01
Singularity Endpoint
Windows、macOS、Linuxを対象に、各プロセスの背後にある攻撃チェーンを再構成するStorylineと、Behavioral AIエンジンを活用します。
SentinelOne SingularityのMDRを、封じ込めの権限とともに
SentinelOneを導入済みでも、深夜3時にStorylineを読み解く担当者がいない組織へ。あるいは、ホストを隔離せずに通知するだけのプロバイダーに課題を感じている組織へ。FortgaleのMDR（マネージド・ディテクション・アンド・レスポンス）サービスは、お客様のコンソール上で稼働します。封じ込めの権限を持つアナリストが対応し、封じ込めまでの時間の中央値は30分未満です。
Fortgale × SentinelOne
MDR · live
SentinelOneセンサー稼働中エンドポイント・クラウド・アイデンティティのテレメトリ
SentinelOne 欧州のSOC 24·7·365L2/L3アナリストと直接連携
Fortgale マルチドメインAIによる一次選別導入30日目でノイズを90%超削減
Fortgale SentinelOneのネイティブ機能で対応数秒で端末を隔離
Live 独自の脅威インテリジェンス287の脅威アクターと攻撃ツールを継続的に追跡
Fortgale MDR稼働中、SentinelOneとFortgale SOCが連携
認証と運用
ISO/IEC 27001
SOC 24·7·365
Milano · 2017
テクノロジーパートナーシップ
SentinelOne Singularity
MITRE ATT&CK aligned
OpenCTI
対応範囲
SentinelOneで監視する範囲
SOCが運用を引き受けるSingularityのモジュールです。エンドポイント、クラウドワークロード、アイデンティティを対象とします。SentinelOneが未導入の場合は、ライセンスの手配とエージェントの展開もFortgaleがサービスの一部として行います。
02
Singularity Cloud
クラウドワークロード、コンテナ、KubernetesノードをCloud Workload Securityで保護し、エンドポイントと同じコンソールで扱います。
03
Singularity Identity
Active DirectoryとEntra IDに対するアイデンティティの脅威（偵察、認証情報の悪用、権限昇格）を検知します。
04
STARルール
Fortgaleが作成するStoryline Active Responseのルールです。条件に一致すると、アラートの発生、プロセスの終了、ホストのネットワーク隔離を実行します。
05
Singularity Data Lakeでの脅威ハンティング
FortgaleのアナリストがPowerQueryで実施するハンティングです。気付かれにくい横展開、永続化、持ち出し前のデータの集約を探します。
06
脆弱性管理
導入済みのエージェントが検出した資産の脆弱性を、実際に悪用が確認されているCVEを優先して整理します。
Fortgaleが加えるもの
FortgaleがSentinelOneに加えるもの
どのベンダーも提供しないのは、プラットフォームを防御に変える部分です。Fortgaleの検知エンジニアリングは、287の脅威アクターと攻撃ツールの継続的な追跡に基づいています。独自ルールはすべてMITRE ATT&CKに対応づけられ、アラートは独自のCTIで補強された状態でアナリストに届きます。導入30日目でノイズを90%超削減し、判断は対応するアナリストが行います。検知までの時間（TTD）の中央値は15分未満、封じ込めまでの時間（TTC）の中央値は30分未満です。
SentinelOneでは、アナリストがコンソールからネイティブのアクションで対応します：Storyline上でのプロセスの終了、隔離、修復、ホストのNetwork Quarantine、そしてライブフォレンジックのためのPowerShellまたはBashによるRemote Shellです。RemoteOpsを使えば、複数のホストで同時にスクリプトを実行できます。
Windowsのロールバックは、VSSのシャドウコピーを使ってファイルと設定を以前の状態に戻します。本番サーバーでの復元は業務上の判断でもあるため、SOCはお客様が承認した範囲でのみ実行します。ファイアウォールやIDプロバイダーなどサードパーティのツールに対するアクションは、Singularity Hyperautomationと、オンボーディングで合意した連携を通じて行います。
