用途：当需要为多云环境建立集中式安全运营中心、从 Splunk/QRadar 等传统 SIEM 迁移到云原生架构、为云威胁构建自动化事件响应流程、进行大规模威胁狩猎，或把威胁情报源与云安全日志分析集成时使用本技能。仅 AWS 环境（Security Hub 与 GuardDuty 已足够）、需要 EDR 的端点检测（用 Defender for Endpoint）或合规态势监控不属于本技能范围。
前提：已启用 Sentinel 的 Azure 订阅与 Log Analytics 工作区；目标日志源（AWS CloudTrail、Azure Activity、GCP）的数据连接器权限；Logic Apps 或 Azure Functions；以及 KQL 熟练度。
主要流程：第一步创建工作区并启用 Sentinel 与多云连接器，例如 az monitor log-analytics workspace create 与 az sentinel onboarding-state create、az sentinel data-connector create。第二步用 KQL 编写分析规则检测云威胁，如不可能旅行登录、AWS IAM 凭证滥用、S3 对象批量删除，并映射 MITRE ATT&CK。第三步用 Logic Apps 构建 SOAR 剧本，在事件触发时自动禁用用户、补充上下文。第四步启用 Sentinel 数据湖做 PB 级长期留存与跨账户横向移动狩猎。第五步接入 Microsoft 威胁情报并编写基于指标（IP、域名、URL）的匹配规则。
概念与工具：KQL、分析规则、SOAR 剧本、数据连接器、Sentinel 数据湖、工作簿、监视列表、Fusion 检测；Microsoft Sentinel、Azure Logic Apps、Microsoft Threat Intelligence、Azure Data Explorer、MITRE ATT&CK Navigator。
限制：需 Azure 订阅与相应权限，依赖 KQL 能力；资料未提供定价、许可与具体配额信息。