01
Defender for Endpoint
Windows、macOS、Linuxのエンドポイントとサーバー。KQLのカスタム検出ルールと、カスタムインジケーターとして読み込んだFortgaleの指標を使います。
Microsoft Defender XDRのMDR：インシデントキューを24時間365日処理
DefenderとSentinelを導入済みでも夜間のインシデントキューを処理する人がいない組織や、契約中のMSSPがセッションを取り消さずにアラートを転送するだけになっている組織に向けたサービスです。FortgaleのMDR（マネージド・ディテクション・アンド・レスポンス）サービスは、お客様のDefenderポータルの中で稼働します。封じ込めの権限を持つアナリストが対応し、封じ込めまでの時間の中央値は30分未満です。
Fortgale × Defender
MDR · live
Defenderセンサー稼働中エンドポイント・クラウド・アイデンティティのテレメトリ
Defender 欧州のSOC 24·7·365L2/L3アナリストと直接連携
Fortgale マルチドメインAIによる一次選別導入30日目でノイズを90%超削減
Fortgale Defenderのネイティブ機能で対応数秒で端末を隔離
Live 独自の脅威インテリジェンス287の脅威アクターと攻撃ツールを継続的に追跡
Fortgale MDR稼働中、DefenderとFortgale SOCが連携
認証と運用
ISO/IEC 27001
SOC 24·7·365
Milano · 2017
テクノロジーパートナーシップ
Microsoft Defender XDR
MITRE ATT&CK aligned
OpenCTI
対応範囲
Defenderで監視する範囲
SOCがDefenderポータルで運用するDefenderのワークロードとSentinelのデータソースです。お客様のMicrosoftとの契約に必要なライセンスがまだ含まれていない場合は、ライセンスの手配もサービスの一部として行います。
02
Defender for Identity
Active DirectoryとEntra ID。横展開、Kerberosの悪用、LDAPによる偵察を、エンドポイントと同じインシデントの中で扱います。
03
Defender for Office 365
Exchange Online上のフィッシング、悪意のある添付ファイルとリンク。配信済みのメッセージの修復を、影響を受けたすべてのメールボックスに対して行います。
04
Defender for Cloud Apps
SaaSアプリケーションでの異常なアクティビティと不審なOAuthアプリ。アカウントに対するガバナンスアクションを実行します。
05
Defender for Cloud
Azure、AWS、GCPのワークロードのアラートを、Defender XDRの中でエンドポイントやアイデンティティのアクティビティと相関分析します。
06
DefenderポータルのMicrosoft Sentinel
ファイアウォール、VPN、オンプレミスのソースをSentinelに集約し、Defenderポータルで運用します。MicrosoftはSentinelの運用をDefenderポータルへ移行しており、Azureポータルでの管理は2027年3月31日に終了します。
07
KQLによる脅威ハンティング
Fortgaleのアナリストによる高度な追求（Advanced hunting）のセッション。自動検出では捉えきれない永続化、目立たない横展開、トークンの悪用を探します。
Fortgaleが加えるもの
FortgaleがDefenderに加えるもの
どのベンダーも提供しないのは、プラットフォームを防御に変える部分です。Fortgaleの検知エンジニアリングは、287の脅威アクターと攻撃ツールの継続的な追跡に基づいています。独自ルールはすべてMITRE ATT&CKに対応づけられ、アラートは独自のCTIで補強された状態でアナリストに届きます。導入30日目でノイズを90%超削減し、判断は対応するアナリストが行います。検知までの時間（TTD）の中央値は15分未満、封じ込めまでの時間（TTC）の中央値は30分未満です。
Defenderでは、アナリストがポータルからネイティブのアクションで対応します：デバイスの隔離と封じ込め、アプリの実行制限、調査パッケージの収集、そして痕跡の確認と修復を行うLive Responseのセッションです。封じ込め、実行制限、Live ResponseにはDefender for Endpoint Plan 2が必要です。
アイデンティティへの対応はDefender for IdentityとEntra IDを通じて行います：ユーザーの無効化、パスワード変更の強制、セッションの取り消しです。メールでは、Defender for Office 365 Plan 2により、配信済みのメッセージを移動または削除します。サードパーティのファイアウォールでのIPブロックはDefenderのアクションではないため、オンボーディングで合意したSentinelのプレイブックで実行します。
