如何配置风险登录告警？基于Microsoft Defender与Sentinel的方案探讨

一、无需Azure Sentinel时的实现方案 #

1. Azure AD Identity Protection（ID Protection） #

直接用ID Protection就能实现风险登录的自动告警，它是Azure AD原生的身份安全工具，内置了风险登录（比如异地IP、异常设备、密码泄露关联等）的检测能力：

• 可在Azure门户的ID Protection界面，针对低/中/高风险的登录事件配置告警规则，触发后自动向管理员或用户发送邮件通知；
• 还能联动自动响应动作，比如自动重置用户密码、阻止高风险登录尝试，无需人工干预。

2. Log Analytics + KQL查询告警 #

如果需要更灵活的自定义检测逻辑，可把Azure AD的登录日志（SignInLogs）、风险日志（RiskySignIns、RiskyUsers）导入到Log Analytics工作区，再通过KQL查询创建告警规则：

• 示例KQL查询（筛选高风险登录+异地IP的情况）：

RiskySignIns
| where RiskLevel == "high" 
| extend Location = strcat(LocationDetails.City, ", ", LocationDetails.CountryOrRegion)
| where Location != "用户常用城市, 用户常用国家" // 替换为实际常用位置
| project TimeGenerated, UserPrincipalName, RiskLevel, Location, IPAddress

• 基于这个查询创建告警规则，设置触发条件（比如1小时内出现1条及以上结果），配置通知方式（邮件、Teams机器人等），即可实现自动告警。

二、Azure Sentinel是否更适合这类场景？ #

需结合企业实际需求判断：

• 如果仅需要基础的风险登录告警和简单响应，用ID Protection或Log Analytics的KQL告警完全足够，成本更低、配置更简单；
• 如果企业有复杂的安全运营需求（比如需要关联钓鱼邮件日志、终端恶意软件告警、Azure AD登录日志做跨域威胁分析，或者需要自动化的端到端处置流程），Azure Sentinel会更适配。

三、Azure Sentinel的核心价值 #

1. 统一安全数据湖：整合微软生态（Defender、Azure AD、Exchange等）和第三方安全工具的所有日志，打破数据孤岛，支持全局威胁分析；
2. 高级威胁检测能力：内置大量预构建的身份安全检测规则，还支持机器学习驱动的异常分析，能识别更隐蔽的组合式威胁（比如攻击者先通过钓鱼获取凭证，再用代理IP异地登录+访问敏感文档的行为）；
3. 自动化响应编排（Playbook）：可通过Power Automate或Logic Apps创建Playbook，把告警后的处置步骤自动化——比如检测到风险登录后，自动撤销用户MFA会话、重置密码、拉黑异常IP、发送通知给安全团队，全程无需人工介入；
4. 可视化与合规审计：自定义仪表盘展示风险趋势、告警统计，生成符合GDPR、ISO27001等标准的合规报表；
5. 高度扩展性：支持自定义KQL查询、对接第三方SOAR工具，适配不同规模企业的复杂安全场景。

内容的提问来源于stack exchange，提问作者Cataster