Snowflake (az Azure Functions használatával) összekötő a Microsoft Sentinelhez

A Snowflake adatösszekötő lehetővé teszi a Snowflake bejelentkezési naplóinak és lekérdezési naplóinak a Microsoft Sentinelbe való betöltését a Snowflake Python Csatlakozás or használatával. További információért tekintse meg a Snowflake dokumentációját .

Ez automatikusan létrehozott tartalom. A módosításokért forduljon a megoldásszolgáltatóhoz.

Csatlakozás or attribútumok

Csatlakozás or attribútum	Leírás
Log Analytics-tábla(ok)	Snowflake_CL
Adatgyűjtési szabályok támogatása	Jelenleg nem támogatott
Támogatja:	Microsoft Corporation

Példák lekérdezésekre

Minden snowflake esemény

Snowflake_CL

| sort by TimeGenerated desc

Előfeltételek

A Snowflake-nal való integráláshoz (az Azure Functions használatával) győződjön meg arról, hogy rendelkezik a következőkkel:

• Microsoft.Web/sites engedélyek: Olvasási és írási engedélyek szükségesek az Azure Functionshez egy függvényalkalmazás létrehozásához. Az Azure Functionsről további információt a dokumentációban talál.
• Snowflake hitelesítő adatok: Snowflake fiókazonosító, Snowflake felhasználó és Snowflake jelszó szükséges a kapcsolathoz. A Snowflake-fiókazonosítóval kapcsolatos további információkért tekintse meg a dokumentációt. Az összekötő felhasználójának létrehozásáról az alábbiakban talál útmutatást.

Szállító telepítési útmutatója

Feljegyzés

Ez az összekötő az Azure Functions használatával csatlakozik az Azure Blob Storage API-hoz a naplók Microsoft Sentinelbe való lekéréséhez. Ez további költségeket eredményezhet az adatbetöltéshez és az adatok Azure Blob Storage-ban való tárolásához. A részletekért tekintse meg az Azure Functions díjszabási oldalát és az Azure Blob Storage díjszabási oldalát .

(Nem kötelező lépés) Biztonságosan tárolhatja a munkaterületet és az API engedélyezési kulcsát vagy jogkivonatát az Azure Key Vaultban. Az Azure Key Vault biztonságos mechanizmust biztosít a kulcsértékek tárolásához és lekéréséhez. Kövesse az alábbi utasításokat az Azure Key Vault Azure-függvényalkalmazással való használatához.

Feljegyzés

Ez az adatösszekötő egy Kusto-függvényen alapuló elemzőtől függ, hogy a várt módon működjön a Microsoft Sentinel-megoldással üzembe helyezett Snowflake.

1. LÉPÉS – Felhasználó létrehozása a Snowflake-ben

A Snowflake adatainak lekérdezéséhez olyan felhasználóra van szükség, aki megfelelő jogosultságokkal és virtuális raktárfürttel rendelkezik egy szerepkörhöz rendelve. A fürt kezdeti mérete kicsi lesz, de ha nem elegendő, a fürt mérete szükség szerint növelhető.

1. Adja meg a Snowflake konzolt.

2. Váltson Standard kiadás CURITYADMIN szerepkörre, és hozzon létre egy új szerepkört:

   USE ROLE SECURITYADMIN;
   CREATE OR REPLACE ROLE EXAMPLE_ROLE_NAME;
   

3. Váltson a szerepkörre a SYSADMIN-re, és hozzon létre egy raktárat és egy teljes hozzáférést hozzá:

   USE ROLE SYSADMIN;
   CREATE OR REPLACE WAREHOUSE EXAMPLE_WAREHOUSE_NAME
     WAREHOUSE_SIZE = 'SMALL' 
     AUTO_SUSPEND = 5
     AUTO_RESUME = true
     INITIALLY_SUSPENDED = true;
   GRANT USAGE, OPERATE ON WAREHOUSE EXAMPLE_WAREHOUSE_NAME TO ROLE EXAMPLE_ROLE_NAME;
   

4. Váltson Standard kiadás CURITYADMIN szerepkörre, és hozzon létre egy új felhasználót:

   USE ROLE SECURITYADMIN;
   CREATE OR REPLACE USER EXAMPLE_USER_NAME
      PASSWORD = 'example_password'
      DEFAULT_ROLE = EXAMPLE_ROLE_NAME
      DEFAULT_WAREHOUSE = EXAMPLE_WAREHOUSE_NAME;
   

5. Váltson a szerepkörre az ACCOUNTADMIN-re, és adjon hozzáférést a snowflake-adatbázishoz a szerepkörhöz.

   USE ROLE ACCOUNTADMIN;
   GRANT IMPORTED PRIVILEGES ON DATABASE SNOWFLAKE TO ROLE EXAMPLE_ROLE_NAME;
   

6. Szerepkör váltása Standard kiadás CURITYADMIN-ra, és szerepkör hozzárendelése a felhasználóhoz:

   USE ROLE SECURITYADMIN;
   GRANT ROLE EXAMPLE_ROLE_NAME TO USER EXAMPLE_USER_NAME;
   

FONTOS: Mentse az ebben a lépésben létrehozott felhasználói és API-jelszót, mivel azok az üzembe helyezési lépés során lesznek használva.

2. LÉPÉS – Válasszon egyet az alábbi két üzembehelyezési lehetőség közül az összekötő és a társított Azure-függvény üzembe helyezéséhez

FONTOS: Az adatösszekötő üzembe helyezése előtt rendelkezzen a munkaterület azonosítójával és a munkaterület elsődleges kulcsával (az alábbiakból másolható), valamint a Snowflake hitelesítő adataival, amelyek könnyen elérhetők.

Következő lépések

További információ: a kapcsolódó megoldás az Azure Marketplace-en.