Продукт · Карта доступу
Доступ із налаштованих джерел
Порівнюйте права доступу зі спостереженнями з налаштованих джерел. Карта показує визначені точки походження доступу й ресурси, а також режими читання/запису та атрибуцію, якщо джерело їх підтримує. Невизначені точки походження доступу й ресурси не відображаються. Обов’язковий проксі на шляху даних не потрібен.
Модель
Режими читання/запису
Кожне джерело передає режим доступу, який може класифікувати. Карта записує зв’язки та обмежені метадані, але не текст SQL, параметри, вміст запитів чи секрети.
Читання
Доступ, класифікований джерелом як читання. Показаний нейтральним кольором.
Читання / Запис
Доступ, класифікований джерелом як запис або читання/запис. Виділений для перевірки.
Невідомий режим
Якщо джерело не може класифікувати доступ як читання чи запис, режим залишається невідомим. Це окремо від того, наскільки твердою є атрибуція доступу агенту.
Відхилення від least-privilege
Порівнюйте дозволений і спостережений доступ
Порівнюйте отримані права зі спостереженнями через пов’язану з агентом ідентичність, якщо вона доступна. Перевіряйте неочікуваний доступ, порівняння в очікуванні та невикористані права в межах області збору.
- Неочікуваний доступ
Спостерігається без права, що його покриває, в отриманих даних. Перевірте область збору, перш ніж вважати результат порушенням.
- Очікує звіряння
Зв’язок з ідентичністю чи режим доступу поки не дозволяють ухвалити рішення. Позначається як очікування, а не як підтверджене порушення.
- Невикористані права
Не спостерігалося від початку збору джерелами. Перш ніж скоротити право, перевірте активні джерела, збережені спостереження та ознаку обрізання результату. Права для каталогів LDAP, застосунків Okta/Entra та проєктів Infisical залишаються інвентарем.
Як це працює
Порівнюйте права та спостереження
Ця схема показує порівняння прав і спостережень між пов’язаними точками походження доступу: збіги, відмінності та заявлені зв’язки.
Покриття
Покриття ресурсів та атрибуція походження доступу
Покриття ресурсів і впевненість в атрибуції походження доступу різні. Кожен зв’язок містить обидва рівні; відсутність сигналу не вважається доказом.
Покриття ресурсу
Підтримуваний рівень сигналів аудиту для типу ресурсу.
- Чисте
- Підтримувані вбудовані джерела аудиту, зокрема pgAudit і CloudTrail. Граф залежить від налаштованих і зібраних сигналів.
- З втратами
- Документні та векторні сховища: частковий сигнал, показаний як частковий, — не округлений угору.
- Непрозоре
- Поточна карта вважає Redis, SQLite, D1 і memcached непрозорими. Інвентарний запис не доводить окремий доступ.
- Змішане
- Спільні сигнали або сигнали інструментів для інших типів ресурсів, зокрема інструментів MCP, HTTP API та оболонки.
Атрибуція походження
Наскільки твердо доступ прив’язується назад до конкретного агента.
- Тверда
- Підтримувана ідентичність або спільний сигнал визначає одного агента чи виділену нелюдську ідентичність. Суцільна лінія; карта не видає облікові дані.
- Приблизна
- Ідентичність відома, але докази не визначають одного агента. Позначається як приблизна атрибуція.
- Невідома
- Доступні сигнали не дозволяють атрибуцію конкретному агенту. Непрозорі ресурси також використовують цей рівень, якщо атрибуція не тверда.
Покриття й атрибуція незалежні. Спільний сигнал може твердо визначити агента навіть за непрозорого покриття ресурсу.
Що реально
Налаштовані джерела, аудит запитів
Граф порівнює отримані спостереження та права. Читання графа вимагає авторизації й запису аудиту; якщо його додавання не вдається, запит відхиляється.
- Відкриття карти потребує дозволу; кожен успішний запит додає запис аудиту. Карта показує зв’язки, а не вміст.
- Відсутні або неоднозначні сигнали обмежують атрибуцію. Обмежені результати запиту можуть бути обрізані; перед зміною права перевірте охоплення збору та збережені спостереження.
Карта доступу — питання
Чи потрібен їй проксі або вбудований агент?
Обов’язковий проксі не потрібен. Налаштуйте підтримувані джерела аудиту й спостережень; граф містить лише надані ними сигнали. Налаштування джерела не робить видимими всіх агентів чи ресурси.
Чи зберігає карта мій SQL, вміст запитів чи секрети?
Граф зберігає зв’язки та обмежені метадані. Список дозволених метаданих виключає текст SQL, параметри, вміст запитів і секрети. Режими читання/запису надходять із джерела, якщо підтримуються.
Що з ресурсами, які карта вважає непрозорими?
Поточна карта позначає ці типи ресурсів як непрозорі. Інвентарний запис не доводить доступ. Атрибуція походження доступу окремо залежить від отриманих сигналів ідентичності.
Як вона відрізняє читання від читання/запису?
Джерело надає класифікований режим, якщо підтримує його. Граф зберігає цей режим; некласифікований доступ залишається невідомим.
Подивіться власну карту доступу
Карта доступу та інвентар ідентичностей входять до Community. Заповнення інвентарю з каталогу входить до Business (Identity & Scale).