O Microsoft Sentinel é a solução de SIEM nativa do Azure que centraliza a detecção e resposta a ameaças em um único painel. Mas simplesmente acessar a plataforma não é suficiente — para aproveitar todo seu potencial de monitoramento e análise, você precisa saber como criar dashboards personalizados no Microsoft Sentinel, adaptando as visualizações às suas necessidades específicas de segurança e infraestrutura.
Um dashboard bem estruturado transforma dados brutos em insights acionáveis, permitindo que analistas de segurança identifiquem padrões suspeitos, monitorem o status de alertas e acompanhem indicadores de comprometimento em tempo real. Seja você um profissional iniciante explorando as funcionalidades do Sentinel ou um administrador buscando otimizar suas operações de segurança, dominar a criação e customização de dashboards é essencial para uma defesa eficaz contra ameaças.
Neste guia, você aprenderá desde os conceitos fundamentais até técnicas avançadas de personalização, passando por ferramentas de visualização, integração de dados e melhores práticas para construir dashboards que realmente agregam valor ao seu programa de cibersegurança.
O que são dashboards personalizados no Microsoft Sentinel e por que criá-los?
O Microsoft Sentinel é uma solução SIEM (Security Information and Event Management) e SOAR (Security Orchestration, Automation and Response) nativa da nuvem Microsoft Azure. Ele centraliza a coleta, correlação e análise de eventos de segurança em ambientes corporativos. Dentro dessa plataforma, os dashboards personalizados permitem transformar volumes massivos de dados brutos em visualizações inteligíveis, adaptadas à realidade operacional de cada equipe de segurança.
Criar dashboards sob medida vai além da estética. Trata-se de garantir que os analistas enxerguem exatamente o que importa para o contexto da organização — sem ruído, sem informações genéricas que não se traduzem em ação. Um dashboard bem construído reduz o tempo de resposta a incidentes, facilita auditorias e melhora a comunicação entre equipes técnicas e gestores.
Diferença entre dashboards nativos e Workbooks personalizados no Sentinel
O Microsoft Sentinel oferece painéis prontos que exibem métricas gerais do ambiente, como volume de alertas, incidentes abertos e tendências de ameaças. Esses painéis nativos são úteis para uma visão inicial, mas têm limitações claras: não permitem filtros específicos por departamento, não se adaptam a frameworks regulatórios particulares e não integram fontes de dados externas de forma flexível.
Os Workbooks, por outro lado, são a ferramenta de visualização avançada do Sentinel, construída sobre o Azure Monitor Workbooks. Com eles, é possível criar dashboards completamente personalizados usando consultas KQL (Kusto Query Language), escolher tipos de visualização, adicionar parâmetros interativos e combinar múltiplas fontes de dados em um único painel. A diferença prática é expressiva: enquanto o painel nativo mostra o que a Microsoft decidiu exibir, o Workbook exibe o que a sua equipe realmente precisa ver.
Principais casos de uso: monitoramento de segurança, conformidade e capacidade operacional
Os dashboards personalizados no Sentinel atendem a três grandes categorias de necessidade:
- Monitoramento de segurança: acompanhamento em tempo real de incidentes, alertas por severidade, atividades suspeitas de usuários e comportamentos anômalos na rede.
- Conformidade regulatória: mapeamento de controles exigidos por frameworks como LGPD, ISO 27001 e NIST, com relatórios periódicos para auditorias internas e externas.
- Capacidade operacional: métricas de performance do próprio SOC, como tempo médio de detecção (MTTD), tempo médio de resposta (MTTR) e volume de eventos processados por conector.
Pré-requisitos para criar dashboards no Microsoft Sentinel
Antes de criar qualquer Workbook, é necessário garantir que a infraestrutura de base esteja corretamente configurada. Pular essa etapa resulta em dashboards sem dados ou com informações incompletas.
Conta e assinatura do Azure necessárias
O Microsoft Sentinel opera sobre o Azure Monitor Log Analytics. Portanto, é obrigatório ter uma assinatura ativa do Azure com um workspace do Log Analytics criado e o Sentinel habilitado sobre ele. Contas de avaliação gratuita do Azure permitem testar o ambiente por tempo limitado, mas ambientes de produção exigem assinaturas pagas, com atenção ao modelo de cobrança por ingestão de dados.
