01
Enterprise Security 8
Enterprise Securityのキューで、アナリストがファインディングとファインディンググループに対応します。バージョン8からはノータブルイベントに代わる仕組みで、Mission Controlも統合されています。
Splunk Enterprise SecurityのマネージドSOC：検知の運用はFortgaleが担います
Splunkに投資したものの、夜間に対応する人のいないファインディングや、何年も前に書かれたまま誰も保守していないルールを抱えるチームへ。FortgaleのMDR（マネージド・ディテクション・アンド・レスポンス）サービスは、お客様のSplunkの中で検知を運用し、データはそのままに、連携したツールを通じて対応します。封じ込めまでの時間の中央値は30分未満です。
Fortgale × Splunk
MDR · live
Splunkセンサー稼働中エンドポイント・クラウド・アイデンティティのテレメトリ
Splunk 欧州のSOC 24·7·365L2/L3アナリストと直接連携
Fortgale マルチドメインAIによる一次選別導入30日目でノイズを90%超削減
Fortgale Splunkのネイティブ機能で対応数秒で端末を隔離
Live 独自の脅威インテリジェンス287の脅威アクターと攻撃ツールを継続的に追跡
Fortgale MDR稼働中、SplunkとFortgale SOCが連携
認証と運用
ISO/IEC 27001
SOC 24·7·365
Milano · 2017
テクノロジーパートナーシップ
Splunk Enterprise Security
MITRE ATT&CK aligned
OpenCTI
対応範囲
Splunkで監視する範囲
Splunk Cloud PlatformまたはオンプレミスのSplunk Enterprise上で、SOCが運用を引き受けるSplunkのコンポーネントです。Splunkが未導入の場合は、ライセンスの手配と導入もサービスの一部として行います。
02
SPL検知
FortgaleがSPLで作成し、MITRE ATT&CKに対応付けたイベントベースの検知。追跡する攻撃者の動向に合わせて更新します。
03
リスクベースアラート
中間的なファインディングをファインディングベースの検知でエンティティごとに集約します。同じユーザーに関する10件の弱いシグナルが、対応すべき1件のファインディングになります。
04
脅威インテリジェンス
Fortgaleの指標をTAXII、STIX、ルックアップ経由でEnterprise SecurityのThreat Intelligence Frameworkに取り込み、脅威マッチングの検索で活用します。
05
Splunk SOAR
Splunk SOAR上のプレイブックと対応プラン。EDR、IDプロバイダー、ファイアウォールを通じて封じ込めるため、Fortgaleが作成・保守します。
06
データソース
エンドポイント、ファイアウォール、Active Directory、Microsoft 365、AWS、AzureのログをUniversal Forwarder、HEC、API経由でSplunkに取り込みます。
07
UEBA
ES Premierに含まれるユーザー・エンティティ行動分析です。単体製品のSplunk UBAは2027年1月31日にサポート終了となります。
Fortgaleが加えるもの
FortgaleがSplunkに加えるもの
SIEMは収集と相関分析を行いますが、判断はしません。Fortgaleは、SIEMを防御に変える検知エンジニアリングを提供します。ルールは287の脅威アクターと攻撃ツールの追跡に基づき、MITRE ATT&CKに対応づけてミラノのSOCが維持します。アラートは独自のCTIで補強されてからアナリストに届きます。データはお客様の環境に、お客様が定めた保持期間のまま残ります。導入30日目でノイズを90%超削減し、アラートが確認されると、アナリストはプラットフォームに接続されたツールを通じて対応します。検知までの時間（TTD）の中央値は15分未満、封じ込めまでの時間（TTC）の中央値は30分未満です。
Splunkはホストを隔離したり、アカウントをブロックしたりはしません。相関分析を行い、注意を向けるべきものを判断します。対応は、Enterprise Securityの調査から起動するSplunk SOARのプレイブックで実行します。端末隔離はEDRへ、アカウントのブロックはActive DirectoryまたはEntra IDへ、アドレスのブロックはファイアウォールへの連携を通じて行います。
Enterprise Securityの対応プランは、調査の各フェーズにアクションとプレイブックを結び付けます。アナリストはトリアージしたのと同じファインディングから封じ込めを行い、すべての手順が証跡と並んで記録されます。
