オンプレミスのデータコネクターを保護する

Palantir Foundry は、クラウドからエッジまで、ほぼあらゆる環境で安全なコラボレーションを実現できるように設計されています。自社のデータセンターやクラウドなど、Palantir が管理する SaaS プラットフォームの外部で Foundry データコネクターの Agent を実行している場合は、このページのガイダンスに従ってインストールを保護してください。

物理アクセス

Foundry データコネクターの Agent をデータセンターなどのベアメタルハードウェアにデプロイしている場合は、強固な物理セキュリティ制御を実装することが不可欠です。Foundry データコネクターの Agent を実行するサーバーへのアクセスは、許可された担当者のみに制限する必要があります。

Foundry サーバーへのあらゆるアクセスには時間制限を設け、記録を残し、業界のベストプラクティスに従う必要があります。Foundry を実行するハードウェアへの不正アクセスにより、攻撃者がさまざまな攻撃を実行し、セキュリティ制御を無効化する機会を得るおそれがあります。

データ暗号化

Foundry データコネクターの Agent は、データ取り込みプロセスの一部としてオブジェクトレベルの暗号化を実装しています。データコネクターは Foundry プラットフォームから暗号鍵素材を受け取り、オブジェクトを暗号化して、取り込みと保存のために Foundry API に送信します。

転送中のデータ

データコネクターと Foundry API の間で転送されるすべてのデータは、強力な暗号化プロトコルと暗号方式を使用して暗号化されます。

ネットワークセキュリティ

ネットワークのセグメント化

Foundry データコネクターのインストールを、環境のほかの部分からセグメント化して分離することが重要です。これを実現するためのベストプラクティスを以下に示します。

• ファイアウォールやその他の技術を使用して、ネットワークの分離を実装します。
• 承認済みのプロトコル、ポート、サブネットの許可リストを使用して、サービスへのアクセスを制御します。
• データコネクターのインストールへのすべてのインバウンドトラフィックをデフォルトで拒否します。
• Foundry データコネクターのインストールを、可能な限り最小限のネットワークにのみ公開します。
• Foundry データコネクターのインストールを、専用のプライベートネットワーク (VLAN/subnet) に隔離します。
• Foundry データコネクターのネットワーク要件を適切に一覧化し、管理します。この一覧には、組織がデータを取り込む元となるすべてのソースデータシステムを含めます。これらの要件は、ニーズに応じて大きく異なります。

エグレス制御

エグレス（アウトバウンド）制御を使用して、Foundry データコネクターのインストールから発信されるネットワークトラフィックを厳密に制御することが重要です。

• Foundry データコネクターのインストールが接続できる、許可された宛先の許可リストを IP またはドメイン単位で管理します。
• Foundry データコネクターのインストールによる、それ以外のすべてのネットワークアクセスを拒否します。

ネットワークセキュリティ制御

ネットワークセキュリティ制御を使用して、Palantir Foundry データコネクターのインストールを保護します。

• 侵入検知システムを使用して、異常なアクティビティを特定します。
• ファイアウォールを使用して、ネットワークの脆弱性の悪用や攻撃の試みを特定し、ブロックします。
• ネットワークからネットワークセキュリティログを収集し、異常なアクティビティを特定します。

インフラストラクチャセキュリティ

サーバーの堅牢化

CIS や NIST の管理策など、業界標準の設定ガイダンスを使用して、Foundry データコネクターのインストールに使用するサーバーを堅牢化します。

• 最新の、サポート対象のオペレーティングシステムのみを使用します。
• Foundry のインストールに使用するホストに対して、積極的な脆弱性管理とパッチ適用を行います。
• 重大なセキュリティ脆弱性には、30日以内にパッチを適用する必要があります。

ホストセキュリティ

ホストセキュリティ制御を使用して、Foundry データコネクターのインストールを保護します。

• ホストから監査ログとセキュリティログを収集し、異常なアクティビティを特定します。
• 侵入検知システムなどのホストベースのセキュリティ制御を使用して、異常なアクティビティを特定します。
• データ損失防止 (DLP) 技術を使用して、不正なデータ転送を検出します。

特権アクセス

Foundry データコネクターのインストールへの特権アクセスを厳密に制御することが重要です。

• Foundry データコネクターのインストールをホストするバックエンドインフラストラクチャへのアクセスは、専用の踏み台サーバーまたはジャンプホストを経由する場合にのみ許可する必要があります。
• Foundry データコネクターのインストールに対する、インフラストラクチャまたはクラウドレベルのすべてのアクセスで、多要素認証を必須にする必要があります。

アプリケーションのパッチ適用

Foundry データコネクターには、サポート対象の最新バージョンに自己更新する機能が含まれており、運用担当者に必要なメンテナンス作業を最小限に抑えます。