QNAP Trust Center(신뢰 센터)에 오신 것을 환영합니다

• 범위: 연구원, 고객, 버그 바운티 플랫폼, 내부 테스트로부터 취약점 보고를 24/7로 접수합니다.
• 보안 채널: 보고 제출 및 PoC(개념 증명) 코드 암호화를 위한 OpenPGP 키를 제공합니다.
• SLA 약속: 온콜 전문가가 24~72시간 내 최초 인적 응답을 보장합니다.

주요 산출물: 사고 추적 ID, 지정된 보안 담당자.

• 범위: 샌드박스 환경에서 문제를 재현하여 영향을 받는 모델, 펌웨어, 시스템 모듈을 평가합니다.
• CVSS 점수 산정: CVSS 지표를 활용하여 Critical, High, Medium, Low 심각도를 부여하고, 수정 우선순위를 결정합니다.
• CVE 할당: QNAP의 CNA 범위 내에서 수정 일정 설정 및 CVE ID를 독립적으로 할당합니다.

주요 산출물: 우선순위별 수정 일정. 고위험 이슈는 9시간 내 최초 평가를 받습니다.

• 범위: R&D가 패치 및 Hotfix를 개발하고, 보안팀이 침투 및 회귀 테스트를 통해 패치 안정성을 확인합니다.
• 이중 검증: 공격 시뮬레이션을 실행하여 취약점 완전 폐쇄를 검증합니다.
• 크로스-플랫폼 QA: 지원되는 모든 OS 플랫폼 및 앱에서 패키지 호환성을 검증합니다.

주요 산출물: QA 검증된 펌웨어 및 앱 업데이트 패키지.

써드파티또는 아키텍처 종속성의 경우, QNAP은 최종 패치 출시 날짜를 조정하는 동안 임시 완화 조치를 제공합니다.

• 범위: QNAP 보안 권고(QSA)를 발행하여 취약점 범위, 완화 조치, 업데이트를 사전 알림으로 제공합니다.
• 글로벌 동기화: QNAP의 CNA 권한 하에 CVE 기록을 cve.org에 게시하고 글로벌 데이터베이스(예: 미국 NVD)와 동기화합니다.
• 사전 보호: 패치 출시 전 고위험 사고에 대해 QNAP은 자동맬웨어스캔/제거를 위한Malware Remover정의를 업데이트하고Security Center을 통해 보안 정책 지침을 제공합니다.

핵심 산출물: 공식 SA, 푸시 알림, 업데이트된맬웨어정의, 동기화된 CVE 기록.

• 범위: Root Cause Analysis(RCA)를 수행하여 인사이트를 DevSecOps에 반영하고 외부 연구자를 인정합니다.
• Shift-Left 보안: 시그니처를 자동화된 SAST/DAST 규칙으로 변환하여 개발 초기에 보안을 내재화합니다.
• 명예의 전당: 공식 QNAP 명예의 전당에 기여한 보안 연구자에게 크레딧을 부여합니다.

핵심 산출물: RCA 보고서, 업데이트된 SAST/DAST 규칙 기반, 명예의 전당 업데이트.