01
Cortex XDR · エンドポイント
Cortex XDRエージェントのテレメトリ、各アラートのコーザリティチェーン、MITRE ATT&CKに対応付けたカスタムXQL検知ルール。
Cortex XDRのMDRを、欧州のSOCから
Cortex XDRを導入済みで、夜間に運用するチームがない組織へ。あるいは、封じ込めずにチケットを起票するだけのMSSPに課題を感じている組織へ。FortgaleのMDR（マネージド・ディテクション・アンド・レスポンス）サービスは、お客様のCortexテナントの中で稼働します。判断の権限を持つアナリストがコーザリティチェーン（因果関係チェーン）を読み解いて対応を実行し、封じ込めまでの時間の中央値は30分未満です。
Fortgale × Cortex
MDR · live
Cortexセンサー稼働中エンドポイント・クラウド・アイデンティティのテレメトリ
Cortex 欧州のSOC 24·7·365L2/L3アナリストと直接連携
Fortgale マルチドメインAIによる一次選別導入30日目でノイズを90%超削減
Fortgale Cortexのネイティブ機能で対応数秒で端末を隔離
Live 独自の脅威インテリジェンス287の脅威アクターと攻撃ツールを継続的に追跡
Fortgale MDR稼働中、CortexとFortgale SOCが連携
認証と運用
ISO/IEC 27001
SOC 24·7·365
Milano · 2017
テクノロジーパートナーシップ
Cortex XDR · Palo Alto Networks
MITRE ATT&CK aligned
OpenCTI
対応範囲
Cortexで監視する範囲
SOCが運用を引き受けるCortexのモジュールとデータソースです。Cortexが未導入の場合は、ライセンスの手配とエージェントの展開もFortgaleがサービスの一部として行います。
02
Palo Altoのネットワークテレメトリ
次世代ファイアウォールPAN-OSとPrisma Accessからのネイティブ取り込み。エンドポイントの挙動と同じケースに統合します。
03
クラウドワークロード
Prisma Cloud（現在はCortex Cloudの一部）のワークロードテレメトリを、エンドポイントやネットワークと同じコンソールで扱います。
04
アイデンティティ
Cortex XDRのIdentity Threat Detectionによる分析。SOCが日々対応する検知の一部です。
05
Cortex XSIAMとXpanse
XSIAMをご利用の組織では、検知と対応をXSIAMプラットフォーム上で行います。Xpanseによる外部公開資産のデータも、SOCが運用するCortexモジュールに含まれます。
06
Cortex XSOARのプレイブック
オプション：ツールをまたぐ対応とエンリッチメントのプレイブックをCortex XSOAR上でFortgaleが作成・保守します。
Fortgaleが加えるもの
FortgaleがCortexに加えるもの
どのベンダーも提供しないのは、プラットフォームを防御に変える部分です。Fortgaleの検知エンジニアリングは、287の脅威アクターと攻撃ツールの継続的な追跡に基づいています。独自ルールはすべてMITRE ATT&CKに対応づけられ、アラートは独自のCTIで補強された状態でアナリストに届きます。導入30日目でノイズを90%超削減し、判断は対応するアナリストが行います。検知までの時間（TTD）の中央値は15分未満、封じ込めまでの時間（TTC）の中央値は30分未満です。
Cortexでは、アナリストがコンソールからネイティブのアクションで対応します：端末隔離、プロセスの終了、ファイルの隔離、ハッシュのブロックリスト登録、そしてホスト上でライブフォレンジックを行うLive Terminalのセッションです。
Active Directoryアカウントのロックは、Cortex XDRのエンドポイントアクションではなく、Cortex XSOARのプレイブックで実行します。ネットワーク境界での指標のブロックはPAN-OS連携を通じて行うため、エンドポイントとネットワークの封じ込めを同じケースから連携して進められます。
Fortgaleの指標はCortexのIOCルールとして読み込まれます。既知の指標であれば、コーザリティチェーンがそろう前にケースが起票されます。XQLルールは、Fortgaleが追跡する攻撃者の動向に合わせて更新します。
