共用方式為

Microsoft Sentinel 的服務限制

  • 發行項

本文列出您在使用 Microsoft Sentinel 時可能會遇到最常見的服務限制。 如需可能會影響您所用服務或功能 (如 Azure 監視器) 的其他限制，請參閱 Azure 訂閱和服務限制、配額以及條件約束。

分析規則限制

下列限制適用於 Microsoft Sentinel 中的分析規則。

描述 限制 Dependency
已啟用規則的數目 512 項規則 無
近乎即時 (NRT) 規則的數目 50 個 NRT 規則 無
實體對應 每個規則 10 個對應 無
每個警示識別的實體
(在對應實體間平均分割)		 每個警示 500 個實體 無
實體累計大小限制 64 KB 無
自訂詳細資料 每個規則 20 個詳細資料
每個詳細資料 50 個值
2 KB 累計大小		 無
警示詳細資料 每個覆寫欄位 50 個值
Description 和集合的每個欄位 5 KB
AlertName 和非集合的每個欄位 256 個位元組		 無
每個規則的警示
適用於 [事件群組] 設定為 [觸發每個事件的警示] 時		 150 個警示 無
NRT 規則的每個規則的警示 30 個警示 無

搜捕限制

下列限制適用於 Microsoft Sentinel 中的搜捕。

描述 限制 Dependency
搜捕次數 100 無

事件限制

下列限制適用於 Microsoft Sentinel 中的事件。

描述 限制 Dependency
調查體驗可用性 從事件上次更新時間起的 90 天 無
警示數目 150 個警示 無
自動化規則數目 512 項規則 無
自動化規則動作的數目 20 個動作 無
自動化規則動作的數目 50 個條件 無
書籤數目 20 個書籤 無
自動化規則名稱的字元數 500 個字元 無
描述的字元數 5,000 個字元 無
每個註解的字元數 30,000 個字元 無
每個事件的註解數目 100 個註解 無
工作數目 100 個工作 無
API 傳回給 list 要求的事件數目 最多 1,000 個事件 無
每天的事件數目 (每個工作區) 請參閱表格後面的說明 資料庫容量

每天的事件數目：每天可建立的事件數目沒有正式的硬性限制。 工作區的事件實際容量取決於事件資料庫的儲存容量，因此事件的大小與其數目一樣重要。

不過，體驗每天建立超過約 3,000 個新事件的 SOC，很可能發現本身無法跟上，而且資料庫容量很快就會達到。 在此情況下，SOC 必須尋找並修正任何建立大量事件的規則，以取得可管理層級的每日新事件計數。

以機器學習為基礎的限制

下列限制適用於 Microsoft Sentinel 中的以機器學習為基礎的功能，例如可自訂的異常和融合。

描述 限制 Dependency
每個異常類型發佈的異常數目 依異常分數排名的前 3000 名 無
單一融合事件中的警示和/或異常數目 100 個警示和/或異常 無

多重工作區限制

下列限制適用於 Microsoft Sentinel 中的多重工作區。 一次在多個工作區使用 Sentinel 功能時會套用此處的限制。

描述 限制 Dependency
事件檢視 100 個同時顯示的工作區
記錄檔查詢 100 個 Sentinel 工作區 Log Analytics
Analytics 規則 每個查詢 20 個 Sentinel 工作區

筆記本限制

下列限制適用於 Microsoft Sentinel 中的筆記本。 這些限制與筆記本所使用的其他服務相依性相關。

描述 限制 Dependency
每個機器學習工作區的這些資產總數：資料集、執行、模型和成品 1 千萬個資產 Azure Machine Learning
每個區域計算叢集總數的預設限制。 會在定型叢集和計算執行個體之間共用限制。 針對配額用途，計算執行個體會被視為單一節點叢集。 各區域 200 個計算叢集 Azure Machine Learning
每一訂用帳戶每一區域的儲存體帳戶 250 個儲存體帳戶 Azure 儲存體
依預設檔案共用大小上限 5 TB Azure 儲存體
已啟用大型檔案共用功能的檔案共用大小上限 100 TB Azure 儲存體
依預設單一檔案共用的輸送量上限 (輸入 + 輸出) 60 MB/秒 Azure 儲存體
已啟用大型檔案共用功能的單一檔案共用的輸送量上限 (輸入 + 輸出) 300 MB/秒 Azure 儲存體

存放庫限制

下列限制適用於 Microsoft Sentinel 中的存放庫。

描述 限制 Dependency
存放庫數目 5 Sentinel 工作區
部署歷程記錄 800 Azure 資源群組

威脅情報限制

下列限制適用於 Microsoft Sentinel 中的威脅情報。 此限制與威脅情報所使用的 API 相依性相關。

描述 限制 Dependency
使用圖表安全性 API 的每個呼叫指標 100 個指標 Microsoft Graph 安全性 API
CSV 指標檔案匯入的大小 50MB none
JSON 指標檔案匯入的大小 250MB none

TI 上傳指標 API 限制

下列限制適用於 Microsoft Sentinel 中的威脅情報上傳指標 API。

描述 限制 Dependency
每個要求的指標 100 個指標
每分鐘要求 100

使用者與實體行為分析 (UEBA) 限制

下列限制適用於 Microsoft Sentinel 中的 UEBA。 Microsoft Sentinel 中的 UEBA 限制與另一個服務的相依性有關。

描述 限制 Dependency
IdentityInfo 資料表的最低保留設定天數。 Log Analytics 中 IdentityInfo 資料表上儲存的所有資料會每隔 14 天重新整理一次。 14 天 Log Analytics

關注清單限制

下列限制適用於 Microsoft Sentinel 中的關注清單。 這些限制與關注清單所使用的其他服務相依性相關。

描述 限制 Dependency
本地檔案上傳大小 每個檔案 3.8 MB Azure Resource Manager
CSV 檔案中的行輸入 每行 10,240 個字元 Azure Resource Manager
單一資料列的大小總計 10 Kb Log Analytics
Azure 儲存體中檔案的上傳大小 每個檔案 500 MB Azure 儲存體
每個工作區的作用中關注清單項目總數。 達到最大計數時，請刪除一些現有的項目以新增關注清單。 1 千萬個作用中的關注清單項目 Log Analytics
每個工作區所有關注清單項目的總變動率 每個月 1% 的變動率 Log Analytics
每個工作區一次上傳的大型關注清單數目 一個大型關注清單 Azure Cosmos DB
每個工作區一次刪除的大型關注清單數目 一個大型關注清單 Azure Cosmos DB

活頁簿限制

Sentinel 的活頁簿限制與 Azure 監視器中找到的結果限制相同。 如需詳細資訊，請參閱 Workbooks 結果限制。

工作區管理員限制

下列限制適用於 Microsoft Sentinel 中的工作區管理員。

描述 限制 Dependency
群組中已發佈的作業數目
已發佈作業 = (成員工作區) * (內容項目)		 2000 個已發佈作業 無

下一步