Snowflake-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Snowflake-Logs mit AWS S3 in Google Security Operations aufnehmen. Der Parser extrahiert Felder aus den Logeinträgen mithilfe einer Reihe von Grok- und KV-Musterabgleichsregeln, die speziell für das Snowflake-Logformat entwickelt wurden. Anschließend werden die extrahierten Felder dem Unified Data Model (UDM) zugeordnet, um die Daten mit zusätzlichem Kontext anzureichern und die Darstellung für weitere Analysen zu standardisieren.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Google SecOps-Instanz
  • Privilegierter Zugriff auf AWS
  • Privilegierter Zugriff auf Snowflake (ACCOUNTADMIN)

Amazon S3-Bucket konfigurieren

  1. Erstellen Sie einen Amazon S3-Bucket. Folgen Sie dazu der Anleitung unter Bucket erstellen.
  2. Speichern Sie den Namen und die Region des Buckets für die spätere Verwendung.

Snowflake-AWS-IAM-Richtlinie konfigurieren

  1. Melden Sie sich in der AWS Management Console an.
  2. Suchen Sie nach IAM und wählen Sie den Eintrag aus.
  3. Wählen Sie Kontoeinstellungen aus.
  4. Suchen Sie in der Liste Endpoints unter Security Token Service (STS) nach der Snowflake-Region, in der sich Ihr Konto befindet.
  5. Wenn der STS-Status Inaktiv lautet, stellen Sie den Schalter auf Aktiv.
  6. Wählen Sie Richtlinien aus.
  7. Wählen Sie Richtlinie erstellen aus.
  8. Wählen Sie im Richtlinieneditor die Option JSON aus.

  9. Kopieren Sie die folgende Richtlinie (im JSON-Format) und fügen Sie sie ein, um Snowflake die erforderlichen Berechtigungen zum Laden oder Entladen von Daten mit einem einzelnen Bucket- und Ordnerpfad zu gewähren. Sie können Datendateien auch mit der Kopieroption PURGE (dauerhaft löschen) löschen.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
              "s3:PutObject",
              "s3:GetObject",
              "s3:GetObjectVersion",
              "s3:DeleteObject",
              "s3:DeleteObjectVersion"
            ],
            "Resource": "arn:aws:s3:::<bucket>/<prefix>/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": "arn:aws:s3:::<bucket>",
            "Condition": {
                "StringLike": {
                    "s3:prefix": [
                        "<prefix>/*"
                    ]
                }
            }
        }
    ]
}

  10. Klicken Sie auf Weiter.

  11. Geben Sie einen Richtliniennamen ein (z. B. snowflake_access) und optional eine Beschreibung.

  12. Klicken Sie auf Richtlinie erstellen.

Snowflake-AWS-IAM-Rolle konfigurieren

  1. Wählen Sie in AWS IAM (Identity and Access Management, Identitäts- und Zugriffsverwaltung) Rollen aus.
  2. Klicken Sie auf Rolle erstellen.
  3. Wählen Sie AWS-Konto als Art der vertrauenswürdigen Entität aus.
  4. Wählen Sie Anderes AWS-Konto aus.
  5. Geben Sie im Feld „Konto-ID“ vorübergehend Ihre eigene AWS-Konto-ID ein. Später ändern Sie die Vertrauensstellung und gewähren Zugriff auf Snowflake.
  6. Wählen Sie die Option Externe ID erforderlich aus.
  7. Geben Sie eine Platzhalter-ID wie 0000 ein. In einem späteren Schritt ändern Sie die Vertrauensstellung für Ihre IAM-Rolle und geben die externe ID für Ihre Speicherintegration an.
  8. Klicken Sie auf Weiter.
  9. Wählen Sie die zuvor erstellte IAM-Richtlinie aus.
  10. Klicken Sie auf Weiter.
  11. Geben Sie einen Namen und eine Beschreibung für die Rolle ein.
  12. Klicken Sie auf Rolle erstellen.
  13. Kopieren und speichern Sie auf der Seite mit der Rollenzusammenfassung den Rollen-ARN.

