重要
注意：所有 Microsoft Sentinel 功能将根据 世纪互联发布的公告 于 2026年8月18日 在中国地区的 Azure 正式停用。
Microsoft Sentinel 的技术文档中提供了最佳实践指南。 本文重点介绍了部署、管理和使用Microsoft Sentinel时要使用的一些关键指南。
若要开始使用 Microsoft Sentinel，请参阅 部署指南，其中介绍了规划、部署和微调Microsoft Sentinel部署的高级步骤。 从该指南中，选择提供的链接以查找部署中每个阶段的详细指南。
集成Microsoft安全服务
Microsoft Sentinel 由将数据发送到工作区的组件提供支持，并通过与其他 Microsoft 服务的整合变得更强大。 引入到产品（如Microsoft Defender for Endpoint和Microsoft Defender for Identity）的任何日志都允许这些服务创建检测，并反过来将这些检测提供给Microsoft Sentinel。 还可以将日志直接引入到Microsoft Sentinel，以便更全面地了解事件和事件。
除了从其他源引入警报和日志之外，Microsoft Sentinel还提供：
| 能力 | Description |
|---|---|
| 威胁检测 | 利用人工智能的威胁检测功能，您可以通过工作簿生成和呈现交互式可视化内容，运行运行手册来自动处理警报，集成机器学习模型以增强安全运营，并从威胁情报平台引入和提取富化数据流。 |
| 威胁调查 | 威胁调查功能 允许你可视化和浏览警报和实体、检测用户和实体行为中的异常，以及监视调查期间的实时事件。 |
| 数据收集 | 在本地和多个云中跨所有用户、设备、应用程序和基础结构收集数据。 |
| 威胁响应 | 威胁响应能力，例如能够与 Azure 服务和您现有工具集成的操作方案。 |
| 合作伙伴集成 | 使用 Microsoft Sentinel 数据连接器与合作伙伴平台集成，为 SOC 团队提供基本服务。 |
规划事件管理和响应过程
下图展示了事件管理和响应过程中的建议步骤。
下表提供高级事件管理和响应任务和相关最佳做法。 有关详细信息，请参阅 Azure 门户中Microsoft Sentinel事件调查。
| 任务 | 最佳做法 |
|---|---|
| “查看事件”页 | 查看 “事件” 页上的事件，其中列出了标题、严重性和相关警报、日志和感兴趣的任何实体。 还可以从事件跳转到收集的日志和与事件相关的任何工具。 |
| 使用事件图 | 查看 事件的事件图 以查看攻击的完整范围。 然后，可以构造事件的时间线并发现威胁链的范围。 |
| 审核事件以识别误报 | 使用有关关键实体（如帐户、URL、IP 地址、主机名、活动、时间线）的数据，以了解是否存在误报，如果是这样，您可以直接关闭事件。 如果发现事件为真，请直接从“事件”页采取操作，调查日志、实体并浏览威胁链。 确定威胁并创建了行动计划后，请使用Microsoft Sentinel和其他Microsoft安全服务中的其他工具继续调查。 |
| 可视化信息 | 查看Microsoft Sentinel概述仪表板，了解组织的安全状况。 除了Microsoft Sentinel概述页上的信息和趋势外，工作簿也是有价值的调查工具。 例如，使用调查见解工作簿来调查特定事件以及任何关联的实体和警报。 使用此工作簿可以显示相关的日志、操作和警报，从而深入了解实体。 |
| 搜寻威胁 | 在调查并搜寻根本原因时，请运行内置的威胁搜寻查询，并检查结果中是否有任何入侵迹象。 有关详细信息，请参阅 Microsoft Sentinel 中的威胁搜寻。 |
| 实体行为 | Microsoft Sentinel中的实体行为允许用户查看和调查特定实体的操作和警报，例如调查帐户和主机名。 有关详细信息，请参阅： 在 Microsoft Sentinel 中启用用户和实体行为分析（UEBA） - 使用 UEBA 数据调查事件 - Microsoft Sentinel UEBA 扩充参考 |
| 监视列表 | 使用将来自引入数据和外部源（例如扩充数据）组合在一起的监视列表。 例如，创建组织或最近离职的员工使用的 IP 地址范围列表。 借助监视列表和操作手册来收集补充数据，例如，将恶意 IP 地址添加到监视列表中，以便在检测、威胁搜寻和调查期间使用。 在事件发生期间，使用监视列表储存调查数据，然后在调查完成后将其删除，以确保敏感数据不会保留在视野中。 有关详细信息，请参阅 Microsoft Sentinel 中的监视列表。 |
优化数据收集和引入
查看 Microsoft Sentinel 数据收集最佳做法，其中包括优先处理数据连接器、筛选日志和优化数据摄取。
提高 Kusto 查询语言的执行速度
查看 Kusto 查询语言最佳做法 ，使查询更快。