Fortgaleの検知は、お客様のチームが読めるSPL検索としてお客様のSplunkの中にあります。FortgaleのCTIが提供する週34,000件のIOCはThreat Intelligence Frameworkに取り込まれます。既知のインフラであれば、ファインディングは攻撃者の特定がついた状態でアナリストに届きます。
運用の引き継ぎ
お客様のSplunk環境を引き継ぐ方法
引き継ぎは、Cloudでもオンプレミスでもお客様のSplunkインスタンス上で行います。インデックス、保存期間、アプリはそのままです。
アクセスが稼働した時点で監視は始まり、技術的なオンボーディングは1週間で完了します。Enterprise Securityのロール、Fortgaleの検知、SOARの接続、対応の権限がそろいます。
同じ1週間で、データソースも確認します。どのデータが届いているか、どれが不足しているか、それがないとどの検知が機能しないかを整理します。お客様にご用意いただくもの：Splunkの管理者、対応用コネクタの権限、エスカレーション先の一覧です。
現場から
Mater Nebula：相関分析で初めて見える列挙攻撃
2025年1月、Fortgaleはイタリアおよび欧州の企業を狙ったMicrosoft 365ユーザーの大規模な列挙キャンペーン（英語記事）を報告し、Mater Nebulaによるものと特定しました。2024年12月27日に始まったこのキャンペーンでは、オープンソースのツールo365enumを使い、プロバイダーNetassistのIPv6アドレスからActiveSync、Autodiscover、office.comのログインページを調べることで、実在するアカウントを割り出していました。目的はフィッシングとパスワードスプレー攻撃の準備です。MDRサービスは、同じ指標を相関させることで、複数のテナントにまたがるこの活動を検知しました。
この記事はSplunkを扱ったものではありませんが、SIEMで扱う典型的なケースです。単一のテナントでは、しきい値を超えない散発的な試行にすぎません。Entra IDとExchange Onlineのサインインログを集めるインデックスでは、それが一つのパターンになります。送信元ごとに試行を集約するSPL検知と、関係するアイデンティティへのリスクベースアラートを組み合わせれば、スプレー攻撃が始まる前に、そのノイズを対応すべきファインディングに変えられます。
よくある質問
Splunkを運用する企業から実際に寄せられる質問
データは自社のSplunkに残りますか？
はい。ログは、お客様が決めた保存期間のまま、Splunk Cloudまたはお客様のインフラ上のインデックスに残ります。アナリストは合意したロールでお客様のインスタンス内で作業し、すべての検索とアクションはSplunkの監査ログに記録されます。
封じ込めにはEDRが必要ですか？
アクションを実行するツールが必要です。Splunkが相関分析を行い、SOARがオーケストレーションを担いますが、端末隔離はEDR、アカウントのブロックはIDプロバイダーが実行します。オンボーディングでは、SOARのコネクタをお客様のツールに接続し、アナリストが確認なしで対応できる範囲を合意します。
Enterprise Security Premierが必要ですか、それともEssentialsで足りますか？
対応の方法によります。PremierにはSplunk SOAR、UEBA、Attack Analyzerを基盤とする自動分析が含まれます。Essentialsは検知、ファインディング、脅威インテリジェンスをカバーしますが、対応は別のSOARまたは各ツールのコンソールを通じて行う必要があります。オンボーディングは、お客様がお持ちのエディションから始めます。
他のプロバイダーから、監視の空白なしに移行できますか？
インデックスとデータソースは移動しません。変わるのはロール、有効な検知、プレイブックだけです。Fortgaleの監視はアクセスが稼働した時点で始まり、前の契約は技術的なオンボーディングが完了する1週間後に終了できます。
Splunkのライセンスは自社で購入しますか、それともFortgale経由ですか？
どちらも可能です。Fortgaleは、お客様がすでに保有するSplunk CloudまたはSplunk Enterpriseのライセンスを運用することも、サービスの一部としてライセンスの手配と導入を行うこともできます。
実際の対応手順書を見る
お客様のSplunkで、実際の対応手順書を
Enterprise Securityのファインディングを一歩ずつ追います。それを発生させたSPL検知、エンティティに蓄積されたリスク、封じ込めを行ったSOARのプレイブック、そしてインデックスに残る証跡です。あわせて、お客様の業種を狙う可能性が高い攻撃者についてのレポートをお渡しします。