用途：Microsoft Defender XDR 是统一的事前与事后防御套件，原生关联终端（MDE）、身份（MDI 与 Entra ID Protection）、邮件与协作（MDO）、云应用（MDA）的信号，在 security.microsoft.com 单一门户中给出带攻击图、时间线、证据与建议动作的优先级事件。适用于在 Microsoft 365 资产上做协同检测与响应，以及需要 XDR 关联的攻击中断功能。不适用于第三方日志摄取或跨非微软源编写 KQL（sentinel）、合并 Sentinel 与 Defender（unified-secops-platform）、仅调优终端策略（defender-for-endpoint）。
主要能力：按信号映射来源工作负载与许可——进程树/网络连接/文件哈希对应 MDE P2；Kerberos 异常、DCSync、AD CS 滥用对应 MDI；风险登录、泄露凭据对应 Entra ID Protection；钓鱼链接、恶意附件、BEC 对应 MDO P2；风险 OAuth 应用、SaaS 异常上传对应 MDA；Azure 资源与 AKS 告警对应 Defender for Cloud。若事件仅显示“1 告警、1 实体”，说明有工作负载未接入。
使用方式：先按顺序接入 MDE、MDI、Entra ID Protection、MDO，SaaS 在范围内时加 MDA；24 小时后确认事件视图出现至少 3 个不同 ServiceSource。广泛启用前先配置统一 RBAC（security.microsoft.com → Permissions），按数据源与权限级别建自定义角色，先以 active-directory 模式试点 30 天。始终从事件队列而非单告警入手调查，用攻击图查看跨工作负载杀伤链。攻击中断先以 report-only 运行 14 天，审查 Action center 后再强制执行。高级搜寻使用共享架构 KQL（DeviceEvents、IdentityLogonEvents、EmailEvents、CloudAppEvents），将有用查询提升为带实体映射的自定义检测规则。按设备组配置 AIR 修复级别，多数环境工作站用 Full、服务器用 Semi。每月用 MITRE ATT&CK 覆盖视图查盲点，跟踪中位确认与遏制时间。
限制与护栏：至少需 MDE + MDI + Entra ID Protection 才有真正 XDR 关联；自定义规则必须映射实体，否则告警不聚合、攻击图断裂；不要在队列层抑制事件，应在告警源抑制；统一 RBAC 需全工作负载迁移，混用会造成权限重叠；攻击中断会隔离设备、禁用用户，须先试点。官方文档见 https://learn.microsoft.com/defender-xdr/microsoft-365-defender 等链接。