Продукт · Карта доступа
Доступ из настроенных источников
Сравнивайте права доступа с наблюдениями из настроенных источников. Карта показывает определённые точки происхождения доступа и ресурсы, а также режимы чтения/записи и атрибуцию, если источник их поддерживает. Неопределённые точки происхождения доступа и ресурсы не отображаются. Обязательный прокси в пути данных не нужен.
Модель
Режимы чтения/записи
Каждый источник передаёт режим доступа, который способен классифицировать. Карта записывает связи и ограниченные метаданные, но не текст SQL, параметры, содержимое запросов или секреты.
Чтение
Доступ, классифицированный источником как чтение. Показан нейтральным цветом.
Чтение / Запись
Доступ, классифицированный источником как запись или чтение/запись. Выделен для проверки.
Неизвестный режим
Если источник не может классифицировать доступ как чтение или запись, режим остаётся неизвестным. Это отдельно от того, насколько надёжна атрибуция доступа агенту.
Отклонение от least-privilege
Сравнивайте разрешённый и наблюдаемый доступ
Сравнивайте полученные права с наблюдениями через связанную с агентом идентичность, если она доступна. Проверяйте неожиданный доступ, ожидающие сравнения и неиспользованные права в пределах области сбора.
- Неожиданный доступ
Наблюдается без покрывающего права в полученных данных. Проверьте область сбора, прежде чем считать результат нарушением.
- Ожидает сверки
Связь с идентичностью или режим доступа пока не позволяют принять решение. Отмечается как ожидающий, а не как подтверждённое нарушение.
- Неиспользованные права
Не наблюдалось с начала сбора источниками. Перед сокращением права проверьте активные источники, сохранённые наблюдения и признак усечения результата. Права для каталогов LDAP, приложений Okta/Entra и проектов Infisical остаются инвентарём.
Как это работает
Сравнивайте права и наблюдения
Эта схема показывает сравнение прав и наблюдений между связанными точками происхождения доступа: совпадения, различия и заявленные связи.
Покрытие
Покрытие ресурсов и атрибуция происхождения доступа
Покрытие ресурсов и уверенность в атрибуции происхождения доступа различаются. Каждая связь содержит оба уровня; отсутствие сигнала не считается доказательством.
Покрытие ресурса
Поддерживаемый уровень сигналов аудита для типа ресурса.
- Чистое
- Поддерживаемые встроенные источники аудита, включая pgAudit и CloudTrail. Граф зависит от настроенных и собранных сигналов.
- С потерями
- Документные и векторные хранилища: частичный сигнал, показанный как частичный — без округления вверх.
- Непрозрачное
- Текущая карта считает Redis, SQLite, D1 и memcached непрозрачными. Инвентарная запись не доказывает отдельный доступ.
- Смешанное
- Совместные сигналы или сигналы инструментов для других типов ресурсов, включая инструменты MCP, HTTP API и оболочку.
Атрибуция происхождения
Насколько надёжно доступ привязывается к конкретному агенту.
- Надёжная
- Поддерживаемая идентичность или совместный сигнал определяет одного агента либо выделенную нечеловеческую идентичность. Сплошная линия; карта не выпускает учётные данные.
- Приблизительная
- Идентичность известна, но доказательства не определяют одного агента. Отмечается как приблизительная атрибуция.
- Неизвестная
- Доступные сигналы не позволяют атрибуцию конкретному агенту. Непрозрачные ресурсы также используют этот уровень, если атрибуция недостаточно надёжна.
Покрытие и атрибуция независимы. Совместный сигнал может надёжно определить агента даже при непрозрачном покрытии ресурса.
Что реально
Настроенные источники, аудит запросов
Граф сравнивает полученные наблюдения и права. Чтение графа требует авторизации и записи аудита; если добавить её не удаётся, запрос отклоняется.
- Открытие карты требует разрешения; каждый успешный запрос добавляет запись аудита. Карта показывает связи, а не содержимое.
- Отсутствующие или неоднозначные сигналы ограничивают атрибуцию. Ограниченные результаты запроса могут быть усечены; перед изменением права проверьте охват сбора и сохранённые наблюдения.
Карта доступа — вопросы
Нужен ли прокси или встраиваемый агент?
Обязательный прокси не нужен. Настройте поддерживаемые источники аудита и наблюдений; граф содержит только переданные ими сигналы. Настройка источника не делает видимыми всех агентов или ресурсы.
Хранит ли карта мой SQL, содержимое запросов или секреты?
Граф хранит связи и ограниченные метаданные. Список разрешённых метаданных исключает текст SQL, параметры, содержимое запросов и секреты. Режимы чтения/записи поступают из источника, если поддерживаются.
Что с ресурсами, которые карта считает непрозрачными?
Текущая карта отмечает эти типы ресурсов как непрозрачные. Инвентарная запись не доказывает доступ. Атрибуция происхождения доступа отдельно зависит от полученных сигналов идентичности.
Как он отличает чтение от чтения/записи?
Источник передаёт классифицированный режим, если поддерживает его. Граф сохраняет этот режим; неклассифицированный доступ остаётся неизвестным.
Увидьте собственную карту доступа
Карта доступа и инвентарь идентичностей входят в Community. Заполнение инвентаря из каталога входит в Business (Identity & Scale).