microsoft365 里想同时把云端数据安全和合规管起来，最稳的做法不是只盯着一个告警页，而是把 defender 的事件处置、purview 的敏感度标签和 sharepoint 的访问权限连成一条闭环。先在 defender 里把异常账号和高风险事件找出来，再用标签和权限把邮件、文档、站点的保护边界补齐，后面新增文件或共享链接时才不容易失控。
先在 Defender 事件页把高风险告警筛出来
进入 Microsoft Defender 后，先看 Incidents 列表，不要急着逐条处理低优先级记录。优先把多阶段攻击、凭据钓鱼、异常下载这类和云端账号直接相关的事件挑出来，再从右侧详情区判断受影响资产、告警来源和当前状态。这样能先把真正会影响租户数据安全的事件压到前面处理。
沿着事件关系图追到具体账号和可疑动作
打开事件详情后，重点看攻击路径、受影响用户和可疑链接或应用活动。这里不要只看告警标题，而是要顺着关系图把账号、邮件、URL 和设备之间的关联串起来；如果发现是单个账号引发的云端访问异常，就继续下钻到该用户的活动记录，判断是不是需要立刻隔离会话、撤销风险令牌或追加调查。
在 Purview 里先把敏感度标签建出来
安全事件查清楚以后，下一步不是等用户自己小心操作，而是先把文档和邮件的保护规则准备好。进入 Purview 的敏感度标签页后，先按企业常见场景建标签，例如内部、机密、财务或法务专用。后面无论是 Outlook 邮件、SharePoint 文档还是 Teams 附件，都能直接套进同一套分类逻辑。
微软 Outlook 邮箱和日历管理工具（支持世纪互联版 Office 365）。用于查看、发送、搜索邮件，管理日历日程，创建会议，查询忙闲状态。注意：此功能仅支持世纪互联（21Vianet）版 Microsoft 365，使用 login.chinacloudapi.cn。
把标签发布成策略让邮件和文档真正生效
只有建了标签还不够，真正决定合规能不能落地的是标签策略。进入标签原则或发布策略页面后，把适用范围明确到 Microsoft 365 应用、Outlook、SharePoint 和 OneDrive，再设定哪些用户组可以看到、必须使用或默认使用这些标签。这样员工在发送邮件、共享文档或保存文件时，系统会自动给出合规边界，而不是完全靠人工记忆。
回到 SharePoint 文档库收紧共享和访问权限
标签负责分类，权限负责最后一道门。到 SharePoint 文档库里，针对高敏感文件打开 Manage access，把匿名链接、历史共享和不该继续保留的成员权限逐项检查。尤其是跨部门共享、外部来宾访问和“任何知道链接的人都可查看”这类设置，最好在这里及时收口，否则前面做的分类标签很容易在共享链路上失效。
用访问面板复核最终权限是否和标签一致
完成策略发布和权限收紧后，别急着结束，最后再用访问面板做一次复核。重点看直接访问成员、链接权限以及“仅查看/可编辑”这些具体授权项，确认高敏感文件的实际访问范围和前面发布的标签策略一致。只要这一步能对上，后面就算再出现异常共享或账号风险，也能在 Defender 和 Purview 两边更快定位问题。