Snowflake-S3-Integration konfigurieren

  1. Stellen Sie eine Verbindung zur Snowflake-Datenbank her.

  2. Ersetzen Sie die folgenden Felder und führen Sie den Befehl aus:

    • <integration_name> ist der Name der neuen Integration (z. B. s3_integration).
    • <iam_role> ist der Amazon Resource Name (ARN) der Rolle, die Sie zuvor erstellt haben.
    • <aws_s3_bucket_path> ist der Pfad zum Bucket, den Sie zuvor erstellt haben (z. B. s3://your-log-bucket-name/).
    CREATE OR REPLACE STORAGE INTEGRATION <integration_name>
  TYPE = EXTERNAL_STAGE
  STORAGE_PROVIDER = 'S3'
  ENABLED = TRUE
  STORAGE_AWS_ROLE_ARN = '<iam_role>'
  STORAGE_ALLOWED_LOCATIONS = ('<aws_s3_bucket_path>')

AWS-IAM-Nutzerberechtigungen für den Zugriff auf den Bucket konfigurieren

  1. Rufen Sie den ARN für den IAM-Nutzer ab, der automatisch für Ihr Snowflake-Konto erstellt wurde, und ersetzen Sie <integration_name> durch den tatsächlichen Namen der Integration, die Sie zuvor erstellt haben: none DESC INTEGRATION <integration_name>;
  • Beispiel: none DESC INTEGRATION s3_integration; +---------------------------+---------------+--------------------------------------------------------------------------------+------------------+ | property | property_type | property_value | property_default | +---------------------------+---------------+--------------------------------------------------------------------------------+------------------| | ENABLED | Boolean | true | false | | STORAGE_ALLOWED_LOCATIONS | List | s3://mybucket1/mypath1/,s3://mybucket2/mypath2/ | [] | | STORAGE_BLOCKED_LOCATIONS | List | s3://mybucket1/mypath1/sensitivedata/,s3://mybucket2/mypath2/sensitivedata/ | [] | | STORAGE_AWS_IAM_USER_ARN | String | arn:aws:iam::123456789001:user/abc1-b-self1234 | | | STORAGE_AWS_ROLE_ARN | String | arn:aws:iam::001234567890:role/myrole | | | STORAGE_AWS_EXTERNAL_ID | String | MYACCOUNT_SFCRole=2_a123456/s0aBCDEfGHIJklmNoPq= | | +---------------------------+---------------+--------------------------------------------------------------------------------+------------------+
  1. Kopieren und speichern Sie die Werte für die folgenden Attribute:
    • STORAGE_AWS_IAM_USER_ARN
    • STORAGE_AWS_EXTERNAL_ID
  2. Rufen Sie die AWS Management Console auf.
  3. Wählen Sie IAM > Rollen aus.
  4. Wählen Sie die zuvor erstellte Rolle aus.
  5. Wählen Sie den Tab Vertrauensstellungen aus.
  6. Klicken Sie auf Vertrauensrichtlinie bearbeiten.

  7. Aktualisieren Sie das Richtliniendokument mit den Ausgabewerten von DESC INTEGRATION:

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "AWS": "<snowflake_user_arn>"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "<snowflake_external_id>"
        }
      }
    }
  ]
}

  8. Ersetzen Sie folgende Werte:

    • snowflake_user_arn ist der Wert STORAGE_AWS_IAM_USER_ARN, den Sie notiert haben.
    • snowflake_external_id ist der Wert STORAGE_AWS_EXTERNAL_ID, den Sie notiert haben.

