recebidas com observações, usando a identidade vinculada ao agente quando disponível. Examine acessos inesperados, comparações pendentes e permissões não utilizadas dentro do âmbito da recolha.
- Acesso inesperado
Observado sem uma permissão que o cubra nos dados recebidos. Verifique o âmbito da recolha antes de tratar o resultado como violação.
- Reconciliação pendente
O vínculo de identidade ou o modo de acesso ainda não permitem uma decisão. Marcado como pendente, sem ser apresentado como violação confirmada.
- Permissões não utilizadas
Não observado desde o início da recolha das fontes. Antes de reduzir uma permissão, verifique as fontes ativas, as observações armazenadas e se o resultado foi truncado. Permissões de diretórios LDAP, aplicações Okta/Entra e projetos Infisical continuam como inventário.
Como funciona
Compare permissões e observações
Este diagrama ilustra a comparação de permissões e observações entre origens vinculadas: acessos correspondentes, diferenças e relações declaradas.
Cobertura
Cobertura de recursos e atribuição de origens
A cobertura do recurso e a certeza da atribuição da origem são distintas. Cada relação inclui os dois níveis; sinais ausentes não são tratados como prova.
Cobertura do recurso
O nível de sinal de auditoria suportado para um tipo de recurso.
- Limpo
- Fontes nativas de auditoria compatíveis, incluindo pgAudit e CloudTrail. O grafo depende dos sinais configurados e recolhidos.
- Com perdas
- Repositórios de documentos e de vetores: sinal parcial, apresentado como parcial — sem arredondar para cima.
- Opaco
- O mapa atual trata Redis, SQLite, D1 e memcached como opacos. Um registo de inventário não comprova um acesso.
- Mista
- Sinais cooperativos ou de ferramentas para outros tipos de recurso, incluindo ferramentas MCP, API HTTP e shell.
Atribuição de origem
Quão firmemente um acesso se liga de volta a um agente específico.
- Firme
- Uma identidade compatível ou um sinal cooperativo resolve um agente ou uma identidade não humana dedicada. Linha contínua; o mapa não emite credenciais.
- Aproximada
- Uma identidade é conhecida, mas a evidência não resolve um único agente. Marcada como aproximada.
- Desconhecida
- Os sinais disponíveis não permitem atribuição por agente. Recursos opacos também usam este nível quando a atribuição não é firme.
Cobertura e atribuição são independentes. Um sinal cooperativo pode identificar com firmeza um agente mesmo quando a cobertura do recurso é opaca.
O que é real
Fontes configuradas, consultas auditadas
O grafo compara observações e permissões recebidas. A leitura do grafo exige autorização e uma entrada de auditoria; se a gravação falhar, a consulta é recusada.
- Abrir o mapa exige permissão e acrescenta uma entrada de auditoria por consulta bem-sucedida. Ele mostra relações, não conteúdos.
- Sinais ausentes ou ambíguos limitam a atribuição. Resultados de consultas limitadas podem ser truncados; verifique o âmbito da recolha e as observações armazenadas antes de alterar uma permissão.
Mapa de acessos — perguntas
Precisa de um proxy ou de um agente em linha?
Não exige proxy. Configure fontes de auditoria e observação compatíveis; o grafo contém apenas os sinais que elas fornecem. Configurar uma fonte não torna todos os agentes ou recursos visíveis.
O mapa armazena SQL, payloads ou segredos?
O grafo armazena relações e metadados limitados. A sua lista de metadados permitidos exclui texto SQL, parâmetros, payloads e segredos. Os modos de leitura/escrita vêm da fonte quando suportados.
E os recursos que o mapa trata como opacos?
O mapa atual marca esses tipos de recurso como opacos. Um registo de inventário não comprova um acesso. A atribuição da origem depende separadamente dos sinais de identidade recebidos.
Como distingue leitura de leitura/escrita?
A fonte fornece o modo que classificou, quando suportado. O grafo preserva esse modo; um acesso não classificado permanece desconhecido.
Veja o seu próprio mapa de acessos
O mapa de acessos e o inventário de identidades fazem parte de Community. Preencher o inventário a partir de um diretório faz parte de Business (Identity & Scale).