重要
注意：根据 世纪互联发布的公告，所有 Microsoft Sentinel 功能将于 2026 年 8 月 18 日 在 Azure 中国区正式停用。
Microsoft Sentinel 中的搜寻书签可帮助你保留你认为相关的查询和查询结果。 还可以通过添加注释和标记来记录在上下文中的观察结果和引用发现结果。 你和你的团队成员可以看到带有书签的数据，这样可便于轻松协作。 有关详细信息，请参阅书签。
本文介绍如何在Microsoft Sentinel中创建、查看和管理搜寻书签，以及如何在调查期间使用这些书签。
添加书签
创建书签以记录查询、结果、观察和发现。
在 “威胁管理”下，选择“ 搜寻”。
从“ 查询 ”选项卡中，选择一个或多个搜寻查询。
在顶部命令栏中，选择“ 运行所选查询”。
选择“查看查询结果”。 例如：
选择 “查看查询结果 ”会在“ 日志 ”窗格中打开查询结果。
从日志查询结果列表中，使用复选框来选择包含了感兴趣信息的一个或多个行。
在 Azure 门户中，选择 “添加书签”
在右侧的“添加书签”窗格中，可以选择更新书签名称、添加标记和注释，以帮助确定对该项感兴趣的内容。
书签可选择性地映射到 MITRE ATT&CK 技术或子技术。 MITRE ATT&CK 映射从搜寻查询中的映射值继承，但你也可以手动创建它们。 在
添加书签 窗格的战术和技术 部分的下拉菜单中，选择与所需技术相关联的 MITRE ATT&CK 战术。 该菜单展开并显示所有 MITRE ATT&CK 技术，可以在此菜单中选择多种技术和子技术。
现在，可以从已添加书签的查询结果中提取更多类型的实体，以便进一步调查。 在“实体映射”部分，使用下拉列表选择实体类型和标识符。 然后映射包含相应标识符的查询结果中的列。 例如：
若要在调查图中查看书签，必须映射至少一个实体。 仍支持映射到创建的帐户、主机、IP 和 URL 实体类型的实体映射，保留后向兼容性。
选择 “创建” 以提交更改并添加书签。 所有已添加书签的数据都会与其他分析师共享，这是迈向协作式调查体验的第一步。
每当从Microsoft Sentinel打开“日志”窗格时，日志查询结果都支持书签。 例如，如果从导航栏中选择 “常规>日志 ”，请在调查图中选择事件链接，或者从事件的完整详细信息中选择警报 ID。 当“ 日志 ”窗格从另一个位置（例如直接从 Azure Monitor 打开）时，无法创建书签。
查看和更新书签
从书签选项卡中查找和更新书签。
转到 Azure 门户，在“威胁管理”下，选择“搜寻”。
选择“书签”选项卡以查看书签列表。
搜索或筛选以查找特定的一个或多个书签。
选择各个书签，在右侧窗格中查看书签详细信息。
根据需要进行更改。 更改将自动保存。
注释
只能在书签选项卡中查看最多 1,000 个书签。可以在日志中查看其余书签数据。 查看日志中已加书签的数据
在调查图中浏览书签
通过启动调查体验将书签数据可视化，可以使用交互式实体图形关系图和时间线来查看、调查和直观地传达你的发现。
重要
要调查的每个书签必须至少有一个映射实体。 如果书签没有映射的实体，请在开始之前更新书签，为其添加一个映射的实体。
在书签选项卡中，选择要查看的一个或多个书签。
选择 Investigate 可在调查图中查看该书签。
有关使用调查图的说明，请参阅使用调查图深入探讨。
将书签添加到新建或现有事件
在 Hunting 页面的“书签”选项卡中，将书签添加到事件。
从书签选项卡中，选择要添加到事件的一个或多个书签。
从命令栏中选择“事件操作”：
根据需要，选择“创建新事件”或“添加到现有事件”。 然后：
- 若要添加到新事件：可以选择更新事件的详细信息，然后选择“创建”。
- 若要将书签添加到现有事件：请选择一个事件，然后选择“添加”。
若要查看事件中的书签，
- 转到“Microsoft Sentinel”“威胁管理”>“事件”>。
- 选择带有书签的事件并选择“查看完整详细信息”。
- 在“事件”页面的左侧窗格中，选择书签。
在日志中查看已添加书签的数据
查看添加了书签的查询、结果或其历史记录。
在搜索>书签选项卡中，选择该书签。
在详细信息窗格中，选择以下链接：
查看源查询，以在日志窗格中查看源查询。
选择“查看书签日志”，查看所有书签元数据，其中包括执行更新的人员、更新的值以及更新发生的时间。
在 搜寻>书签 选项卡的命令栏中，选择 书签日志 以查看所有书签的原始数据。
“ 书签日志 ”视图显示所有具有关联元数据的书签。 可以使用 Kusto 查询语言 (KQL) 查询，筛选到要查找的特定书签的最新版本。
从创建书签到“书签”选项卡中显示书签的这段时间内，存在一个明显的延迟（以分钟计）。
删除书签
删除书签将从“书签”选项卡中的列表中删除书签。Log Analytics工作区的 HuntingBookmark 表继续包含以前的书签条目，但最新条目将 SoftDelete 值更改为 true，这会将该书签标记为已删除，以便筛选掉旧书签。 删除书签后，调查体验中与其他书签或警报相关联的任何实体并不会删除。
要删除书签，请完成以下步骤。
在搜寻>书签选项卡中，选择要删除的一个或多个书签。
右键单击并选择用于删除所选书签的选项。