Azure Sentinel引用大规模数据时IP地理富集解决方案咨询

第一优先级：使用Log Analytics自定义参考表（你备选方案1的优化落地版） #

这是当前场景下性能、成本、维护成本综合最优的解法，完全规避你遇到的两个限制：

• 先将20万条IP地理库做前置清洗：把subnet字段标记为IP前缀类型，补充校验无重复CIDR段，12MB/20万条的体量远低于Log Analytics自定义表的容量限制，没有存储上限问题
• 通过数据收集规则(DCR)批量导入到Log Analytics工作区的自定义表中，可将表的保留周期设置为与SigninLogs一致，无额外高额成本
• 富集查询时直接配合Kusto内置的ipv4_lookup()函数做CIDR匹配，没有externaldata的3万条记录限制，单次查询几十万条SigninLogs也能在几秒内返回结果

如果你的IP地理库更新频率较高（比如日更），可以搭配Azure Function做自动化同步：定时拉取最新的公开IP库、清洗后自动写入自定义表，无需手动维护。

第二优先级：LogicApps异步富集方案（你备选方案2的适用场景） #

该方案仅适合你需要将IP富集结果同步给Sentinel以外的其他业务系统的场景：

• 可配置定时触发的LogicApps流程，拉取指定时间窗口内未富集的SigninLogs IP，批量调用本地IP库做匹配后，将结果写入自定义表或者Blob存储
• 劣势是多了导出、转换、回写的步骤，查询延迟更高，维护LogicApps流程的成本也更高

关于你提到的外部API调用限制说明 #

Azure Sentinel实际支持调用外部API做富集，可通过Kusto的http_request插件实现，但该插件默认禁用，需要单独为工作区申请开通权限，同时有严格的调用频率、返回大小限制，完全不适合全量批量IP富集的场景，因此不推荐使用。

内容的提问来源于stack exchange，提问作者Jaysec