01
Elastic Security for SIEM
EQL、ES|QL、KQLで記述したFortgaleの検知ルール。しきい値、新規値（new terms）、機械学習のルールを含め、MITRE ATT&CKに対応付けます。
Elastic Securityの運用・監視：データはお客様のクラスターに、検知の運用はFortgaleが
データの管理を自社に残すためにElasticを選んだものの、ルールを書いて保守する担当者や、夜間のアラートに対応する担当者がいないチームへ。FortgaleのMDR（マネージド・ディテクション・アンド・レスポンス）サービスは、お客様のElasticデプロイメントの中で検知を運用し、Elastic Defendまたはお使いのEDRで封じ込めます。封じ込めまでの時間の中央値は30分未満です。
Fortgale × Elastic
MDR · live
Elasticセンサー稼働中エンドポイント・クラウド・アイデンティティのテレメトリ
Elastic 欧州のSOC 24·7·365L2/L3アナリストと直接連携
Fortgale マルチドメインAIによる一次選別導入30日目でノイズを90%超削減
Fortgale Elasticのネイティブ機能で対応数秒で端末を隔離
Live 独自の脅威インテリジェンス287の脅威アクターと攻撃ツールを継続的に追跡
Fortgale MDR稼働中、ElasticとFortgale SOCが連携
認証と運用
ISO/IEC 27001
SOC 24·7·365
Milano · 2017
テクノロジーパートナーシップ
Elastic Security
MITRE ATT&CK aligned
OpenCTI
対応範囲
Elasticで監視する範囲
SOCが運用を引き受けるElastic Securityのコンポーネントです。Elastic Cloud Hosted、Serverless、セルフマネージドのクラスターに対応します。Elasticが未導入の場合は、ライセンスの手配と展開もサービスの一部として行います。
02
Elastic Defend
FleetでWindows、macOS、Linuxを管理するエンドポイントエージェント。コンソールからレスポンスアクションを実行します。
03
Elastic Cloud Security
クラウドとKubernetesのポスチャー管理（CSPM・KSPM）、ワークロードの脆弱性、VMとコンテナのランタイム保護を、同じコンソールで扱います。
04
脅威インテリジェンス
Fortgaleの指標を脅威インテリジェンス連携から取り込み、indicator matchルールで活用します。
05
他社製EDR
エンドポイントでElastic Defendが稼働していない場合も、CrowdStrike、Microsoft Defender for Endpoint、SentinelOneの連携を通じてレスポンスアクションを実行します。
06
ES|QLによる脅威ハンティング
Fortgaleのアナリストが主導するハンティングで、自動ルールが見逃す静かな横展開、永続化、持ち出しに向けたデータの集積を追跡します。
Fortgaleが加えるもの
FortgaleがElasticに加えるもの
SIEMは収集と相関分析を行いますが、判断はしません。Fortgaleは、SIEMを防御に変える検知エンジニアリングを提供します。ルールは287の脅威アクターと攻撃ツールの追跡に基づき、MITRE ATT&CKに対応づけてミラノのSOCが維持します。アラートは独自のCTIで補強されてからアナリストに届きます。データはお客様の環境に、お客様が定めた保持期間のまま残ります。導入30日目でノイズを90%超削減し、アラートが確認されると、アナリストはプラットフォームに接続されたツールを通じて対応します。検知までの時間（TTD）の中央値は15分未満、封じ込めまでの時間（TTC）の中央値は30分未満です。
Elastic Defendがあれば、SIEMはアラートで終わりません。アナリストはコンソールから端末隔離、プロセスの終了（kill-process）、プロセスの一時停止（suspend-process）を実行し、get-fileでファイルを取得し、ホスト上でスクリプトやスキャンを実行し、フォレンジックのためにメモリダンプを取得します。端末隔離、終了、一時停止は、ルールから自動で開始することもできます。
レスポンスアクションには所定のサブスクリプションレベルが必要です。通常、HostedとセルフマネージドではEnterprise、ServerlessではEndpoint Protection Completeです。Defendも連携済みのEDRもない場合、Elasticは検知はできても封じ込めはできません。アカウントやアドレスのブロックは、IDプロバイダーやファイアウォールを通じて行います。
