Conector do Snowflake (usando o Azure Functions) para o Microsoft Sentinel

  • Artigo

O conector de dados do Snowflake oferece a capacidade de ingerir logs de logon do Snowflake e consultar logs no Microsoft Sentinel usando o Conector Python do Snowflake. Consulte a Documentação do Snowflake para saber mais.

Atributos do conector

Atributo do conector Description
Tabela(s) do Log Analytics Snowflake_CL
Suporte às regras de coleta de dados Sem suporte no momento
Com suporte por Microsoft Corporation

Exemplos de consulta

Todos os eventos do Snowflake

Snowflake_CL

| sort by TimeGenerated desc

Pré-requisitos

Para fazer a integração com o Snowflake (usando o Azure Functions), certifique-se de que você tenha o seguinte:

  • Permissões Microsoft.Web/sites : são necessárias permissões de leitura e gravação no Azure Functions para criar um Aplicativo de Funções. Confira a documentação para saber mais sobre o Azure Functions.
  • Credenciais do Snowflake: o Identificador de conta do Snowflake, o usuário do Snowflake e a senha do Snowflake são necessários para conexão. Consulte a documentação para saber mais sobre o Identificador de conta do Snowflake. Confira abaixo as instruções sobre como criar um usuário para esse conector.

Instruções de instalação do fornecedor

Observação

Esse conector usa o Azure Functions para se conectar à API do Armazenamento de Blobs do Azure e efetuar pull de logs ao Microsoft Sentinel. Pode haver custos adicionais para a ingestão e o armazenamento de dados nos valores do Armazenamento de Blobs do Azure. Verifique a página de preços do Azure Functions e do Armazenamento de Blobs do Azure para saber mais detalhes.

(Etapa opcional): armazene o espaço de trabalho e as chaves de autorização ou tokens da API com segurança no Azure Key Vault. O Azure Key Vault fornece um mecanismo seguro para armazenar e recuperar valores de chave. Siga estas instruções para usar o Azure Key Vault com um aplicativos do Azure Function.

Observação

Esse conector de dados depende de um analisador baseado em uma Função do Kusto para funcionar conforme o esperado, o Snowflake, que é implantado com a Solução do Microsoft Sentinel.

ETAPA 1 – Criar usuário no Snowflake

Para consultar dados do Snowflake, você precisa de um usuário atribuído a uma função com privilégios suficientes e um cluster de warehouse virtual. O tamanho inicial desse cluster será definido como pequeno, mas se for insuficiente, ele poderá ser aumentado conforme necessário.

  1. Insira o console do Snowflake.

  2. Alterne a função para SECURITYADMIN e crie uma nova função:

    USE ROLE SECURITYADMIN;
CREATE OR REPLACE ROLE EXAMPLE_ROLE_NAME;

  3. Alterne a função para SYSADMIN, crie um warehouse e conceda acesso a ele:

    USE ROLE SYSADMIN;
CREATE OR REPLACE WAREHOUSE EXAMPLE_WAREHOUSE_NAME
  WAREHOUSE_SIZE = 'SMALL' 
  AUTO_SUSPEND = 5
  AUTO_RESUME = true
  INITIALLY_SUSPENDED = true;
GRANT USAGE, OPERATE ON WAREHOUSE EXAMPLE_WAREHOUSE_NAME TO ROLE EXAMPLE_ROLE_NAME;

  4. Alterne a função para SECURITYADMIN e crie um novo usuário:

    USE ROLE SECURITYADMIN;
CREATE OR REPLACE USER EXAMPLE_USER_NAME
   PASSWORD = 'example_password'
   DEFAULT_ROLE = EXAMPLE_ROLE_NAME
   DEFAULT_WAREHOUSE = EXAMPLE_WAREHOUSE_NAME
;

  5. Alterne a função para ACCOUNTADMIN e conceda acesso ao banco de dados do Snowflake para função.

    USE ROLE ACCOUNTADMIN;
GRANT IMPORTED PRIVILEGES ON DATABASE SNOWFLAKE TO ROLE EXAMPLE_ROLE_NAME;

  6. Alterne a função para SECURITYADMIN e atribua a função ao usuário:

    USE ROLE SECURITYADMIN;
GRANT ROLE EXAMPLE_ROLE_NAME TO USER EXAMPLE_USER_NAME;

IMPORTANTE: salve o usuário e a senha da API criados durante esta etapa, pois eles serão usados durante a etapa de implantação.

ETAPA 2 – Escolha UMA das duas opções de implantação a seguir para implantar o conector e o Azure Function associado

IMPORTANTE: antes de implantar o conector de dados, tenha em mãos a ID do espaço de trabalho e a chave primária do espaço de trabalho (podem ser copiadas a seguir), bem como as credenciais do Snowflake.

Próximas etapas

Para obter mais informações, acesse a solução relacionada no Azure Marketplace.