用途：面向工厂、公用事业、医疗、楼宇自动化等无法安装终端代理的环境，提供无代理的网络检测与响应。分为两条路径：OT/ICS 使用专用 OT 网络传感器（物理或虚拟机）接入 SPAN/TAP；企业 IoT（EIoT）复用现有 Microsoft Defender for Endpoint 传感器发现并保护打印机、摄像头、VoIP、楼宇设备等，并在 Defender XDR 中呈现。不适用于 IoT Hub / IoT Central 数据面安全、Azure Sphere 固件设计或工作站/服务器 EDR。
主要能力：按 Purdue 层级做网络映射，监测层级间与 Level 2/3 东西向流量；被动建立设备、固件版本和协议关系基线；告警类别含恶意软件、网络异常、协议违规和运营类（如未授权 PLC 编程变更）；固件与已知 CVE 匹配；通过 Defender for IoT 数据连接器接入 Sentinel，构建 OT 工作簿与剧本；EIoT 设备可按功能分组打标并应用 NAC/NSG/防火墙策略。
使用方式：OT 侧先做 Purdue 层级映射，每站点部署一个接 SPAN 镜像口的被动传感器，多站点可聚合到云连接模式，气隙站点用本地管理控制台；约 14 天建立基线并经 OT 团队确认后再启用告警。EIoT 侧在已部署 MDE 的环境于 Defender XDR 设置中开启，在 security.microsoft.com → Assets → Devices 按 Device type = IoT 查看清点。
限制：OT 传感器必须完全被动，禁止主动探测；任何交换机、VLAN、SPAN 变更需走 OT 变更窗口；OT 告警需带上下文，不能直接丢给 IT SOC；EIoT 需每网段至少一个 MDE 端点，否则存在盲区；OT 补丁不得按 IT 节奏推送，应结合季度或年度变更窗口规划。常见反模式包括主动扫描 PLC、整站共用单传感器、把 OT 告警归入 IT 队列、跳过 EIoT、在 IT 月度窗口打 OT 固件、用本产品监控 IoT Hub 遥测。参考：https://learn.microsoft.com/azure/defender-for-iot/