Microsoft Sentinel용 Snowflake(Azure Functions 사용) 커넥터

아티클
05/03/2024

Snowflake 데이터 커넥터는 Snowflake Python 커넥터를 사용하여 Microsoft Sentinel에 Snowflake 로그인 로그 및 쿼리 로그를 수집하는 기능을 제공합니다. 자세한 내용은 Snowflake 설명서를 참조하세요.

자동 생성된 콘텐츠입니다. 변경하려면 솔루션 공급자에게 문의하세요.

커넥터 특성

커넥터 특성	설명
Log Analytics 테이블	Snowflake_CL
데이터 수집 규칙 지원	현재 지원되지 않음
다음에서 지원	Microsoft Corporation

쿼리 샘플

모든 Snowflake 이벤트

Snowflake_CL

| sort by TimeGenerated desc

필수 조건

Azure Functions를 사용하여 Snowflake와 통합하려면 다음 사항을 확인합니다.

Microsoft.Web/sites 권한: 함수 앱을 만들려면 Azure Functions에 대한 읽기 및 쓰기 권한이 필요합니다. Azure Functions에 대해 자세히 알아보려면 설명서를 참조하세요.
Snowflake 자격 증명: 연결하려면 Snowflake 계정 식별자, Snowflake 사용자 및 Snowflake 암호가 필요합니다. Snowflake 계정 식별자에 대해 자세히 알아보려면 설명서를 참조하세요. 이 커넥터에 대한 사용자를 만드는 방법에 대한 지침은 아래에서 확인할 수 있습니다.

공급업체 설치 지침

참고 항목

이 커넥터는 Azure Functions를 사용하여 Azure Blob Storage API에 연결하여 Microsoft Sentinel로 로그를 가져옵니다. 이로 인해 데이터 수집 및 Azure Blob Storage에 데이터를 저장하는 데 추가 비용이 발생할 수 있습니다. 자세한 내용은 Azure Functions 가격 책정 페이지 및 Azure Blob Storage 가격 책정 페이지를 확인하세요.

(선택 단계) Azure Key Vault에 작업 영역과 API 권한 부여 키 또는 토큰을 안전하게 저장합니다. Azure Key Vault는 키 값을 저장하고 검색하는 안전한 메커니즘을 제공합니다. 지침에 따라 Azure 함수 앱에서 Azure Key Vault를 사용합니다.

참고 항목

이 데이터 커넥터는 Microsoft Sentinel 솔루션으로 배포되는 Snowflake가 예상대로 작동하도록 Kusto 함수 기반 파서에 따라 다릅니다.

1단계 - Snowflake에서 사용자 만들기

Snowflake에서 데이터를 쿼리하려면 충분한 권한과 가상 웨어하우스 클러스터가 있는 역할에 할당된 사용자가 필요합니다. 이 클러스터의 초기 크기는 작게 설정되지만 부족할 경우 필요에 따라 클러스터 크기를 늘릴 수 있습니다.

Snowflake 콘솔에 들어갑니다.
역할을 SECURITYADMIN으로 전환하고 새 역할을 만듭니다.
```
USE ROLE SECURITYADMIN;
CREATE OR REPLACE ROLE EXAMPLE_ROLE_NAME;
```

역할을 SYSADMIN으로 전환하고 웨어하우스를 만들고 이에 대한 액세스 권한을 부여합니다.

USE ROLE SYSADMIN;
CREATE OR REPLACE WAREHOUSE EXAMPLE_WAREHOUSE_NAME
  WAREHOUSE_SIZE = 'SMALL' 
  AUTO_SUSPEND = 5
  AUTO_RESUME = true
  INITIALLY_SUSPENDED = true;
GRANT USAGE, OPERATE ON WAREHOUSE EXAMPLE_WAREHOUSE_NAME TO ROLE EXAMPLE_ROLE_NAME;

역할을 SECURITYADMIN으로 전환하고 새 사용자를 만듭니다.

USE ROLE SECURITYADMIN;
CREATE OR REPLACE USER EXAMPLE_USER_NAME
   PASSWORD = 'example_password'
   DEFAULT_ROLE = EXAMPLE_ROLE_NAME
   DEFAULT_WAREHOUSE = EXAMPLE_WAREHOUSE_NAME;

역할을 ACCOUNTADMIN으로 전환하고 역할에 대해 snowflake 데이터베이스에 대한 액세스 권한을 부여합니다.
```
USE ROLE ACCOUNTADMIN;
GRANT IMPORTED PRIVILEGES ON DATABASE SNOWFLAKE TO ROLE EXAMPLE_ROLE_NAME;
```
역할을 SECURITYADMIN으로 전환하고 사용자에게 역할을 할당합니다.
```
USE ROLE SECURITYADMIN;
GRANT ROLE EXAMPLE_ROLE_NAME TO USER EXAMPLE_USER_NAME;
```

중요: 이 단계에서 만들어진 사용자 및 API 암호는 배포 단계에서 사용되므로 저장합니다.

2단계 - 다음 두 가지 배포 옵션 중 하나를 선택하여 커넥터 및 관련 Azure Function 배포

중요: 데이터 커넥터를 배포하기 전에 즉시 사용 가능한 작업 영역 ID와 작업 영역 기본 키(다음에서 복사 가능)는 물론 Snowflake 사용자 인증 정보도 준비합니다.

다음 단계

자세한 내용을 보려면 Azure Marketplace의 관련 솔루션으로 이동합니다.