用途：集中管理 Microsoft 与第三方安全日志、构建检测、跨数据狩猎并自动化响应；适用于跨云、本地和 SaaS 的统一 SIEM，而不只是 Microsoft 365。仅关联 M365 告警应使用 defender-xdr，将既有 Sentinel 工作区接入统一 Defender 门户应使用 unified-secops-platform。
主要能力：按日志价值选择接入层（Analytics、Basic logs、Auxiliary logs、ADX、M365 Defender 连接器免费）；通过 Content Hub 安装解决方案，一次获得连接器、解析器、工作簿、狩猎查询和分析规则；用 KQL 编写计划与近实时检测，将告警分组为事件；启用 UEBA，用自动化规则做分诊、用 Logic Apps 剧本做响应，并映射 MITRE ATT&CK。
关键做法：先用 30 天样本估算用量并选择承诺层级；默认每租户单一集中工作区，用表级 RBAC 而非拆分工作区；优先接入 Entra ID、Office 365、Defender XDR、Azure Activity、Microsoft Threat Intelligence 等连接器；内置规则先广泛启用再快速调优，不因误报直接禁用；每月审查 Usage 表并调整低价值表的层级与保留期。
限制与注意事项：承诺层级按日最低计费，超额承诺可能比按量付费更贵，应先运行按量付费基线；避免 Defender XDR 原始事件与高级狩猎重复接入；Auxiliary 日志不能驱动计划分析规则；不要对每条规则都挂响应剧本。资料未提供具体价格数值（仅示例性 2026 定价口径）、安装命令或代码示例。相关文档链接见资料中的 Microsoft Learn 各 URL。