セルフホスト型の Foundry インストールを保護する

Palantir Foundry は、クラウドからエッジまで、ほぼあらゆる環境で安全なコラボレーションを提供できるように設計されています。自社のデータセンターやクラウドなど、Palantir のマネージド SaaS プラットフォーム以外で Foundry を実行している場合は、インストールを保護するために、次のガイダンスに従ってください。

物理アクセス

Foundry インストールをデータセンターなどのベアメタルハードウェアにデプロイしている場合、強固な物理セキュリティ制御を実装することが極めて重要です。Foundry を実行するサーバーへのアクセスは、権限を持つ担当者に限定し、期限を設けて記録し、業界のベストプラクティスに従って管理してください。

物理セキュリティは情報セキュリティの基盤であるため、Foundry を実行するハードウェアへの不正アクセスを許すと、攻撃者がさまざまな攻撃を実行し、セキュリティ制御を無効化する機会を与えるおそれがあります。

データ暗号化

情報セキュリティを維持するには、保存時と転送時の両方でデータを暗号化する必要があります。

保存時のデータ

Foundry 内のすべてのデータは、アプリケーションレベルの暗号化によって保存時に暗号化されますが、Foundry インストールで使用する基盤となるすべてのサーバーとストレージデバイスも暗号化してください。

• ディスク全体の暗号化には、業界標準の暗号化ソリューションを使用してください。これには、オープンソースプロジェクト（LUKS ↗ など）、市販のソフトウェア、自己暗号化ドライブなどのハードウェア実装、クラウドサービスプロバイダーが提供するソリューションなどが含まれます。
• 暗号鍵の素材は、ハードウェアセキュリティモジュール（HSM）などのハードウェアに保存してください。
• ディスクの暗号化には、AES-256 や AES-128 などの強力な暗号化標準を使用してください。

転送時のデータ

クライアントと Foundry の間で転送されるすべてのデータは、強力な暗号化プロトコルと暗号を使用して保護してください。

• 信頼できる認証局が発行した、有効期間が90日、最大でも1年の有効な証明書を使用してください。
• トランスポート層セキュリティ（TLS）のバージョン1.2以降を使用する接続のみをサポートしてください。
• 強力な TLS 暗号スイートのみをサポートしてください。互換性とセキュリティの要件に応じて調整してください。
• 楕円曲線 Diffie-Hellman 鍵交換（ECDHE）と、CHACHA-POLY1305 または GCM モードの AES-{128-256} の組み合わせを使用することを推奨します。可能な限り、CBC モードの暗号スイートは避けてください。

属性のセキュリティ

シングルサインオン

シングルサインオンプロバイダーで属性を一元管理してください。

• すべてのユーザーに、個人に紐づくアカウントの使用を必須としてください。アカウントを共有しないでください。
• すべてのユーザーに、強力な多要素認証を必須としてください。可能な場合は、FIDO2 などの最新技術を使用してください。SMS またはメールによる多要素認証は使用しないでください。

資格情報の適切な管理

ユーザーに資格情報を適切に管理するよう求めてください。パスワードレス認証を強く推奨します。

• アクセス用のパスワードには、十分に強力で長く、ほかで使用していないものを使用するようユーザーに求めてください。
• 環境外のほかのサービスで同じパスワードを再利用することをユーザーに許可しないでください。
• 許可されていないドメインに誤ってパスワードを入力した場合は、パスワードを変更するようユーザーに求めてください。

ゼロトラスト

Foundry インストールを保護するために、最新のゼロトラスト技術を使用してください。

• ゼロトラスト技術を使用して、属性とデバイスの正常性および検証に基づき、権限を持つユーザーにのみアクセスを許可してください。
• 信頼できないデバイス、異常なデバイス、または不明なデバイスから Foundry インストールへのアクセスを拒否してください。