Fortgaleの脅威インテリジェンスの指標（週34,000件のIOC）は、Defenderにはカスタムインジケーターとして、Sentinelには脅威インテリジェンスとして取り込まれます。特定の脅威アクターに帰属済みのインフラであれば、デバイス上の挙動がそろう前にインシデントが起票されます。
運用の引き継ぎ
お客様のDefender環境を引き継ぐ方法
引き継ぎはお客様のMicrosoftテナント上で行います。センサー、ポリシー、ワークスペースはそのまま使い、移行も再インストールもありません。
ロールとアクセスが有効になった時点で監視は始まり、技術的なオンボーディングは1週間で完了します。対象はDefender XDRの権限、Sentinelのワークスペース、プレイブック、対応の承認です。
お客様にご用意いただくもの：合意したロールをアナリストに割り当てる管理者、対応を事前に承認するデバイスとユーザーのグループ、エスカレーション先の一覧です。
現場から
Supercar：エンドポイントではなくメールボックスに届くフィッシング
2024年9月、Fortgaleはフィッシングキット「Supercar」（英語記事）について調査結果を公開しました。イタリアの複数の企業の従業員を狙ったもので、FAXや福利厚生を装ったメールに、偽のMicrosoft 365ログインページを含むHTMLファイルや、QRコード付きのPDFが添付されていました。認証情報は、2024年5月から稼働しSupercar Nebulaグループに帰属される4,000以上のドメインのいずれかに送信されます。
この記事はDefenderを扱ったものではありません。しかし、このようなキットはSOCが運用するワークロードをまさに横断します。Defender for Office 365はHTMLの添付ファイルを検知し、受信したすべてのメールボックスからメッセージを取り除けます。すでに認証情報が入力されていれば、次のサインインがEntra IDのログに現れ、パスワード変更の強制とセッションの取り消しで対応します。
よくある質問
Defenderを運用する企業から実際に寄せられる質問
FortgaleのサービスにはDefender Expertsの契約が必要ですか？
いいえ。Microsoft Defender Experts MDR（Defender Experts for XDRの現在の名称）は、Microsoftのマネージドサービスです。Sentinel上のサードパーティのデータまで対象を広げるプラン2には、Sentinelと1,500シート以上の契約が必要です。Fortgaleは、お客様がすでにお使いのDefenderテナント上で独立して運用します。2017年からミラノで運用するSOCが24時間365日体制で対応し、日本の業務時間（9:00〜18:00 JST）にあたる欧州の夜間も同じ体制でカバーします。
テナントとアクセス権はどうなりますか？
テナント、ポリシー、Sentinelのワークスペース、データはお客様のものです。アナリストはオンボーディングで合意したロールで作業し、実行した対応はすべてDefenderのアクションセンターと監査ログに記録されるため、お客様のチームがいつでも確認できます。
他のプロバイダーから、監視の空白なしに移行できますか？
Defenderのセンサーと既存のルールには手を加えません。引き継ぐのはロールと対応の権限だけです。アクセスが有効になった時点で監視を始めるため、前の契約は技術的なオンボーディングが完了する1週間後に終了できます。
Microsoftのライセンスは自社で購入しますか、それともFortgale経由ですか？
どちらも可能です。DefenderとSentinelがすでにお客様のMicrosoftとの契約に含まれていれば、Fortgaleはお客様のテナントを運用します。含まれていなければ、ライセンスの手配もサービスの一部として行います。オンボーディングでは、お客様のプランで何が使えるかを確認します。たとえばDefender for Endpoint Plan 2がなければ、封じ込めとLive Responseは利用できません。
インシデント発生時の報告にも役立ちますか？
MDRを導入するだけで報告義務への対応が完了するわけではありません。Fortgaleは検知から封じ込めまでの対応を時系列で記録し、社内外への報告に必要な事実関係の整理を支援します。Defenderでは、その記録はDefender XDRのインシデント履歴とSentinelに保管されたログが起点になります。個人情報保護委員会への報告が必要かどうかの判断は、お客様と法務の専門家が行います。詳しくは漏えい等報告のページをご覧ください。
実際の対応手順書を見る
お客様のDefenderテナントで、実際の対応手順書を
Defender XDRのインシデント1件を、手順を追ってご説明します。エンドポイント、アイデンティティ、メールをまたいで相関したアラート、アナリストのKQLクエリ、デバイスの隔離、セッションの取り消しです。あわせて、お客様の業種を狙う可能性が高い攻撃者についてのレポートをお渡しします。