악성 파일, 취약점과 보안 문제 대응

Foundry가 파일을 수집하고 저장하는 업무도 조직의 악성코드 보호 범위에 포함해야 합니다. 사용자 PC, 관리 시스템과 서버를 함께 보호하고 플랫폼 및 사용자 작성 코드의 패치 책임을 구분합니다.

파일 업로드의 보호 범위

Foundry는 실행 파일처럼 잠재적으로 위험한 형식을 일괄 금지하지 않습니다. 이런 파일을 다루는 업무도 지원하면서 다음 통제를 적용합니다.

업로드 엔드포인트에서 바이너리 실행을 제한합니다.
업로드 서비스를 프로세스 수준으로 격리해 권한 상승과 다른 시스템으로의 이동을 제한합니다.
프런트엔드 반입에 파일 크기 제한을 적용합니다.

이 통제가 업로드한 모든 파일이 악성코드가 없다는 보증은 아닙니다. 고객 시스템에는 최신의 신뢰할 수 있는 악성코드 방지 도구를 사용하고 주기적 검사와 실시간 탐지를 구성합니다. 주요 브라우저의 기본 악성코드 보호 기능도 사용하도록 관리합니다.

플랫폼 취약점과 보안 공지

Palantir는 제품과 기반 인프라의 취약점 관리 및 패치 SLA를 운영합니다. 지원 제품의 보안 문제는 SafeBase 보안 공지에서 공개하며 가능한 경우 CVE도 발급합니다. 공지에는 문제 요약, 배경과 영향 범위, 대응 절차와 일정이 포함됩니다.

문제를 확인하고 수정해 고객에게 전달한 뒤 일반적으로 30일 이내에 공개하는 것을 목표로 하지만, 정보보안 등의 이유로 공개를 늦출 수 있습니다. 고객은 공개 전에 비공개 보안 공지를 자동 전달이나 Palantir 담당자를 통해 받을 수 있습니다. 새 공개 공지는 SafeBase에서 구독할 수 있습니다.

사용자 작성 코드의 의존성

사용자가 작성한 코드는 취약한 외부 패키지에 의존할 수 있습니다. Palantir는 일반적인 패키지와 번들의 갱신본을 제공하지만 모든 사용자 코드와 의존성을 자동 업그레이드할 수는 없습니다. 버전 변경이 파이프라인이나 외부 연동을 깨뜨릴 수 있기 때문입니다.

사용자 코드가 사용하는 패키지와 버전의 관리는 고객 책임입니다. 극단적으로 심각한 취약점에서는 Palantir가 사전 통지 없이 호환성을 깨뜨리는 패키지 업그레이드를 적용할 수 있습니다. Log4j와 같은 긴급 취약점 대응이 그 예입니다. 저장소의 정적 분석은 코드 스캔으로 구성할 수 있습니다.

진행 중인 보안 사고

진행 중인 보안 사고가 의심되면 즉시 Palantir 담당자에게 연락합니다. 담당자가 Palantir 정보보안팀을 호출해 대응하도록 할 수 있습니다.

일상적인 보안 문제를 CIRT(Computer Incident Response Team)에 직접 전달하는 절차는 다음과 같습니다.

재현 및 확인 절차를 포함해 가능한 기술 정보를 정리합니다.
공식 공개키 주소에서 현재 Palantir GPG 공개키를 받은 뒤 그 키로 이메일 내용을 암호화합니다. 로컬 사본은 참고용으로 제공합니다.
cirt@palantir.com으로 보내고 회신받기 가장 좋은 연락 방법을 포함합니다.

인증 토큰이나 개인정보가 포함된 자료는 조직의 사고 처리 기준에 따라 필요한 범위만 안전하게 전달합니다.

제품 취약점 신고

고객이 취약점을 발견하면 Palantir 담당자에게 전달해 정보보안팀으로 연결하거나 위의 암호화된 이메일 절차로 CIRT에 직접 신고할 수 있습니다.

외부 보안 연구자는 HackerOne 공개 버그 바운티 프로그램의 범위, 보상과 책임 있는 공개 정책을 따라야 합니다. 정책은 disclose.io 프레임워크를 바탕으로 하며 선의의 연구와 공개에 관한 조건을 정합니다.

연구 결과를 기술 정보와 재현 및 확인 절차로 정리해 HackerOne 보고서를 제출합니다. 접수 확인에는 최대 영업일 5일이 걸릴 수 있습니다. 범위를 벗어난 실제 고객 시스템 검증이나 승인되지 않은 접근은 이 신고 절차가 허가하지 않습니다.

일반적인 Foundry 보안 질문은 Palantir 담당자에게 문의하며, 전문 검토가 필요하면 보안팀과의 논의를 연결받을 수 있습니다.