在 Azure 入口網站的 Microsoft Sentinel 中手動建立您自己的事件案例

適用於: Microsoft Sentinel in the Azure portal

重要事項

手動事件建立，可透過入口網站或 Logic Apps 進行，目前處於預覽階段。請參閱 Microsoft Azure 預覽版補充使用條款，以了解適用於 beta、預覽或尚未正式釋出的 Azure 功能的其他法律條款。

手動事件建立通常可透過 API 使用。

自 2027 年 3 月 31 日起，Microsoft Sentinel 將不再支援 Azure 入口網站，僅能在 Microsoft Defender 入口網站中使用。所有在 Azure 入口網站使用 Microsoft Sentinel 的客戶，將被重新導向至 Defender 入口網站，且僅在 Defender 入口網站使用 Microsoft Sentinel。自 2025 年 7 月起，許多新客戶會自動被引導至 Defender 入口網站。

如果您仍在 Azure 入口網站使用 Microsoft Sentinel，建議您開始規劃轉換至 Defender 入口網站，以確保順利過渡並充分利用 Microsoft Defender 所提供的統一安全運營體驗。欲了解更多資訊，請參閱「是時候行動了：退休 Microsoft Sentinel 的 Azure 入口網站以提升安全性。」

以Microsoft Sentinel作為您的安全資訊與事件管理 (SIEM) 解決方案，您的安全營運中的威脅偵測與應變活動將聚焦於您調查與修復的事件。這些事件主要有兩個來源：

當偵測機制對 Microsoft Sentinel 從其連線資料來源擷取的日誌和警示執行偵測時，就會自動產生這些項目。
這些資訊會直接從建立它們的其他已連線 Microsoft 安全性服務擷取，例如 Microsoft Defender 全面偵測回應。

然而，威脅資料也可能來自未被 Microsoft Sentinel 接收的其他來源，或是未記錄在任何日誌中的事件，卻足以引發調查。例如，員工可能會注意到一位未被識別的人從事與您組織資訊資產相關的可疑活動。這位員工可能會打電話或寄電子郵件給安全作業中心 (SOC) 報告此活動。

Azure 入口網站中的 Microsoft Sentinel 允許資安分析師手動建立任何類型的事件，無論來源或資料為何，避免錯過調查這些異常威脅的機會。

常見使用案例

為回報的事件建立事件

當使用者、員工或分析師回報未作為遙測資料擷取至 Microsoft Sentinel 的可疑活動時，請使用此選項。例如，員工可能會注意到一位未被識別的人從事與貴組織資訊資產相關的可疑活動，並透過電話或電子郵件向安全營運中心（SOC）舉報。

從外部系統的事件中創造事件

根據記錄未擷取至 Microsoft Sentinel 之系統所發生的事件建立事件。例如，基於簡訊的網路釣魚攻擊可能會利用貴組織的企業品牌與主題，針對員工的個人行動裝置進行攻擊。你可能想調查這類攻擊，並且可以在 Microsoft Sentinel 中建立事件，這樣你就有平台來管理調查、收集和記錄證據，以及記錄你的回應與緩解行動。

根據狩獵結果創造事件

根據觀察到的狩獵活動結果來創造事件。例如，在特定調查的情境中進行威脅搜尋時（或自行進行時），你可能會發現與當前調查完全無關的威脅證據，而這些證據值得另行展開獨立調查。

手動建立事件

手動建立事件有三種方式：

使用 Azure 入口網站建立事件
使用 Azure Logic Apps 建立事件，使用 Microsoft Sentinel 事件觸發器。
透過 Microsoft Sentinel API 的事件操作群組建立事件。事件操作群組允許你取得、建立、更新和刪除事件。

在將 Microsoft Sentinel 導入 Microsoft Defender 入口後，手動建立的事件並未與 Defender 入口同步，但仍可在 Microsoft Sentinel 的 Azure 入口網站、Logic Apps 和 API 中查看和管理。

權限

手動建立事件需要以下角色與權限。

方法	必填角色
Azure 入口網站和 API	下列其中之一： Microsoft Sentinel 回應程式 Microsoft Sentinel 貢獻者
Azure Logic Apps	以上其中一個，還有：使用現有劇本所需的 Microsoft Sentinel 劇本操作員建立新劇本所需的 Logic App 參與者

了解更多關於 Microsoft Sentinel 角色與權限的資訊。

使用 Azure 入口網站建立事件

若要在 Azure 入口網站手動建立事件，請依照以下步驟操作：

選擇 Microsoft Sentinel 並選擇你的工作空間。
從 Microsoft Sentinel 導覽選單中，選擇事件。
在 事件頁面， 從按鈕欄選擇 + 建立事件 (預覽) 。

