RuntimeGuard is een beveiligingsproduct — daarom houden we onszelf aan een hoge standaard als het gaat om het beschermen van jouw data, jouw infrastructuur en het vertrouwen dat je in ons stelt.
Alle data tussen je agents en onze API wordt versleuteld met TLS 1.3. We dwingen HTTPS af op alle endpoints. Plaintext-verbindingen worden afgewezen. API-sleutels worden verzonden via beveiligde headers, nooit in query-strings.
Event-data en incidentrecords worden opgeslagen op versleutelde volumes. Versleuteling op databaseniveau wordt toegepast op alle gevoelige velden, inclusief API-sleutels (opgeslagen als bcrypt-hashes) en tenantgegevens.
Elk API-verzoek vereist een geldige API-sleutel die is gekoppeld aan één tenant. Beheerbewerkingen vereisen een apart admin-geheim. Snelheidsbegrenzing (100 req/min) voorkomt brute-force en misbruik. Sleutels kunnen direct worden ingetrokken vanuit het dashboard.
De data van elke tenant is volledig geïsoleerd op opslagniveau. Tenant-ID's worden server-side gevalideerd bij elke bewerking. Het is architecturaal onmogelijk voor één tenant om de events of incidenten van een andere tenant op te vragen.
De eBPF-agent verzamelt alleen wat nodig is voor detectie: procesnamen, bestandspaden, event-tijdstippen en PID's. Hij verzamelt geen bestandsinhoud, geheugendumps, netwerkverkeer of inloggegevens. Jij blijft altijd eigenaar van je data.
eBPF-programma's worden door de Linux-kernel geverifieerd voordat ze worden uitgevoerd. Ze kunnen de kernel niet laten crashen, hebben geen toegang tot willekeurig geheugen en zijn beperkt tot de specifieke tracepoints waaraan ze zijn gekoppeld. De agent vereist root om eBPF te laden, maar draait daarna met minimale rechten.
Stuur een gedetailleerd rapport naar ons beveiligingsteam. Vermeld een beschrijving van de kwetsbaarheid, stappen om het te reproduceren, mogelijke impact en eventuele proof-of-concept-code die je hebt ontwikkeld. We bevestigen ontvangst binnen 24 uur.
Contact: security@runtimeguard.io
Voor gevoelige meldingen kun je in je eerste bericht om onze PGP-sleutel vragen en we reageren via een versleuteld kanaal.
Binnen 24 uur na jouw melding sturen we je een bevestiging dat deze is ontvangen en door ons beveiligingsteam wordt beoordeeld.
We beoordelen de geldigheid en ernst van de bevinding. We communiceren onze beoordeling aan jou en bespreken eventuele vragen over reproductie of impact.
Ons team ontwikkelt en deployt een fix binnen de SLA voor het ernstniveau. We informeren je wanneer de fix live is en bieden je de mogelijkheid de patch te verifiëren.
Na het deployen van de fix zijn we blij gecoördineerde publieke openbaarmaking te ondersteunen op een tijdstip dat met de onderzoeker is afgesproken. We vermelden je in ons beveiligingsadvies, tenzij je anoniem wilt blijven.
We beloven geen juridische stappen te ondernemen tegen onderzoekers die kwetsbaarheden te goeder trouw ontdekken en melden, zonder toegang tot klantdata of verstoring van de dienst.
Neem direct contact op met ons team. We reageren snel op alle beveiligingsgerelateerde vragen.