Permissões e funções de acesso exigidas no Microsoft Sentinel
Para criar e editar Workbooks, o usuário precisa de pelo menos a função Microsoft Sentinel Contributor no workspace. Para apenas visualizar dashboards já publicados, a função Microsoft Sentinel Reader é suficiente. Workbooks que leem dados de múltiplos workspaces ou assinaturas exigem permissões adicionais nessas assinaturas. O controle de acesso baseado em função (RBAC) do Azure deve ser revisado antes de distribuir dashboards para equipes diferentes.
Fontes de dados conectadas: conectores, CEF/AMA e integrações de terceiros
Um dashboard só é útil se houver dados fluindo para o Sentinel. A plataforma oferece conectores nativos para serviços Microsoft (Microsoft Defender, Azure Active Directory, Office 365, entre outros) e conectores para soluções de terceiros via CEF (Common Event Format) com o agente AMA (Azure Monitor Agent). Firewalls como SonicWall, soluções de endpoint e SIEMs legados podem ser integrados por esse caminho. Para entender melhor como estruturar esse processo, vale consultar o guia sobre ingestão de logs no Microsoft Sentinel, que detalha as etapas de configuração dos conectores.
Passo a passo: como criar um dashboard personalizado com Workbooks no Microsoft Sentinel
Passo 1 – Acessar a seção de Workbooks no portal do Azure
No portal do Azure, acesse o Microsoft Sentinel e selecione o workspace desejado. No menu lateral, localize a seção Gerenciamento de ameaças e clique em Workbooks. A interface exibirá a galeria de templates disponíveis e os Workbooks já salvos no ambiente.
Passo 2 – Criar um novo Workbook do zero ou a partir de um template
Clique em Adicionar workbook para iniciar do zero. O editor abrirá com um canvas em branco onde você adicionará elementos progressivamente. Alternativamente, selecione um template da galeria e clique em Visualizar template e depois em Salvar para criar uma cópia editável. A criação do zero oferece controle total; o template acelera o processo quando o caso de uso já está mapeado na galeria nativa.
Passo 3 – Adicionar e configurar consultas KQL como fonte de dados
Dentro do editor, clique em Adicionar e selecione Adicionar consulta. Na caixa de consulta, escreva o KQL que retornará os dados desejados. Configure a fonte de dados como Logs e selecione o workspace do Log Analytics correspondente. O intervalo de tempo pode ser fixo ou vinculado a um parâmetro dinâmico criado posteriormente. Execute a consulta para validar os resultados antes de prosseguir para a visualização.
Passo 4 – Escolher e personalizar visualizações (gráficos, tabelas, mapas e métricas)
Com os dados retornados, selecione o tipo de visualização no menu Visualização. As opções incluem:
- Tabela: ideal para listas de incidentes, alertas ou usuários.
- Gráfico de barras ou linhas: para tendências temporais de eventos.
- Mapa: para geolocalização de IPs de origem em ataques.
- Métricas (tiles): para KPIs como total de alertas críticos nas últimas 24 horas.
- Gráfico de pizza: para distribuição proporcional por categoria ou severidade.
Cada visualização pode ter títulos, cores e colunas configuradas individualmente nas opções de formatação.
Passo 5 – Configurar filtros interativos e parâmetros dinâmicos
Parâmetros transformam um dashboard estático em uma ferramenta interativa. Clique em Adicionar parâmetros para criar filtros como intervalo de tempo, severidade, tipo de alerta ou nome de host. Esses parâmetros são referenciados nas consultas KQL com a sintaxe {NomeDoParametro}, permitindo que o analista ajuste a visualização sem editar o código. Parâmetros do tipo dropdown, multi-select e text input cobrem a maioria dos cenários de filtragem.