運用の引き継ぎ
お客様のCortex環境を引き継ぐ方法
引き継ぎは既存のCortexテナント上で行います。展開済みのエージェントはそのまま使い、データの移行もありません。
アクセスと監視が稼働した時点で防御は始まり、技術的なオンボーディングは1週間で完了します。Cortexのロール、連携、対応の権限がそろい、サービスは全面的に稼働します。
お客様にご用意いただくもの：技術窓口のご担当者、アナリスト用のCortexロール、エスカレーション先の一覧です。対応の権限と除外設定は、最初の対応の前にお客様のチームと合意します。
現場から
Storming Tide：攻撃がエージェントのない場所へ移るとき
2026年2月、Fortgaleのインシデントレスポンスチームは、欧州の物流企業でOperation Storming Tideを封じ込めました（解説記事は英語です）。攻撃者は数か月前に脆弱なFortinetファイアウォールから侵入し、永続的なVPNトンネルと侵害されたサービスアカウントを残したうえで、管理外の資産を経由して内部ネットワークへ横展開していました。持ち込まれたのは、ローダーMatanbuchus 3.0、RATのAstarion、SystemBC、そしてS3ストレージへの持ち出しに備えて配置されたRCloneです。調査は内部ネットワークの異常なスキャンから始まり、データの持ち出しもランサムウェアの実行も起きませんでした。
この記事はCortexを扱ったものではありません。しかし、これはSOCがCortex上で二つの側面から読み取る種類の攻撃チェーンです。内部の通信がPAN-OSのファイアウォールを通過していれば、エージェントのないホストから始まったスキャンでも痕跡が残ります。エージェントのあるホストでは、コーザリティチェーンがスケジュールタスク、ローダー、RCloneの起動を一つのケースに結び付け、データが外に出る前に端末隔離を実行できます。
よくある質問
Cortexを運用する企業から実際に寄せられる質問
FortgaleのサービスにはUnit 42 MDRの契約が必要ですか？
いいえ。Unit 42 MDRはPalo Alto Networksのマネージドサービスです。Fortgaleは、お客様がすでにお使いのCortex XDRテナント上で独立して運用します。2017年からミラノで運用するSOCが24時間365日体制で対応し、日本の業務時間（9:00〜18:00 JST）は欧州の夜間にあたりますが、その時間帯も同じシフト体制で対応します。
Cortexのコンソールとアクセス権はどうなりますか？
テナント、ポリシー、データはお客様の管理下に残ります。アナリストはオンボーディングで合意したアカウントとロールで作業し、実行した対応はすべてCortexの監査ログに記録されるため、お客様のチームがいつでも確認できます。
他のプロバイダーから、監視の空白なしに移行できますか？
稼働開始の切り替え日はありません。監視はオンボーディングの最初の数日で始まり、そこから保護範囲が広がります。前の契約の終了は、技術的なオンボーディングが完了する1週間後を目安に計画してください。
Cortexのライセンスは自社で購入しますか、それともFortgale経由ですか？
どちらも可能です。Fortgaleは、お客様が保有するCortex XDRのライセンスを運用することも、MDRサービスの一部としてCortex XDRのライセンスを提供することもできます。
インシデント発生時の報告にも役立ちますか？
MDRを導入するだけで報告義務への対応が完了するわけではありません。Fortgaleは検知から封じ込めまでの対応を時系列で記録し、社内外への報告に必要な事実関係の整理を支援します。Cortexでは、その記録はコーザリティチェーンと対応アクションの監査ログが起点になります。個人情報保護委員会への報告が必要かどうかの判断は、お客様と法務の専門家が行います。詳しくは漏えい等報告のページをご覧ください。
実際の対応手順書を見る
お客様のCortexテナントで見る、実際の対応手順書
Cortexのアラートがどのように判断へ変わるかをお見せします。アナリストが読み解くコーザリティチェーン、アラートを発生させたXQLルール、実行した対応、そして社内外への報告に備えて保管する証跡です。あわせて、お客様の業種を狙う可能性が高い攻撃者についてのレポートをお渡しします。