  9. Klicken Sie auf Richtlinie aktualisieren.

JSON-Dateiformat in Snowflake konfigurieren

  1. Geben Sie in Snowflake den folgenden Befehl ein:

    CREATE OR REPLACE FILE FORMAT my_json_format
  type = json
  COMPRESSION = 'gzip'
  null_if = ('NULL', 'null');

S3-Stagingbereich in Snowflake erstellen

  1. Ersetzen Sie in Snowflake die folgenden Felder und geben Sie den Befehl ein:

    • <DB_NAME>
    • <DB_SCHEMA_NAME>
    • <AWS_S3_BUCKET_PATH>
    use database '<DB_NAME>';
use schema '<DB_SCHEMA_NAME>';
CREATE OR REPLACE STAGE my_s3_stage
storage_integration = s3_integration
url = '<AWS_S3_BUCKET_PATH>'
file_format = my_json_format;

Snowflake für den Datenexport konfigurieren

  1. Führen Sie den UNLOAD-Befehl aus, um Daten aus Tabellen in die Staging-Umgebung und dann in AWS S3 zu exportieren:

    use database '<DB_NAME>';
use WAREHOUSE '<WAREHOUSE_NAME>';

copy into @my_s3_stage/login_history from (SELECT OBJECT_CONSTRUCT('application', 'snowflake' ,'environment', '<PUT_HERE_ENV_NAME>', 'log_type', 'login_history', 'EVENT_TIMESTAMP', EVENT_TIMESTAMP, 'EVENT_TYPE', EVENT_TYPE, 'USER_NAME', USER_NAME, 'CLIENT_IP', CLIENT_IP, 'REPORTED_CLIENT_TYPE', REPORTED_CLIENT_TYPE, 'FIRST_AUTHENTICATION_FACTOR',FIRST_AUTHENTICATION_FACTOR, 'IS_SUCCESS', IS_SUCCESS, 'ERROR_CODE', ERROR_CODE, 'ERROR_MESSAGE', ERROR_MESSAGE) from snowflake.account_usage.Login_history) FILE_FORMAT = (TYPE = JSON) ;

copy into @my_s3_stage/access_history from (SELECT OBJECT_CONSTRUCT('application', 'snowflake' ,'environment', '<PUT_HERE_DB_NAME>', 'log_type', 'access_history', 'QUERY_START_TIME',QUERY_START_TIME, 'USER_NAME', USER_NAME, 'DIRECT_OBJECTS_ACCESSED',DIRECT_OBJECTS_ACCESSED, 'BASE_OBJECTS_ACCESSED', BASE_OBJECTS_ACCESSED, 'OBJECTS_MODIFIED', OBJECTS_MODIFIED) from snowflake.account_usage.Access_History ) FILE_FORMAT = (TYPE = JSON);

  2. Wiederholen Sie den Exportvorgang für alle folgenden Tabellen, in denen Snowflake Logs und Audit-bezogene Daten speichert:

    Databases ;
WAREHOUSE_EVENTS_HISTORY ;
WAREHOUSE_LOAD_HISTORY ;
WAREHOUSE_METERING_HISTORY ;
DATABASE_STORAGE_USAGE_HISTORY ;
DATA_TRANSFER_HISTORY ;
GRANTS_TO_ROLES ;
GRANTS_TO_USERS ;
METERING_DAILY_HISTORY ;
PIPE_USAGE_HISTORY ;
REPLICATION_USAGE_HISTORY ;
STAGE_STORAGE_USAGE_HISTORY ;
STORAGE_USAGE ;
TASK_HISTORY ;
COPY_HISTORY ;

AWS IAM für Google SecOps konfigurieren

  1. Melden Sie sich in der AWS Management Console an.
  2. Erstellen Sie einen Nutzer gemäß dieser Anleitung: IAM-Nutzer erstellen.
  3. Wählen Sie den erstellten Nutzer aus.
  4. Wählen Sie den Tab Sicherheitsanmeldedaten aus.
  5. Klicken Sie im Abschnitt Zugriffsschlüssel auf Zugriffsschlüssel erstellen.
  6. Wählen Sie Drittanbieterdienst als Anwendungsfall aus.
  7. Klicken Sie auf Weiter.
  8. Optional: Fügen Sie ein Beschreibungstag hinzu.
  9. Klicken Sie auf Zugriffsschlüssel erstellen.
  10. Klicken Sie auf CSV-Datei herunterladen, um den Access Key (Zugriffsschlüssel) und den Secret Access Key (geheimer Zugriffsschlüssel) für die zukünftige Verwendung zu speichern.
  11. Klicken Sie auf Fertig.
  12. Wählen Sie den Tab Berechtigungen aus.
  13. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
  14. Wählen Sie Berechtigungen hinzufügen aus.
  15. Wählen Sie Richtlinien direkt anhängen aus.
  16. Suchen Sie nach der Richtlinie AmazonS3FullAccess und wählen Sie sie aus.
  17. Klicken Sie auf Weiter.
  18. Klicken Sie auf Berechtigungen hinzufügen.

