Conector Snowflake (usando o Azure Functions) para o Microsoft Sentinel

Artigo
04/29/2024

O conector de dados Snowflake fornece a capacidade de ingerir logs de login do Snowflake e logs de consulta no Microsoft Sentinel usando o Snowflake Python Connector. Consulte a documentação do Snowflake para obter mais informações.

Trata-se de conteúdo gerado automaticamente. Para alterações, entre em contato com o provedor da solução.

Atributos do conector

Atributo do conector	Description
Tabela(s) do Log Analytics	Snowflake_CL
Suporte a regras de coleta de dados	Não é suportado atualmente
Apoiado por	Corporação Microsoft

Exemplos de consulta

Todos os eventos Snowflake

Snowflake_CL

| sort by TimeGenerated desc

Pré-requisitos

Para integrar com o Snowflake (usando o Azure Functions), certifique-se de ter:

Permissões Microsoft.Web/sites: são necessárias permissões de leitura e gravação no Azure Functions para criar um Aplicativo de Função. Consulte a documentação para saber mais sobre o Azure Functions.
Credenciais do Snowflake: Identificador de Conta do Snowflake, Usuário do Snowflake e Senha do Snowflake são necessários para a conexão. Consulte a documentação para saber mais sobre o Snowflake Account Identifier. Instruções sobre como criar usuário para este conector você pode encontrar abaixo.

Instruções de instalação do fornecedor

Nota

Esse conector usa o Azure Functions para se conectar à API de Armazenamento de Blob do Azure para extrair logs para o Microsoft Sentinel. Isso pode resultar em custos adicionais para a ingestão de dados e para o armazenamento de dados nos custos do Armazenamento de Blobs do Azure. Consulte a página de preços do Azure Functions e a página de preços do Armazenamento de Blobs do Azure para obter detalhes.

(Etapa opcional) Armazene com segurança a(s) chave(s) de autorização do espaço de trabalho e da API ou código(s) no Cofre de Chaves do Azure. O Azure Key Vault fornece um mecanismo seguro para armazenar e recuperar valores de chave. Siga estas instruções para usar o Azure Key Vault com um Aplicativo de Função do Azure.

Nota

Esse conector de dados depende de um analisador baseado em uma função Kusto para funcionar como esperado Snowflake que é implantado com a solução Microsoft Sentinel.

PASSO 1 - Criação de utilizador no Snowflake

Para consultar dados do Snowflake, você precisa de um usuário atribuído a uma função com privilégios suficientes e um cluster de depósito virtual. O tamanho inicial deste cluster será definido como pequeno, mas se for insuficiente, o tamanho do cluster pode ser aumentado conforme necessário.

Entre no console Snowflake.

Mude de função para SECURITYADMIN e crie uma nova função:

USE ROLE SECURITYADMIN;
CREATE OR REPLACE ROLE EXAMPLE_ROLE_NAME;

Mude a função para SYSADMIN e crie um armazém e um grande acesso a ele:

USE ROLE SYSADMIN;
CREATE OR REPLACE WAREHOUSE EXAMPLE_WAREHOUSE_NAME
  WAREHOUSE_SIZE = 'SMALL' 
  AUTO_SUSPEND = 5
  AUTO_RESUME = true
  INITIALLY_SUSPENDED = true;
GRANT USAGE, OPERATE ON WAREHOUSE EXAMPLE_WAREHOUSE_NAME TO ROLE EXAMPLE_ROLE_NAME;

Mude de função para SECURITYADMIN e crie um novo usuário:

USE ROLE SECURITYADMIN;
CREATE OR REPLACE USER EXAMPLE_USER_NAME
   PASSWORD = 'example_password'
   DEFAULT_ROLE = EXAMPLE_ROLE_NAME
   DEFAULT_WAREHOUSE = EXAMPLE_WAREHOUSE_NAME;

Mude a função para ACCOUNTADMIN e conceda acesso ao banco de dados de flocos de neve para a função.
```
USE ROLE ACCOUNTADMIN;
GRANT IMPORTED PRIVILEGES ON DATABASE SNOWFLAKE TO ROLE EXAMPLE_ROLE_NAME;
```

Mude a função para SECURITYADMIN e atribua a função ao utilizador:

USE ROLE SECURITYADMIN;
GRANT ROLE EXAMPLE_ROLE_NAME TO USER EXAMPLE_USER_NAME;

IMPORTANTE: Salve a senha do usuário e da API criada durante esta etapa, pois eles serão usados durante a etapa de implantação.

ETAPA 2 - Escolha UMA das duas opções de implantação a seguir para implantar o conector e a Função do Azure associada

IMPORTANTE: Antes de implantar o conector de dados, tenha a ID do Espaço de Trabalho e a Chave Primária do Espaço de Trabalho (que podem ser copiadas do seguinte), bem como as credenciais do Snowflake, prontamente disponíveis.

Próximos passos

Para obter mais informações, vá para a solução relacionada no Azure Marketplace.

Partilhar via