Passo 6 – Salvar, publicar e compartilhar o dashboard com a equipe
Ao finalizar, clique em Salvar e defina um nome, assinatura, grupo de recursos e localização. Workbooks salvos ficam disponíveis na aba Meus workbooks. Para compartilhar com a equipe, salve o Workbook em um grupo de recursos acessível a todos os usuários relevantes e garanta que as permissões RBAC estejam configuradas. É possível também exportar o Workbook como JSON e versioná-lo em repositórios Git para controle de mudanças.
Como usar templates prontos do Microsoft Sentinel como ponto de partida
Galeria de Workbooks nativos disponíveis no Sentinel
A galeria nativa do Sentinel conta com dezenas de templates organizados por categoria: identidade, rede, endpoint, conformidade e muito mais. Exemplos populares incluem o Azure AD Audit Logs, o Security Operations Efficiency e templates específicos para conectores como Microsoft Defender for Office 365, Palo Alto, Fortinet e Check Point. Cada template é mantido pela Microsoft ou pela comunidade e atualizado conforme novos conectores são lançados.
Como clonar e adaptar um template existente para suas necessidades
Acesse a galeria, localize o template desejado e clique em Salvar. Isso cria uma cópia editável vinculada ao seu workspace. No modo de edição, é possível remover seções irrelevantes, adicionar novas consultas KQL, ajustar filtros e reorganizar o layout. A abordagem de clonar e adaptar é especialmente eficiente quando o template já cobre 70% do caso de uso — o esforço de customização é significativamente menor do que construir do zero.
Criando dashboards de segurança de e-mail e rede com Workbooks
Dashboard de segurança de e-mail: relatórios personalizados com Microsoft Defender for Office 365
Com o conector do Microsoft Defender for Office 365 habilitado no Sentinel, os dados de e-mails maliciosos, phishing detectado, cliques em URLs suspeitas e anexos bloqueados ficam disponíveis nas tabelas EmailEvents e EmailUrlInfo do Log Analytics. Um dashboard de segurança de e-mail pode incluir: volume diário de ameaças por categoria, top 10 remetentes maliciosos, distribuição geográfica de origens de phishing e taxa de detecção por política configurada. Para times que gerenciam proteção de e-mail corporativo, entender como investir em treinamento de Microsoft Defender for Office 365 agrega valor direto à operação desse tipo de dashboard.
Dashboard de segurança de rede: monitoramento com dados do Azure e integrações como SonicWall
Para monitoramento de rede, combine dados do Azure Firewall, Network Security Groups (NSG) e firewalls de terceiros integrados via CEF/AMA, como SonicWall ou Fortinet. As tabelas AzureNetworkAnalytics_CL, CommonSecurityLog e AzureDiagnostics são as principais fontes. Um dashboard de rede eficiente exibe: fluxos bloqueados por regra, top IPs de origem em tentativas de acesso negado, mapa de geolocalização de ataques e tendência de tráfego por protocolo. Esse tipo de visualização é fundamental para equipes que precisam justificar decisões de bloqueio e demonstrar a efetividade das políticas de firewall.
Escrevendo consultas KQL eficientes para dashboards no Sentinel
Estrutura básica de uma consulta KQL para visualizações
Uma consulta KQL para dashboards segue a estrutura: tabela | filtros | transformações | agregações | projeção. Exemplo básico para listar incidentes por severidade nas últimas 24 horas:
SecurityIncident | where TimeGenerated > ago(24h) | summarize Total = count() by Severity | order by Total desc
O operador summarize é o mais usado em dashboards, pois agrega dados para visualizações como gráficos e métricas. O operador project seleciona apenas as colunas necessárias, reduzindo o volume de dados retornado.
Exemplos práticos de consultas para incidentes, alertas e conformidade
- Alertas por hora nas últimas 48h: SecurityAlert | where TimeGenerated > ago(48h) | summarize Alertas = count() by bin(TimeGenerated, 1h)
- Top 10 IPs suspeitos: CommonSecurityLog | where DeviceAction == "Deny" | summarize Tentativas = count() by SourceIP | top 10 by Tentativas
- Logins falhados por usuário: SigninLogs | where ResultType != "0" | summarize Falhas = count() by UserPrincipalName | order by Falhas desc
Boas práticas de performance e otimização de consultas KQL
- Sempre use filtros de tempo no início da consulta (
where TimeGenerated > ago(Xh)) para reduzir o escopo de dados varridos. - Evite o operador
*emproject; selecione apenas as colunas necessárias. - Use
summarizeantes dejoinpara reduzir o tamanho das tabelas antes da combinação. - Prefira
hasacontainspara buscas em strings —hasé significativamente mais rápido em grandes volumes. - Teste consultas no Log Analytics antes de incorporá-las ao Workbook para validar performance e resultados.