ネットワークセキュリティ

ネットワークセグメンテーション

Foundry インストールは、環境のほかの部分から厳密に分離してください。

• ファイアウォールやその他の技術を使用して、ネットワークの分離を実装してください。承認済みのプロトコル、ポート、サブネットの許可リストを使用して、サービスへのアクセスを制御してください。
• Foundry インストールへのすべての受信トラフィックをデフォルトで拒否してください。
• 可能な限り、Foundry インストールを公開するネットワークを必要最小限にしてください。侵入検知システムや Web アプリケーションファイアウォールなどの追加の制御を導入せずに、Foundry インストールをパブリックインターネットに公開することは推奨しません。
• Foundry インストールを専用のプライベートネットワーク（VLAN/サブネット）内に隔離してください。

送信制御

Foundry インストールから発生するネットワークトラフィックは、厳密に制御してください。

• Foundry からのすべてのネットワーク接続が、プロキシまたはその他のネットワークセキュリティデバイスによって制御されるようにしてください。
• Foundry インストールが接続できる宛先の許可リストを、IP アドレスまたはドメインで管理してください。
• Foundry インストールによる、それ以外のすべてのネットワークアクセスを拒否してください。

ネットワークセキュリティ

Palantir Foundry インストールを保護するために、ネットワークセキュリティ制御を使用してください。

• 異常なアクティビティを特定するために、侵入検知システムなどのネットワークセキュリティ制御を使用してください。
• ネットワークの脆弱性を悪用する試みや攻撃の試みを特定してブロックするために、ファイアウォールを使用してください。
• 不正なデータ転送を検出するために、データ損失防止（DLP）技術を使用してください。
• 異常なアクティビティを特定するために、ネットワークからネットワークセキュリティログを収集してください。

インフラストラクチャセキュリティ

サーバーの堅牢化

Foundry インストールで使用するサーバーは、CIS や NIST の管理策など、業界標準の設定ガイダンスに従って堅牢化してください。

• 最新の、サポートされているオペレーティングシステムのみを使用してください。
• Foundry インストールで使用するホストに対して、積極的に脆弱性管理とパッチ適用を実施してください。重大なセキュリティ脆弱性には、30日以内にパッチを適用してください。

ホストセキュリティ

Foundry インストールを保護するために、ホストセキュリティ制御を使用してください。

• 異常なアクティビティを特定するために、ホストから監査ログとセキュリティログを収集してください。
• 異常なアクティビティを特定するために、侵入検知システムなどのホストベースのセキュリティ制御を使用してください。
• 不正なデータ転送を検出するために、データ損失防止（DLP）技術を使用してください。

特権アクセス

Foundry インストールへの特権アクセスを厳密に制御してください。

• Foundry インストールをホストするバックエンドインフラストラクチャへのアクセスは、専用の踏み台サーバーまたはジャンプホスト経由のみに制限してください。
• Foundry インストールへの、インフラストラクチャまたはクラウドレベルのすべてのアクセスに、多要素認証を必須としてください。

バックアップ

組織の継続性を確保するために、Foundry インストールのディスク全体のバックアップを定期的に取得してください。

• Foundry には、アプリケーションのバックアップと復元を行うように設計されたサービス（「Rescue」）があります。
• 最低限、Rescue サービスのデータについて、ディスク全体のバックアップを取得してください。すべての Foundry ホストについて、ディスク全体のバックアップを取得することを強く推奨します。
• バックアップを暗号化し、耐久性のある場所やオフラインの場所に確実に保存してください。ランサムウェアやその他の悪意ある攻撃者は、通常、ほかの悪意ある行為を実行する前にバックアップを破壊しようとします。
• 少なくとも年に1回は、バックアップと復元のプロセスをテストしてください。

アプリケーションのパッチ適用

Foundry インストールには、できるだけ早くセキュリティパッチを適用してください。

• Foundry インストールが Apollo に接続されている場合、セキュリティ更新が自動的に配信されます。通常、これらの更新に対してユーザーが操作する必要はありません。
• Apollo を使用していない場合は、セキュリティ更新が利用可能になり次第、適用してください。重大なセキュリティ脆弱性には、30日以内にパッチを適用してください。