Feeds einrichten

So konfigurieren Sie einen Feed:

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Snowflake-Logs.
  5. Wählen Sie Amazon S3 V2 als Quelltyp aus.
  6. Wählen Sie Snowflake als Logtyp aus.
  7. Klicken Sie auf Weiter.

  8. Geben Sie Werte für die folgenden Eingabeparameter an:

    • S3-URI: Der Bucket-URI (das Format sollte s3://your-log-bucket-name/ sein). Ersetzen Sie Folgendes:
      • your-log-bucket-name: der Name des Buckets.
    • Optionen zum Löschen der Quelle: Wählen Sie die gewünschte Option aus.

  9. Klicken Sie auf Weiter.

  10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
column4_label additional.fields Zusammengeführt
column7_label additional.fields Zusammengeführt
first_authentication_factor_label additional.fields Zusammengeführt
host_list additional.fields Zusammengeführt
query_text_label additional.fields Zusammengeführt
query_type_label additional.fields Zusammengeführt
roleIds_list additional.fields Zusammengeführt
roleNames_list additional.fields Zusammengeführt
rolecount_label additional.fields Zusammengeführt
user_count_label additional.fields Zusammengeführt
has_principal extensions.auth.type Zugeordnet: true → AUTHTYPE_UNSPECIFIED
START_TIME metadata.event_timestamp Geparst als yyyy-MM-dd HH:mm:ss.SSS Z
column2 metadata.event_timestamp Geparst als yyyy-MM-dd HH:mm:ss.SSS Z
column20 metadata.event_timestamp Geparst als yyyy-MM-dd HH:mm:ss.SSS Z
ts metadata.event_timestamp Geparst als ISO8601
event_type metadata.event_type Direkt zugeordnet
has_principal metadata.event_type Zugeordnet: true → NETWORK_CONNECTION, true → STATUS_UPDATE, true → USER_LOGIN
has_principal_user metadata.event_type Zugeordnet: true → USER_UNCATEGORIZED
column10 metadata.product_event_type Direkt zugeordnet
QUERY_ID metadata.product_log_id Direkt zugeordnet
column1 metadata.product_log_id Direkt zugeordnet
column6 metadata.product_version Direkt zugeordnet
SESSION_ID network.http.session_id Direkt zugeordnet
RECEIVED_BYTES network.received_bytes Umbenannt/zugeordnet
BYTES_SENT_OVER_THE_NETWORK network.sent_bytes Umbenannt/zugeordnet
SENT_BYTES network.sent_bytes Umbenannt/zugeordnet
APPLICATION principal.application Direkt zugeordnet
data.user_name principal.asset.hostname Direkt zugeordnet
CLIENT_IP principal.asset.ip Zusammengeführt
IP principal.asset.ip Zusammengeführt
column5 principal.asset.ip Zusammengeführt
SOURCE_REGION principal.cloud.availability_zone Direkt zugeordnet
SOURCE_CLOUD principal.cloud.environment Zugeordnet: (?i)azure → MICROSOFT_AZURE, (?i)amazon → AMAZON_WEB_SERVICES, (?i)google …
data.user_name principal.hostname Direkt zugeordnet
CLIENT_IP principal.ip Zusammengeführt
IP principal.ip Zusammengeführt
column5 principal.ip Zusammengeführt
OS principal.platform Zugeordnet: (?i)Linux → LINUX, (?i)windows → WINDOWS, (?i)mac/ios → MAC
OS_VERSION principal.platform_version Direkt zugeordnet
SOURCE_CLOUD_label principal.resource.attribute.labels Zusammengeführt
roles principal.user.attribute.roles Zusammengeführt
data.role_name principal.user.role_name Direkt zugeordnet
column9 principal.user.user_display_name Direkt zugeordnet
USER_NAME principal.user.userid Direkt zugeordnet
column10 principal.user.userid Direkt zugeordnet
column3 principal.user.userid Direkt zugeordnet
EXECUTION_STATUS security_result.action Zugeordnet: (?i)success → action, (?i)fail → security_result_action_block