Monitoramento de conformidade e governança com dashboards personalizados
Como mapear controles regulatórios (LGPD, ISO 27001, NIST) em visualizações do Sentinel
Cada framework regulatório define controles que podem ser monitorados por eventos de segurança. A LGPD, por exemplo, exige rastreabilidade de acesso a dados pessoais — o que pode ser monitorado via logs de acesso ao Azure SQL, SharePoint e OneDrive. A ISO 27001 e o NIST CSF mapeiam controles como gestão de identidade, proteção de endpoints e resposta a incidentes, todos representáveis em Workbooks com consultas sobre tabelas como AuditLogs, SigninLogs e SecurityIncident.
A estratégia prática é criar uma seção no Workbook para cada domínio de controle, com métricas de conformidade expressas em percentuais ou contagens. Isso transforma o dashboard em um relatório de auditoria contínua, reduzindo o esforço manual de coleta de evidências. Entender a importância da segurança da informação para as empresas é o ponto de partida para definir quais controles devem ser priorizados nessas visualizações.
Criando relatórios de auditoria e rastreamento de atividades suspeitas
Para relatórios de auditoria, combine dados de AuditLogs (ações administrativas no Azure AD), ActivityLogs (operações na assinatura Azure) e OfficeActivity (ações no Microsoft 365). Um relatório de rastreamento de atividades suspeitas pode incluir: criação de novos usuários privilegiados, alterações em políticas de acesso condicional, downloads em massa de arquivos e acessos fora do horário comercial. Esses dashboards são frequentemente solicitados por auditorias internas e podem ser exportados como PDF diretamente do portal do Azure.
Integrando IA e automação aos dashboards do Microsoft Sentinel
Como o Microsoft Copilot e a IA agêntica potencializam a análise nos dashboards
O Microsoft Copilot for Security, integrado ao Sentinel, adiciona uma camada de inteligência artificial generativa sobre os dados já visualizados nos dashboards. Com ele, analistas podem fazer perguntas em linguagem natural sobre os dados exibidos — por exemplo, "quais usuários tiveram mais falhas de autenticação essa semana?" — e receber respostas contextualizadas sem precisar escrever KQL manualmente.
Além do Copilot, a IA agêntica do Sentinel opera por meio de regras de análise baseadas em machine learning que identificam anomalias e correlacionam eventos automaticamente. Essas detecções podem ser incorporadas aos dashboards como feeds dinâmicos, exibindo alertas gerados por IA ao lado de métricas tradicionais. O resultado é um painel que não apenas mostra o que aconteceu, mas sugere o que merece atenção imediata.
A automação complementa essa camada: Playbooks do Sentinel (baseados em Azure Logic Apps) podem ser acionados a partir de eventos detectados e registrar o resultado das ações automatizadas diretamente em tabelas customizadas, que por sua vez alimentam visualizações no dashboard. Isso cria um ciclo completo — detecção, resposta automatizada e registro visual — que eleva significativamente a maturidade operacional do SOC. Para profissionais que atuam ou desejam atuar nessa área, compreender o papel do analista de segurança da informação é essencial para extrair o máximo dessas ferramentas integradas.
Dominar a criação de dashboards personalizados no Microsoft Sentinel representa um diferencial concreto para equipes de segurança: significa sair da reatividade e passar a operar com visibilidade estruturada, dados contextualizados e capacidade de demonstrar resultados para stakeholders técnicos e executivos. O investimento em aprender KQL, entender a arquitetura dos Workbooks e conectar fontes de dados diversas retorna diretamente em eficiência operacional e redução do tempo de resposta a ameaças.
