實體對應是 排程分析規則設定中不可或缺的一部分。 它會為規則的輸出（警示與事件）增添關鍵資訊，而這些資訊會成為任何後續調查流程與補救措施的基礎。
請使用以下程序在現有分析規則中新增或變更實體映射，或在建立新的排程分析規則時進行。
重要事項
- 有關新版本的後續相容性及新舊實體映射版本差異的重要資訊，請參閱 新版本 說明。
- 自 2027 年 3 月 31 日起，Microsoft Sentinel 將不再支援 Azure 入口網站，僅能在 Microsoft Defender 入口網站中使用。 所有在 Azure 入口網站使用 Microsoft Sentinel 的客戶，將被重新導向至 Defender 入口網站，且僅在 Defender 入口網站使用 Microsoft Sentinel。 自 2025 年 7 月起，許多新客戶會自動被引導至 Defender 入口網站。如果您仍在 Azure 入口網站使用 Microsoft Sentinel，建議您開始規劃轉換至 Defender 入口網站，以確保順利過渡並充分利用 Microsoft Defender 所提供的統一安全運營體驗。 欲了解更多資訊，請參閱「是時候行動了：退休 Microsoft Sentinel 的 Azure 入口網站以提升安全性。」
如何映射實體
要在分析規則中映射實體，請執行以下步驟：
請進入你使用 Microsoft Sentinel 的入口網站中的分析頁面：
從 Microsoft Sentinel 導覽選單的設定區段，選擇「分析」。
選擇排程查詢規則，並從細節面板選擇 編輯 。 或者點擊螢幕頂端的 「建立 > 排程查詢規則 」來建立新規則。
選擇 「Set rule logic 」標籤。如果是新規則，請在 「規則查詢 」視窗輸入查詢。
在 警示增強 區塊中，展開 實體映射。
在已展開的 實體映射 區塊中，選擇 新增實體。
從 實體 下拉選單中選擇實體類型。
請選擇該實體的識別碼。 識別碼是能夠充分識別實體的屬性。 從 識別碼 下拉選單中選擇一個，然後從 值 下拉清單中選擇一個與該識別碼對應的資料欄位。 除少數例外外， Value 清單由定義為規則查詢主題的資料欄位填充。
你可以為特定實體映射定義最多三個識別碼。 有些識別碼是必須的，有些則是可選的。 您必須至少選擇一個必要的識別碼。 若未完成，將有警告訊息告知您需要哪些識別碼。 為了達到最佳效果——也就是最大化唯一識別——你應該盡可能使用強識別碼，而使用多個強識別碼能促進資料來源間的關聯性。 請參閱完整的可用 實體與識別碼清單。
選擇 新增實體 以映射更多實體。 你可以在單一分析規則中定義最多 10 個實體映射。 你也可以繪製多個同類型的地圖。 例如，你可以映射兩個 IP 實體，一個來自 來源 IP 位址 欄位，另一個來自 目的 IP 位址 欄位。 透過映射兩個欄位，你可以追蹤兩個 IP 實體。
如果你改變主意，或是犯錯了，可以點擊實體下拉選單旁的垃圾桶圖示來移除實體映射。
完成實體映射後，點擊「 檢視並建立 」分頁。規則驗證成功後，點擊 儲存。
注意事項
最多可於單一警示中識別多達500個實體，並平均分配至規則中定義的所有實體映射。
- 例如，若規則中定義兩個實體映射，每個映射最多可識別250個實體;若定義五個映射，每個映射最多可識別100個實體，依此類推。
- 同一實體類型的多個對應（例如來源 IP 和目的 IP）會分開計算。
- 若警示包含超過此限額的項目，這些多餘項目將不會被識別並提取為實體。
警報中整個 實體 區域（ 實體 欄位）的大小限制為 64 KB。
- Entities 的欄位若大於 64 KB，則會被截斷。 當實體被識別時，會逐一加入警報，直到欄位大小達到 64 KB，尚未識別的實體則從警報中剔除。
新版本說明
實體對應體驗已從舊版更新。 請留意以下向下相容性的注意事項：
由於新版本現已正式推出（GA），因此透過功能旗標使用舊版本的變通方式已不再可用。
如果您之前已用舊版本定義此分析規則的實體映射，這些映射將自動轉換成新版本。