FortgaleのCTIの指標（週34,000件のIOC）はThreat Intelligence APIを通じてSentinelOneに取り込まれ、STARルールは追跡中の攻撃者の手口に合わせて更新します。既知のインフラも既知の挙動も、同じアラートにつながります。
運用の引き継ぎ
お客様のSentinelOne環境を引き継ぐ方法
引き継ぎはお客様のSentinelOneコンソール上で行います。既存のエージェント、ポリシー、除外設定はそのまま残り、エンドポイントの再インストールは不要です。
アカウントが有効になった時点で監視は始まり、技術的なオンボーディングは1週間で完了します。ロール、STARルール、対応の権限、ロールバックの適用範囲を整えます。
お客様にご用意いただくもの：合意したロールを持つコンソールユーザー、ネットワーク隔離を事前承認するグループ、そしてロールバックがサーバーに及ぶ場合に判断するご担当者です。
現場から
TeamPCP：恐喝がクラスターから始まるとき
2026年3月、FortgaleのCTIチームはTeamPCP（英語記事）について報告しました。2025年末からクラウドネイティブなインフラを狙って活動しているグループです。公開されたDocker API、設定に不備のあるKubernetesクラスター、認証のないRedis、脆弱なRayダッシュボードを足がかりに、侵害されたTrivyやKICS、LiteLLMに関連するPyPIパッケージ、悪意のあるGitHub Actionsを通じたサプライチェーン攻撃にまで及んでいます。侵害されたノードはボットネットに組み込まれ、Moneroのマイニング、CI/CDパイプラインからの認証情報の窃取、リークサイトを使った恐喝に利用されます。
この記事はSentinelOneを扱ったものではありません。しかし、そこに挙げられたシグナルは、ノード上のエージェントが捉える種類のものです。node-setup-*やhost-provisioner-stdのような名前のKubernetes DaemonSet、コンテナから起動されたマイニングプロセス、本来その通信を行わないはずのホストからGitHubへの外向き通信などです。Singularity Cloudで保護されたノードでは、STARルールが最初の一致でプロセスを終了でき、ノードを隔離するかどうかはアナリストが判断します。
よくある質問
SentinelOneを運用する企業から実際に寄せられる質問
Fortgaleのサービスを利用するには、SentinelOneのMDRサービスが必要ですか？
いいえ。WayfinderとVigilanceはSentinelOneのMDRサービスの名称です。Fortgaleは、お客様がすでにお使いのSingularityコンソール上で独立して運用します。2017年からミラノで運用するSOCが24時間365日体制で対応し、日本の業務時間（9:00〜18:00 JST）にあたる欧州の夜間も同じ体制でカバーします。
ロールバックは誰が判断しますか？
お客様です。SentinelOneのロールバックは、VSSを使ってWindows上のファイルと設定を復元します。ワークステーションでは迅速な修復手段になりますが、アプリケーションサーバーでは正当なデータまで元に戻してしまう可能性があります。オンボーディングで、アナリストがすぐに実行できる範囲と、お客様の確認が必要な範囲を合意します。
コンソールとアクセス権はどうなりますか？
コンソール、ポリシー、除外設定はお客様の管理下に残ります。アナリストは合意したユーザーとロールで作業し、実行した対応はすべてコンソールのアクティビティログに記録されるため、お客様のチームがいつでも確認できます。
他のプロバイダーから、監視の空白なしに移行できますか？
導入済みのエージェントはそのまま使い、引き継ぐのはコンソールのユーザーと権限だけです。Fortgaleの監視はアクセスが有効になった時点で始まるため、前の契約は、技術的なオンボーディングが完了する1週間後に終了できます。
SentinelOneのライセンスは自社で購入しますか、それともFortgale経由ですか？
どちらも可能です。SentinelOneをすでにお持ちであれば、Fortgaleがお客様のコンソールを運用します。お持ちでない場合は、ライセンスをサービスに含めます。テレメトリの保持期間はパッケージによって異なり、どこまでさかのぼってハンティングできるかを左右するため、オンボーディングでパッケージを確認します。
実際の対応手順書を見る
お客様のSentinelOneコンソールで、実際の対応手順書を
Singularityのインシデントを一つずつたどってご説明します。アナリストが読み解くStoryline、アラートを発生させたSTARルール、ネットワーク隔離、そしてロールバックを承認した、あるいは見送った判断の場面です。あわせて、お客様の業種を狙う可能性が高い攻撃者についてのレポートをお渡しします。