STATUS security_result.action Zugeordnet: (?i)success → action, (?i)fail → action
action security_result.action Zusammengeführt
security_result_action_block security_result.action Zusammengeführt
OCSP_MODE security_result.action_details Direkt zugeordnet
column11 security_result.action_details Direkt zugeordnet
column3 security_result.action_details Direkt zugeordnet
BYTES_DELETED_label security_result.detection_fields Zusammengeführt
BYTES_READ_FROM_RESULT_label security_result.detection_fields Zusammengeführt
BYTES_SCANNED_label security_result.detection_fields Zusammengeführt
BYTES_SPILLED_TO_LOCAL_STORAGE_label security_result.detection_fields Zusammengeführt
BYTES_SPILLED_TO_REMOTE_STORAGE_label security_result.detection_fields Zusammengeführt
BYTES_WRITTEN_TO_RESULT_label security_result.detection_fields Zusammengeführt
BYTES_WRITTEN_label security_result.detection_fields Zusammengeführt
CHILD_QUERIES_WAIT_TIME_label security_result.detection_fields Zusammengeführt
CLUSTER_NUMBER_label security_result.detection_fields Zusammengeführt
COMPILATION_TIME_label security_result.detection_fields Zusammengeführt
CREDITS_USED_CLOUD_SERVICES_label security_result.detection_fields Zusammengeführt
DATABASE_ID_label security_result.detection_fields Zusammengeführt
DATABASE_NAME_label security_result.detection_fields Zusammengeführt
END_TIME_label security_result.detection_fields Zusammengeführt
ERROR_MESSAGE_label security_result.detection_fields Zusammengeführt
EXECUTION_TIME_label security_result.detection_fields Zusammengeführt
EXTERNAL_FUNCTION_TOTAL_INVOCATIONS_label security_result.detection_fields Zusammengeführt
EXTERNAL_FUNCTION_TOTAL_RECEIVED_BYTES_label security_result.detection_fields Zusammengeführt
EXTERNAL_FUNCTION_TOTAL_RECEIVED_ROWS_label security_result.detection_fields Zusammengeführt
EXTERNAL_FUNCTION_TOTAL_SENT_BYTES_label security_result.detection_fields Zusammengeführt
EXTERNAL_FUNCTION_TOTAL_SENT_ROWS_label security_result.detection_fields Zusammengeführt
INBOUND_DATA_TRANSFER_BYTES_label security_result.detection_fields Zusammengeführt
IS_CLIENT_GENERATED_STATEMENT_label security_result.detection_fields Zusammengeführt
LIST_EXTERNAL_FILES_TIME_label security_result.detection_fields Zusammengeführt
OUTBOUND_DATA_TRANSFER_BYTES_label security_result.detection_fields Zusammengeführt
PARTITIONS_SCANNED_label security_result.detection_fields Zusammengeführt
PARTITIONS_TOTAL_label security_result.detection_fields Zusammengeführt
PERCENTAGE_SCANNED_FROM_CACHE_label security_result.detection_fields Zusammengeführt
QUERY_ACCELERATION_BYTES_SCANNED_label security_result.detection_fields Zusammengeführt
QUERY_ACCELERATION_PARTITIONS_SCANNED_label security_result.detection_fields Zusammengeführt
QUERY_ACCELERATION_UPPER_LIMIT_SCALE_FACTOR_label security_result.detection_fields Zusammengeführt
QUERY_HASH_VERSION_label security_result.detection_fields Zusammengeführt
QUERY_HASH_label security_result.detection_fields Zusammengeführt
QUERY_LOAD_PERCENT_label security_result.detection_fields Zusammengeführt
QUERY_PARAMETERIZED_HASH_VERSION_label security_result.detection_fields Zusammengeführt
QUERY_TAG_label security_result.detection_fields Zusammengeführt
QUERY_TYPE_label security_result.detection_fields Zusammengeführt
QUEUED_OVERLOAD_TIME_label security_result.detection_fields Zusammengeführt
