咨询：能否基于警报/事件内容为Azure Sentinel事件动态设置标签

当然可以不用创建大量静态自动化规则，以下是几种直接实现动态标签的方法：

• 通过Logic Apps（Playbook）动态赋值
  这是最灵活的方式：创建一个通用Playbook，触发节点选择「当Azure Sentinel事件创建或更新时」，后续添加「更新Azure Sentinel事件」节点。在标签输入框中，直接引用事件/警报的动态属性——比如事件的警报名称、实体详情（IP地址、账户名），或者用表达式拼接自定义内容。
  举个实际场景：要把攻击者IP设为标签，直接在标签栏选择动态内容里的实体 - IP地址，或者用表达式拼接成更清晰的格式：concat("攻击者IP:", triggerBody()?['Entities'][0]?['Address'])。

• 结合KQL查询提取动态值
  如果需要从日志或事件扩展属性里提取特定内容，可在Playbook中添加「运行KQL查询」节点，针对SecurityAlert或Incident表查询目标字段，将结果直接赋值给标签。比如查询警报ExtendedProperties中的威胁情报标签，把它同步到事件标签里。

• 使用自动化规则的表达式功能（预览）
  当前Azure Sentinel的自动化规则支持直接用表达式生成动态标签，无需依赖Playbook。创建规则时，选择「添加标签」动作，点击「使用表达式」，用ARM风格的表达式引用事件/警报属性，比如[parameters('AlertContext')?['AlertProperties']?['ThreatLevel']]，就能把威胁等级自动设为标签。

注意事项 #

• 每个标签长度不能超过256字符，单事件最多添加10个标签
• 引用动态属性时建议处理空值，比如用if(empty(triggerBody()?['Entities'][0]?['Address']), '无攻击者IP', triggerBody()?['Entities'][0]?['Address'])避免生成空标签

内容的提问来源于stack exchange，提问作者Rumpleteaser