「建立事件 (預覽) 」面板會在螢幕右側開啟。
請在面板中的欄位內填入相應內容。
- Title
  - 輸入你選擇的事件標題。該事件將以此標題顯示於佇列中。
  - 此為必要動作。無限長度的免費文本。空格將會遭移除。
- 描述
  - 輸入事件的描述性資訊，包括事件的起源、涉及的實體、與其他事件的關聯、已通知的人員等詳細資料。
  - 選用。免費文字最多可達5000字元。
- 嚴重性
  - 從下拉選單中選擇嚴重程度。所有 Microsoft Sentinel 支援的嚴重性等級皆可使用。
  - 此為必要動作。預設為「中等」。
- 狀態
  - 從下拉選單中選擇狀態。 Microsoft Sentinel 支援的所有狀態皆可使用。
  - 此為必要動作。預設為「新」。
  - 你可以建立一個狀態為「已關閉」的事件，然後手動開啟以進行變更並選擇其他狀態。從下拉選單選擇「已關閉」會啟動 分類原因 欄位，讓你選擇關閉事件的理由並添加評論。
- 擁有者
  - 從租戶中可用的使用者或群組中選擇。開始輸入名稱以搜尋使用者和群組。選擇欄位 (點擊或點擊) 即可顯示建議清單。在清單頂端選擇「指派給我」，將事件分配給你自己。
  - 選用。
- 標記
  - 使用標籤來分類事件，並篩選及定位佇列中的事件。
  - 透過選擇 加號圖示，在對話框中輸入文字，並選擇確定來建立標籤。自動完成功能會建議過去兩週內在工作區中使用的標籤。
  - 選用。自由文字。
在面板底部選擇 「建立 」。幾秒鐘後，事件會被建立並出現在事件佇列中。

如果你將事件設定為「已關閉」狀態，該事件不會出現在隊列中，除非你將狀態篩選器改為顯示已關閉事件。該篩選器預設僅顯示狀態為「新」或「活躍」的事件。

在佇列中選擇事件，查看完整細節、新增書籤、更改擁有者與狀態等功能。

如果你事後因某些原因改變主意，不想建立該事件，你可以從佇列方格或事件本身中刪除該事件。您必須擁有 Microsoft Sentinel 貢獻者角色，才能刪除事件。

使用 Azure Logic Apps 建立事件

「建立事件」也可作為 Microsoft Sentinel 連接器中的 Logic Apps 動作，因此也能在 Microsoft Sentinel 劇本中使用。

你可以在事件觸發器的 playbook 架構中找到 「建立事件」 (預覽) 動作。

Microsoft Sentinel 連接器中「建立事件」邏輯應用程式動作的螢幕擷取畫面。

你需要提供如下所述的參數：

從各自的下拉選單中選擇你的訂閱、 資源群組和 工作區名稱 。
關於剩餘欄位，請參閱「使用 Azure 入口建立事件」中的欄位說明。

Microsoft Sentinel 提供了一些範例手冊範本，教你如何運用這項功能：

用 Microsoft 表單建立事件
從共用電子郵件收件匣建立事件

你可以在 Microsoft Sentinel 自動化頁面的 playbook 範本圖庫中找到它們。

使用 Microsoft Sentinel API 建立事件

事件操作群組不僅允許你建立事件，還能更新事件、檢索事件、列出事件並刪除事件。

若要透過 REST API 建立或更新 Microsoft Sentinel 事件，請向以下端點發送PUT請求。如果指定的事件 ID 尚未存在，API 會建立一個新的事件。請求成功完成後，事件會在入口網站的事件隊列中顯示。

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/incidents/{incidentId}?api-version=2022-07-01-preview

以下範例展示了一個 JSON 請求主體，該請求產生具有標題、描述、嚴重性、擁有者、狀態及分類等屬性的事件：

{
  "etag": "\"0300bf09-0000-0000-0000-5c37296e0000\"",
  "properties": {
    "lastActivityTimeUtc": "2019-01-01T13:05:30Z",
    "firstActivityTimeUtc": "2019-01-01T13:00:30Z",
    "description": "This is a demo incident",
    "title": "My incident",
    "owner": {
      "objectId": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
    },
    "severity": "High",
    "classification": "FalsePositive",
    "classificationComment": "Not a malicious activity",
    "classificationReason": "IncorrectAlertLogic",
    "status": "Closed"
  }
}

附註

對於手動建立的事件，請注意以下限制與行為：

手動建立的事件不包含任何實體或警示。因此，事件頁面的警示標籤會保持空白，直到你將現有警示與事件關聯。

實體標籤也會保持空白，因為目前不支援直接將實體加入手動建立事件。 (若您將警報與此事件相關聯，該警報中的實體將會出現在事件中。)
手動建立的事件也不會在佇列中顯示任何產品名稱。
事件佇列預設是篩選，只顯示狀態為「新」或「活躍」的事件。如果你建立狀態為「已關閉」的事件，該事件不會出現在隊列中，除非你將狀態篩選器改為顯示已關閉事件。

後續步驟

如需詳細資訊，請參閱：

意見反應

此頁面對您有幫助嗎？

上次更新時間： 2026-07-31