Fortgaleのルールは、お客様のチームが読める検知ルールとしてお客様のデプロイメントに置かれます。また、Fortgale CTIの週34,000件のIOCがindicator matchルールに反映されます。攻撃者に紐づくインフラに触れるイベントがあれば、その攻撃者のコンテキスト付きでアラートが発生します。
運用の引き継ぎ
お客様のElastic環境を引き継ぐ方法
引き継ぎはお客様のElasticデプロイメント上で行います。インデックス、保持期間、Fleetのポリシー、連携はそのまま残ります。
Kibanaへのアクセスが有効になった時点で監視が始まり、技術的なオンボーディングは1週間で完了します。ロール、Fortgaleの検知ルール、自動レスポンスアクション、権限の設定です。
同じ週に、サブスクリプションと連携も確認します。これにより、アナリストがElastic内で実行する対応と、他のツールを通じて行う対応が決まります。お客様にご用意いただくもの：デプロイメントの管理者と、エスカレーション先の一覧です。
現場から
Storming Tide：シグナルは別々のログにありました
2026年2月、Fortgaleのインシデントレスポンスチームは、欧州の物流企業でOperation Storming Tide（英語記事）を封じ込めました。攻撃者は脆弱なFortinetファイアウォールを悪用し、永続的なVPNトンネルと侵害されたサービスアカウント（forticloud-sync）を残したうえで数か月間潜伏し、その後、管理外の資産から内部ネットワークへ横展開していました。持ち込まれたのは、Matanbuchus 3.0、Astarion、SystemBC、そしてS3ストレージに向けたRCloneです。調査は内部ネットワークの異常なスキャンから始まり、データの持ち出しもランサムウェアの実行も起きませんでした。
この記事はElasticを扱ったものではありません。しかし、シグナルはSIEMが収集するログの中にあります。ファイアウォールのVPN設定とセッション、スケジュールタスクとサービスアカウントの異常な利用、RCloneの外向き通信です。一つずつ見ればノイズですが、ElasticではEQLのシーケンスルールや、ホスト上に初めて現れたアカウントを捉える新規値（new terms）ルールが、それらを一つのアラートに結び付けます。Elastic Defendがあれば、アナリストはそこから端末隔離を実行できます。
よくある質問
Elasticを運用する企業から実際に寄せられる質問
データは自社のElasticに残りますか？
はい。インデックスと保持期間はお客様のデプロイメントに残ります。Elastic Cloud上でお客様が選ぶリージョン、またはお客様自身のインフラです。Elastic Cloud Hostedの欧州リージョンにはフランクフルト、パリ、ミラノがあります。Serverlessは現在ミラノでは利用できません。
封じ込めにはElastic Defendが必要ですか？
Elastic Defend、または連携済みのEDRが必要です。Defendの場合、レスポンスアクションはElasticのコンソールから開始します。CrowdStrike、Microsoft Defender for Endpoint、SentinelOneの場合は、それぞれの連携を通じて実行します。どちらもない場合、SOCはElasticで検知し、封じ込めは他のツールのコンソールで行います。
既存の検知ルールは失われますか？
いいえ。既存のルールはデプロイメントに残ります。オンボーディングでお客様と一緒に見直し、ノイズしか生まないルールを無効にし、その横にFortgaleの検知を追加します。
他のプロバイダーから、監視の空白なしに移行できますか？
データ、エージェント、連携は移行しません。変わるのは、ロール、有効なルール、対応の権限だけです。Fortgaleの監視はアクセスが有効になった時点で始まり、前の契約は、技術的なオンボーディングが完了する1週間後に終了できます。
Elasticのライセンスは自社で購入しますか、それともFortgale経由ですか？
どちらも可能です。Fortgaleは、お客様がすでに保有するサブスクリプションを運用することも、サービスの一部としてライセンスの手配と展開を行うこともできます。レスポンスアクションや機械学習はすべてのサブスクリプションに含まれるわけではないため、レベルが重要です。オンボーディングで有効な機能を確認します。
実際の対応手順書を見る
お客様のElasticで、実際の対応手順書を
Elastic Securityのアラートを順を追ってご説明します。アラートを発生させたEQLルール、調査のタイムライン、Elastic Defendで実行したレスポンスアクション、そしてインデックスに残る証跡です。あわせて、お客様の業種を狙う可能性が高い攻撃者についてのレポートをお渡しします。