QUEUED_PROVISIONING_TIME_label security_result.detection_fields Zusammengeführt
QUEUED_REPAIR_TIME_label security_result.detection_fields Zusammengeführt
RELEASE_VERSION_label security_result.detection_fields Zusammengeführt
ROLE_TYPE_label security_result.detection_fields Zusammengeführt
ROWS_DELETED_label security_result.detection_fields Zusammengeführt
ROWS_INSERTED_label security_result.detection_fields Zusammengeführt
ROWS_PRODUCED_label security_result.detection_fields Zusammengeführt
ROWS_UNLOADED_label security_result.detection_fields Zusammengeführt
ROWS_UPDATED_label security_result.detection_fields Zusammengeführt
ROWS_WRITTEN_TO_RESULT_label security_result.detection_fields Zusammengeführt
SCHEMA_ID_label security_result.detection_fields Zusammengeführt
SCHEMA_NAME_label security_result.detection_fields Zusammengeführt
TOTAL_ELAPSED_TIME_label security_result.detection_fields Zusammengeführt
TRANSACTION_BLOCKED_TIME_label security_result.detection_fields Zusammengeführt
TRANSACTION_ID_label security_result.detection_fields Zusammengeführt
WAREHOUSE_ID_label security_result.detection_fields Zusammengeführt
WAREHOUSE_NAME_label security_result.detection_fields Zusammengeführt
WAREHOUSE_SIZE_label security_result.detection_fields Zusammengeführt
WAREHOUSE_TYPE_label security_result.detection_fields Zusammengeführt
authentication_factor_label security_result.detection_fields Zusammengeführt
column4_label security_result.detection_fields Zusammengeführt
column6_label security_result.detection_fields Zusammengeführt
column7_label security_result.detection_fields Zusammengeführt
column8_label security_result.detection_fields Zusammengeführt
event_id_label security_result.detection_fields Zusammengeführt
event_type_label security_result.detection_fields Zusammengeführt
is_success_label security_result.detection_fields Zusammengeführt
python_compiler_label security_result.detection_fields Zusammengeführt
python_runtime_label security_result.detection_fields Zusammengeführt
python_version_label security_result.detection_fields Zusammengeführt
reported_client_type_label security_result.detection_fields Zusammengeführt
reported_client_version_label security_result.detection_fields Zusammengeführt
tracing_label security_result.detection_fields Zusammengeführt
EXECUTION_STATUS security_result.summary Direkt zugeordnet
STATUS security_result.summary Direkt zugeordnet
column17 security_result.summary Direkt zugeordnet
TARGET_REGION target.cloud.availability_zone Direkt zugeordnet
TARGET_CLOUD target.cloud.environment Zugeordnet: (?i)azure → MICROSOFT_AZURE, (?i)amazon → AMAZON_WEB_SERVICES, (?i)google …
TARGET_CLOUD_label target.resource.attribute.labels Zusammengeführt
column2_label target.resource.attribute.labels Zusammengeführt
column7_label target.resource.attribute.labels Zusammengeführt
USER_NAME target.user.userid Direkt zugeordnet
column4 target.user.userid Direkt zugeordnet
– extensions.auth.type Konstante: AUTHTYPE_UNSPECIFIED
– metadata.event_type Konstante: NETWORK_CONNECTION
– metadata.product_name Konstante: SNOWFLAKE
– metadata.vendor_name Konstante: SNOWFLAKE
– principal.cloud.environment Konstante: MICROSOFT_AZURE
– principal.platform Konstante: LINUX
– target.cloud.environment Konstante: MICROSOFT_AZURE

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten