當你在事件調查中遇到使用者帳號、主機名稱、IP 位址或 Azure 資源時，你可能會想更深入了解它。 例如，你可能想知道它的活動歷史、是否出現在其他警報或事件中、是否有任何意外或異常的行為，等等。 簡言之，你需要的資訊能幫助你判斷這些實體所代表的威脅類型，並據此引導你的調查。
本文描述 Azure 入口網站中的 Microsoft Sentinel 實體頁面。 關於 Defender 入口網站實體頁面的資訊，請參閱：
重要事項
自 2027 年 3 月 31 日起，Microsoft Sentinel 將不再支援 Azure 入口網站，僅能在 Microsoft Defender 入口網站中使用。 所有在 Azure 入口網站使用 Microsoft Sentinel 的客戶，將被重新導向至 Defender 入口網站，且僅在 Defender 入口網站使用 Microsoft Sentinel。
如果您仍在 Azure 入口網站使用 Microsoft Sentinel，建議您開始規劃轉換至 Defender 入口網站，以確保順利過渡並充分利用 Microsoft Defender 所提供的統一安全運營體驗。
實體頁面
在這些情況下，您可以選取該實體（其會顯示為可點擊的連結），並前往 實體頁面，這是一份包含該實體各種實用資訊的資料表。 您也可以直接在 Microsoft Sentinel 的實體行為頁面上搜尋實體，以前往實體頁面。 您在實體頁面上會找到的資訊類型包括關於該實體的基本事實、與該實體相關的重要事件時間軸，以及對該實體行為的見解。
更具體來說，實體頁面由三個部分組成：
左側面板包含實體的識別資訊，這些資訊是從 Microsoft Entra ID、Azure 監視器、Azure Activity、Azure Resource Manager、適用於雲端的 Microsoft Defender、CEF/Syslog，以及 Microsoft Defender 全面偵測回應（及其所有元件）等資料來源收集而來。
中央面板顯示與該實體相關的重要事件的 圖形與文字時間軸 ，如警報、書籤、 異常現象及活動。 活動是來自 Log Analytics 的值得注意事件彙集。 偵測這些活動的查詢由 Microsoft 安全研究團隊開發，你現在可以 新增自訂查詢來偵測 你選擇的活動。
右側面板呈現該實體的 行為洞察 。 這些洞見由 Microsoft 資安研究團隊持續開發。 這些資料基於各種資料來源，為實體及其觀察到的活動提供背景，幫助你快速識別 異常行為 與安全威脅。
如果您使用新的調查體驗調查事件，便可直接在事件詳細資料頁面中查看面板形式的實體頁面。 你擁有該 事件中所有實體的清單，選擇實體會開啟一個側面板，裡面有三個「卡片」——資訊、 時間軸和 洞察——顯示上述所有資訊，且在事件警報的時間範圍內。
如果你在 Defender 入口中使用 Microsoft Sentinel，時間軸和洞察面板會出現在 Defender 實體頁面的 Sentinel 事件分頁中。
時間軸
時間軸是實體頁面對 Microsoft Sentinel 行為分析貢獻的重要部分。 它呈現一個關於實體相關事件的故事，幫助你了解實體在特定時間內的活動。
你可以從多種預設選項中選擇 時間範圍 ， (例如 過去24小時) ，或設定為任意自訂的時間範圍。 此外，你可以設定篩選器，限制時間軸中的資訊只涵蓋特定類型的事件或警示。
時間軸中包含以下類型的項目。
警示：任何將實體定義為 映射實體的警示。 請注意，如果您的組織已 使用分析規則建立自訂警示，應確保規則的實體映射正確。
書籤：包含頁面上顯示的特定實體的書籤。
異常：根據為每個實體跨各種資料輸入建立的動態基線，並以其自身、同儕及整個組織的歷史活動為比較依據所產生的 UEBA 偵測。
活動：彙整與該實體相關的重要事件。 系統會自動收集各種活動，現在你也可以加入自己選擇的活動來自訂此區段。
實體深入解析
實體洞察是 Microsoft 資安研究人員定義的查詢，幫助分析師更有效率且有效地調查。 這些洞察作為實體頁面的一部分呈現，並以表格資料與圖表形式提供主機與使用者的寶貴安全資訊。 有這些資訊在這裡，你就不用繞路去 Log Analytics。 這些洞見包括登入、群組新增、異常事件等資料，並包含先進的機器學習演算法以偵測異常行為。
這些見解基於以下資料來源：
- Syslog（Linux）
- 安全事件（Windows）
- 審計日誌 (Microsoft Entra ID)
- SigninLogs （Microsoft Entra ID）
- 辦公室活動 (Office 365)
- 行為分析 (Microsoft Sentinel UEBA)
- 心跳 (Azure 監視器代理程式)
- CommonSecurityLog （Microsoft Sentinel）
一般來說，實體頁面上顯示的每個實體洞察都會附帶一個連結，帶你到一個頁面，該頁面會顯示該洞察背後的查詢及結果，讓你能更深入地檢視結果。
- 在 Microsoft Sentinel 的 Azure 入口網站中，連結會帶你到日誌頁面。
- 在 Microsoft Defender 入口網站中，連結會帶你到進階狩獵頁面。
如何使用實體頁面
實體頁面設計為多種使用情境的一部分，可從事件管理、調查圖、書籤，或直接從 Microsoft Sentinel 主選單中的實體行為搜尋頁面存取。
實體頁面資訊儲存在 BehaviorAnalytics 表格中，詳細說明見 Microsoft Sentinel UEBA 參考文獻。
支援的實體頁面
Microsoft Sentinel 目前提供以下實體頁面：
使用者帳號
主機
IP 位址 (預覽)
注意事項
IP 位址實體頁面（目前為預覽版）包含由 Microsoft 威脅情報服務提供的地理位置資料。 此服務結合了 Microsoft 解決方案及第三方廠商與合作夥伴的地理定位資料。 這些資料隨後可用於安全事件的分析與調查。 欲了解更多資訊，請參閱透過 REST API (公開預覽版) 以地理定位資料豐富 Microsoft Sentinel 實體。
Azure資源 (預覽)
物聯網裝置（預覽）—目前僅適用於 Azure 入口網站中的 Microsoft Sentinel。
後續步驟
在這份文件中，你已了解如何使用實體頁面來取得 Microsoft Sentinel 中實體的相關資訊。 欲了解更多關於實體及如何使用它們，請參閱以下文章：
- 了解 Microsoft Sentinel 中的實體。
- 自訂實體頁面時間軸上的活動。
- 在 Microsoft Sentinel 中利用使用者與實體行為分析 (UEBA) 識別進階威脅
- 啟用 Microsoft Sentinel 中的實體行為分析。
- 搜捕安全性威脅。