Keyboard shortcuts

Press ← or → to navigate between chapters

Press ? to show this help

Press Esc to hide this help

신원 보호와 피싱 대응

Foundry의 SSO 신원 제공자와 계정 접근은 고객이 관리하는 보안 영역입니다. 공격자가 SSO 인증 정보를 훔치면 Foundry에도 접근을 시도할 수 있으므로 신원, 기기와 네트워크 통제를 함께 적용합니다.

강한 다중 요소 인증

Palantir 제품은 다중 요소 인증(MFA)을 요구합니다. 자체 신원 제공자에서 MFA를 구성한다면 강한 방식을 사용합니다. 대략적인 권장 순서는 다음과 같습니다.

  1. FIDO2 호환 USB 보안 키나 CAC 스마트카드 같은 연결형 하드웨어 인증 수단. YubiKey와 Google Titan 등이 해당합니다.
  2. RSA SecurID나 Thales SafeNet 같은 분리형 OTP 생성기.
  3. Microsoft Authenticator나 Google Authenticator 같은 소프트웨어 토큰. 모바일 푸시 알림보다 OTP 생성기를 우선 고려합니다.
  4. Touch ID, Face ID나 Windows Hello 같은 생체 인증 수단.

SMS 및 이메일 OTP, 링크 클릭 방식의 2단계 인증이나 보안 질문은 강한 인증 방식으로 취급하지 않으므로 더 강한 대안으로 전환합니다. 신원 제공자가 필수 MFA를 제공하지 않으면 플랫폼의 내장 MFA를 사용할 수 있습니다.

주기적 재인증과 기기 조건

Foundry는 세션을 훔친 공격자가 사용할 수 있는 기간을 줄이기 위해 최대 세션 수명을 제한하고 신원 제공자에 대한 주기적인 재인증을 요구합니다. 신원 제공자 자체의 세션 수명도 지나치게 길게 두지 않습니다.

신원 제공자가 지원하면 조건부 접근과 기기 상태 평가를 사용합니다. 다음 기준을 고려합니다.

  • 소프트웨어 머신 인증서, 단일 요소 인증이나 네트워크 위치만으로 기기와 사용자를 신뢰하지 않습니다.
  • 특정 사용자나 기기를 필수 통제에서 예외로 두지 않습니다.
  • 민감 리소스에는 최근의 강한 MFA를 요구합니다.
  • 기기 보안 상태와 건전성 증명을 접근 조건으로 사용합니다.
  • 비정상 로그인이나 활동에는 재인증을 요구합니다.

Microsoft Entra ID 등의 조건부 접근은 IP 제한을 적용하기 어려운 환경에서도 기기 관리 등록 여부 등으로 접근을 제한하는 데 사용할 수 있습니다.

서비스 계정

서비스 계정은 넓은 데이터 권한을 가지면서 여러 사람이 인증 정보를 공유하거나 MFA가 없고, 퇴사 후에도 비밀을 교체하지 않거나 스크립트에 토큰을 넣어 두는 문제가 생길 수 있습니다.

계정마다 목적과 이름이 지정된 책임자를 기록하고 적정성을 정기적으로 검토합니다. 가능한 경우 특정 IP에서만 인증하도록 제한하고 MFA를 적용합니다. 인증 정보는 PAM(Privileged Access Management) 체계에 보관하고 접근에 여러 사람의 승인을 요구할 수 있습니다. 담당 팀 변경이나 퇴사에 맞춰 인증 정보를 교체하며 로그인과 동작 및 비밀 사용을 감시합니다.

피싱 방어

엄격한 네트워크 인바운드 IP 허용 목록은 공격자의 플랫폼 접근을 줄이는 추가 통제입니다. Foundry 쪽 제한을 SSO에도 반영하면 양쪽에서 같은 네트워크 조건을 적용할 수 있습니다. 네트워크 위치만으로 신원을 신뢰하는 방식과는 다릅니다.

사용자 교육에는 다음을 포함합니다.

  • 비밀번호 관리와 재사용 방지
  • 자신의 실제 Foundry 도메인과 사칭 사이트 구분. palantirfoundry.com은 사용되는 도메인의 예이며 주소 전체를 확인합니다.
  • 플랫폼에서 보낸 정상 이메일과 사칭 발신자 구분

적절한 SSO를 직접 마련하기 어려운 경우에는 Palantir 담당자에게 가능한 지원을 문의합니다. 조직 자체의 감사 로그 모니터링도 운영합니다.

Central Auth

Central Auth는 Palantir 정보보안팀이 관리하는 Microsoft Entra ID 기반 신원 제공자입니다. 자체 신원 제공자가 없거나 아직 Foundry와 연동하지 못한 고객을 위한 선택지이며, 사용 가능 여부는 Palantir 담당자에게 문의합니다.

SAML Multipass realm으로 연결할 수 있으며 계정 생성과 회수는 Palantir가 관리합니다. 그룹, 보안 표지와 다른 플랫폼 보안 구성은 고객이 계속 관리합니다.

Central Auth 계정에는 강한 비밀번호와 MFA가 필요합니다. 의심 로그인이나 행동에 따라 다시 인증해야 할 수 있으며, 30일을 넘게 사용하지 않은 계정은 사전 통지 없이 비활성화될 수 있습니다.