用途：跨云基础设施与 SaaS 应用评估并持续加固配置态势，尤其适合修复停滞或难以判断“下一步该修什么”的场景。不适用于 IaaS/PaaS 工作负载威胁防护、仅做 SaaS 威胁检测或影子 IT 发现、以及面向 AI 的 DSPM。
主要能力：按需选择态势视角——Azure 订阅、AWS 账户、GCP 项目用 Defender for Cloud CSPM；互联网暴露的 VM 或数据用付费 Defender CSPM 加攻击路径分析；Microsoft 365、Salesforce、ServiceNow、GitHub 等配置用 Defender for Cloud Apps SSPM；容器/Kubernetes 用 CSPM 容器计划；代码/IaC 错误配置用 DevOps 安全；云身份卫生用 CIEM 建议。基础 CSPM 随 Defender for Cloud 计划免费，提供 Secure Score 与 MCSB 建议；付费 Defender CSPM 增加攻击路径分析、云安全图、无代理扫描与 DevOps。
使用方式：在所有 Azure 订阅启用基础 CSPM 并连接 AWS、GCP，确认 MCSB 建议与 Secure Score 正常；对高价值范围启用付费 Defender CSPM；在 Defender for Cloud Apps 中通过 API 连接器接入各 SaaS 应用；按互联网暴露、敏感数据、特权身份与攻击路径关键性排序修复；分配负责人与 SLA；用 Azure Policy 防止回归，用工作流自动化安全地自动修复；持续监控漂移。
限制与注意：态势管理是预防性的，需与威胁检测配合；不要单纯追求分数，优先修复可利用的高影响问题；修复需与应用/工作负载负责人协调以免中断；免费 CSPM 是底线而非上限；每个连接的 SaaS 应用都需治理投入；应将发现视为代码，修复根模板而非仅修已部署资源。常见反模式包括无范围地全量启用、只看分数忽略攻击路径、SSPM 只连接不审查、缺少 Azure Policy 兜底、将 SSPM 与 CSPM 割裂看待。
参考：Defender for Cloud CSPM、SaaS 安全态势、攻击路径分析、云安全图、Secure Score、Microsoft Cloud Security Benchmark 的 Microsoft Learn 文档。