unified-secops-platform

统一 SecOps 平台（Microsoft Defender 门户）

统一安全运营平台将 SIEM（Microsoft Sentinel）、XDR（Microsoft Defender XDR）、Microsoft Security Copilot、Microsoft Defender Threat Intelligence 和 Microsoft Security Exposure Management 整合到 Microsoft Defender 门户（security.microsoft.com）的单一体验中。

适用场景

在一个门户中统一 SOC 工作，整合 SIEM 和 XDR 信号的事件队列，并减少分析人员在不同上下文之间切换。

以下情况不要使用此技能：

• 仅设计工作区、数据连接器或分析规则（使用 sentinel）
• 仅调查终结点、身份、电子邮件或云应用（使用 defender-xdr）
• 仅编写威胁搜寻查询（使用 sentinel 获取 KQL 指引）

选择合适的起始问题

当前痛点	使用统一门户...	备注
分析人员在 Azure 门户和 security.microsoft.com 之间来回切换	将 Sentinel 接入 Defender 门户	一个队列，一个实体关系图
存在两个事件队列，需要手动关联	使用跨 SIEM + XDR 的统一事件队列	自动关联，统一分类
在 Defender + Sentinel 表中进行搜寻需要编写两个查询	使用 Defender 门户中的高级搜寻	统一的 KQL 界面
需要攻击面和攻击路径视图	添加 Exposure Management	按影响范围确定优先级
SOC 希望直接获得 AI 辅助	添加嵌入式 Security Copilot	按事件生成摘要

**经验法则：**如果你的 SOC 同时使用 Sentinel 和 Defender XDR，就应该使用统一门户。Azure Sentinel 门户是旧版界面；新的投资会优先落地到 Defender 门户。

方法

1. 确认先决条件 - 需要 Microsoft Sentinel 工作区、至少已载入一个 Defender 产品的 Microsoft Defender XDR、载入管理员所需的 Entra 和 Sentinel RBAC 角色，以及 Sentinel 工作区与 Defender XDR 租户之间的租户一致性。 验证：工作区和 Defender XDR 位于同一租户；管理员拥有 Microsoft Sentinel Contributor 角色和 Defender XDR 安全角色。
2. 选择主工作区 - 每个租户在统一门户中只能有 一个 Sentinel 工作区 作为主工作区。如果运行多个工作区，请确定哪个承载统一体验，哪些仅保留在 Azure 门户中。相应规划迁移。 验证：工作区清单记录了哪个是主工作区及其选择理由。
3. 将 Sentinel 载入 Defender 门户 - 在 Defender 门户中连接 Log Analytics 工作区。载入不会破坏现有 Sentinel 内容（分析规则、威胁搜寻查询、剧本），但会改变分析师的工作位置。 验证：Defender 门户 → 调查和响应中显示来自 Sentinel 分析规则和 Defender XDR 检测的事件。
4. 验证统一事件队列 - Sentinel 和 Defender XDR 的事件与警报会合并到一个队列中，并共享实体，从而支持在单一界面中进行分诊。确认先前独立存在的 Sentinel 事件现在会在适当情况下与 XDR 警报关联。 验证：端到端测试攻击（例如，模拟网络钓鱼 + 登录异常）会生成一个关联事件，而不是两个。
5. 使用统一高级威胁搜寻 - 在 Defender 门户的威胁搜寻体验中，使用 KQL 同时查询 Sentinel 和 XDR 表。停用仅用于连接这两个界面的重复威胁搜寻查询。 验证：在一个窗口中运行同时联接 Defender 表（例如 DeviceLogonEvents）和 Sentinel 表的威胁搜寻查询。
6. 加入跨领域功能 - 添加 Security Copilot 以获得内联 AI 辅助，添加 Threat Intelligence 以管理 IOC，添加 Exposure Management 以洞察攻击面和攻击路径。这些功能各有价值，但也会产生许可证/SCU 成本——请根据 SOC 的痛点安排启用顺序。 验证：启用每项功能前，都有明确的 SOC 用例，而不只是打开开关。
7. 端到端验证 RBAC - Defender 门户的 统一 RBAC 控制合并体验的访问权限。将现有 Sentinel 和 Defender 角色分配映射到统一模型，并确认没有出现角色权限提升或非预期访问。 验证：遵循最小权限原则的分析师只能在事件队列和威胁搜寻中看到分配给自己的工作负载。
8. 迁移分析师工作流 - 更新运行手册、轮班链接和培训内容，使其指向 Defender 门户。将 Azure Sentinel 门户视为分析师日常工作的旧版门户。

防护措施

• 载入 Defender 门户后，部分 Sentinel 功能的行为会有所不同——在分析师从 Azure 门户迁出之前，请查看有关分析规则用户体验、工作簿呈现和事件丰富的“变更内容”指南。
• 谨慎验证 RBAC。 Defender 门户统一 RBAC 控制合并体验的访问权限，其授予或限制访问的方式可能不同于仅使用 Sentinel 原生或 Defender 原生 RBAC。
• 每个租户在统一门户中只能有一个主工作区——拥有多个工作区的 SOC 需要明确选择主工作区，并为其他工作区制定计划。
• 载入不等于迁移——分析规则、剧本和工作簿仍保留在 Sentinel 中；改变的是门户界面。请单独处理内容的可移植性。
• 成本结构会变化，但不会消失。 Sentinel 数据引入仍通过 Log Analytics 计费；Copilot 按 SCU 计费；Exposure Management 可能需要单独的许可证。启用前请先评估成本。
• 过渡期间请保持 Azure Sentinel 门户可访问——部分管理任务（工作区设置、高级数据连接器配置）仍需在该门户中完成。

常见反模式

• “第一天就接入所有内容。” 如果没有 RBAC 和工作区规划，就会导致事件合并混乱，让分析师无所适从。
• 把 Defender 门户当作 Sentinel 内容的替代品。 规则和运行手册仍在 Sentinel 中；门户只是控制台。
• 跳过 RBAC 验证步骤。 统一 RBAC 可能会悄然授予跨产品访问权限，而仅适用于 Sentinel 或 Defender 的角色并不会授予此类权限。
• 拥有多个工作区却没有明确的主工作区。 分析师将不知道哪个队列才是事实来源。
• 在统一队列稳定运行之前启用 Exposure Management 或 Copilot。 在不稳定的基础上叠加功能只会放大噪声。

示例提示词

• Onboard a Sentinel workspace to the Defender portal for a single SOC pane.
• How do I merge Sentinel and Defender XDR into one unified incident queue?
• Move off the Azure Sentinel portal to the unified platform.
• Reduce analyst context-switching by adding Exposure Management to the unified portal.
• What changes for my analysts after onboarding Sentinel to the Defender portal?

Microsoft Learn

• 统一 SecOps 概览：https://learn.microsoft.com/unified-secops-platform/overview-unified-security
• 将 Sentinel 连接到 Defender 门户：https://learn.microsoft.com/azure/sentinel/microsoft-sentinel-defender-portal
• Microsoft Defender 门户：https://learn.microsoft.com/defender-xdr/microsoft-365-defender-portal
• Defender 门户中的统一 RBAC：https://learn.microsoft.com/defender-xdr/manage-rbac
• Microsoft Security Exposure Management：https://learn.microsoft.com/security-exposure-management/microsoft-security-exposure-management
• 统一门户中的高级搜寻：https://learn.microsoft.com/defender-xdr/advanced-hunting-overview