用途：当需要一套被业界认可、已映射到主流合规框架的云安全基线，或要把合规义务翻译成具体 Azure 控制项、确定 Defender for Cloud 建议的优先顺序时，可使用本技能。它不适用于 Defender for Cloud 的具体修复操作、Azure Policy 编写细节或工作负载威胁建模。
主要能力：MCSB 是 Microsoft 的规范性云安全最佳实践集合，包含 12 个控制域，原生在 Defender for Cloud 中监控，并作为默认计划（initiative）评分。技能给出按风险与依赖排序的优先级：P0 身份管理与特权访问、日志与威胁检测；P1 网络安全、数据保护、资产管理；P2 态势与漏洞管理、终端安全与备份恢复、事件响应；P3 DevOps 安全、治理与策略。
使用方式：先确认 MCSB 为活动基线（Defender for Cloud → 法规符合性，默认启用但可能被关闭）；记录各订阅与各控制域的 Secure Score 作为基线；将 MCSB 作为统一实现层，用其框架映射同时满足 CIS、NIST、ISO、PCI 的证据需求；按优先级表分域处理，域内按 Secure Score 影响与受影响资源降序排序；实现细节参考各服务安全基线；用 Azure Policy 固化（先 Audit 两周，再 Deny 或 DeployIfNotExists）；为每个控制域指定负责人并定期评审。
限制与注意：MCSB 是基线而非工作负载威胁模型，100% Secure Score 不代表应用安全；Secure Score 是方向性指标，不适用项应走“Not applicable”流程；启用 Defender 计划、客户管理密钥、不可变备份库会增加实际 Azure 支出，需先做成本建模；生产环境不要依赖 Quick Fix 自动修复，应先审查底层 Bicep/ARM 变更；服务基线可能滞后于平台，需查阅服务自身的安全最佳实践文档。成熟租户的现实目标约为 65–75%，超过 85% 通常意味着在审计不适用建议。
参考链接：MCSB 概览 https://learn.microsoft.com/security/benchmark/azure/overview ；介绍与控制项 https://learn.microsoft.com/security/benchmark/azure/introduction ；服务安全基线 https://learn.microsoft.com/security/benchmark/azure/security-baselines-overview ；法规符合性仪表板 https://learn.microsoft.com/azure/defender-for-cloud/regulatory-compliance-dashboard ；Secure Score https://learn.microsoft.com/azure/defender-for-cloud/secure-score-security-controls ；Quick Fix https://learn.microsoft.com/azure/defender-for-cloud/implement-security-recommendations 。