用途：MDI 面向本地与混合身份基础设施的身份威胁检测与响应（ITDR）。传感器部署在域控制器及其他身份基础设施上，解析网络流量、ETW 事件与 AD 对象读取，检测侦察、凭据窃取、横向移动与域控接管，信号关联进 Defender XDR 事件。适用于本地 AD、AD CS、AD FS、Entra Connect 的攻击检测与身份安全态势（ISPM）问题发现；不用于纯云端 Entra ID 风险检测（应使用 entra-id-protection）。
主要能力：按攻击行为映射检测族与传感器面——用户/组/SPN 枚举（侦察，DC 传感器 LDAP、SAMR）、Kerberoasting（DC 传感器 Kerberos）、DCSync（域控接管，DC 传感器 DRSUAPI RPC）、黄金/白银票据（DC 传感器 Kerberos 异常）、AD CS 误配 ESC1–ESC8（AD CS 传感器）、AD FS 登录劫持与令牌/SAML 伪造（AD FS 传感器）、Entra Connect 同步账户凭据窃取（Entra Connect 传感器）、风险配置探测（ISPM，全部传感器加云端评估）。
使用方式：先清点全部域控制器（含 RODC）、AD CS 企业 CA、AD FS 服务器与 Entra Connect/Cloud Sync 主机，作为传感器目标清单；部署前确认出站 HTTPS、传感器 MSI、目录服务账户（DSA）及 DC 上所需高级审核策略与对象访问 SACL；DSA 使用 gMSA 而非静态密码服务账户；按波次部署（先 DC，再 AD CS、AD FS、Entra Connect），波次间等待 24 小时建立基线；先确认良性告警再处理身份安全态势评估；可部署蜜标账户；在 Defender XDR 中按事件而非单条告警调查。
限制与注意：每个 DC 都必须有传感器，含 RODC，否则形成盲点；AD CS 传感器不可省略；DSA 必须用 gMSA；应调优而非抑制告警；蜜标需记录以免 SOC 误查。常见反模式包括只覆盖部分 DC、用域管账户作 DSA、忽略态势告警、不部署 AD CS 传感器、告警只送旧 SIEM 而不用 XDR。具体收费、价格与平台细节暂未提供。