Integrar Snowflake con Google SecOps

En este documento se explica cómo integrar Snowflake con Google Security Operations (Google SecOps).

Versión de integración: 5.0

Endpoints

La integración de Snowflake usa los siguientes endpoints de la API de Snowflake:

  • /api/statements?async=false: se usa para probar la conexión a la instancia de Snowflake. Este endpoint ejecuta una consulta sencilla para verificar la conectividad.

  • /api/statements?async=true: se usa para enviar consultas personalizadas y sencillas a Snowflake. El parámetro async=true admite la ejecución asíncrona y permite que las acciones recuperen grandes conjuntos de datos sin bloquear la plataforma Google SecOps.

  • /api/statements/QUERY_ID: se usa para obtener los resultados de una consulta enviada anteriormente. La integración sustituye el marcador de posición QUERY_ID por el identificador único, que devuelve el endpoint /api/statements?async=true.

Antes de empezar

Para usar la integración de Snowflake, genera una clave privada y codifícala en formato base64.

Para generar la clave privada, usa SnowSQL. Para obtener más información sobre cómo usar SnowSQL, consulta Instalar SnowSQL.

La integración de Snowflake se basa en la autenticación de pares de claves. Para obtener más información sobre las claves en Snowflake, consulta el artículo Usar la autenticación con pares de claves.

Parámetros de integración

La integración de Snowflake requiere los siguientes parámetros:

Parámetro Descripción
API Root

Obligatorio.

La raíz de la API de la instancia de Snowflake.

El valor predeterminado es https://INSTANCE.snowflakecomputing.com.

Account

Obligatorio.

Nombre de la cuenta de Snowflake.
Username

Obligatorio.

Nombre de usuario para acceder a Snowflake.
Private Key

Obligatorio.

Una clave privada para autenticarte.
Verify SSL

Obligatorio.

Si se selecciona esta opción, la integración valida el certificado SSL al conectarse a Snowflake.

Esta opción está seleccionada de forma predeterminada.

Para obtener instrucciones sobre cómo configurar una integración en Google SecOps, consulta Configurar integraciones.

Si es necesario, puedes hacer cambios más adelante. Después de configurar una instancia de integración, puedes usarla en los cuadernos de estrategias. Para obtener más información sobre cómo configurar y admitir varias instancias, consulta el artículo Admitir varias instancias.

Acciones

Para obtener más información sobre las acciones, consulta Responder a las acciones pendientes de Mi mesa de trabajo y Realizar una acción manual.

Ejecutar consulta personalizada

Usa la acción Ejecutar consulta personalizada para ejecutar una consulta personalizada en Snowflake.

Esta acción es asíncrona. Ajusta el valor de tiempo de espera de la secuencia de comandos en el entorno de desarrollo integrado (IDE) de Google SecOps para la acción según sea necesario.

Esta acción no se ejecuta en entidades de Google SecOps.

Entradas de acciones

La acción Ejecutar consulta personalizada requiere los siguientes parámetros:

Parámetro Descripción
Query

Obligatorio.

Consulta de SQL que se va a ejecutar en Snowflake.

La acción añade automáticamente la palabra clave LIMIT a la consulta. No defina manualmente la palabra clave LIMIT.

La consulta solo admite comillas simples.
Database

Obligatorio.

Nombre de la base de datos de Snowflake que se va a consultar.
Schema

Opcional.

Nombre del esquema de la base de datos especificada que se va a consultar.
Max Results To Return

Opcional.

Número máximo de resultados que se devolverán de la consulta por cada acción ejecutada.

El valor predeterminado es 50.

Resultados de la acción

La acción Ejecutar consulta personalizada proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del panel de casos No disponible
Enlace del panel de casos No disponible
Tabla del panel de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de la secuencia de comandos Disponible
Resultado de JSON

En el siguiente ejemplo se muestra el resultado JSON que se obtiene al usar la acción Ejecutar consulta personalizada:

{
    "C_CUSTKEY": "CUSTOMER_KEY",
    "C_NAME": "Customer#ID",
    "C_ADDRESS": "9Ii4zQn9cX",
    "C_NATIONKEY": "14",
    "C_PHONE": "800-555-0175"

}
Mensajes de salida

La acción Ejecutar consulta personalizada puede devolver los siguientes mensajes de salida:

Mensaje resultante Descripción del mensaje

Successfully executed query "QUERY" in Snowflake.

No results were found for the query "QUERY" in Snowflake.

 La acción se ha realizado correctamente.
Error executing action "Execute Custom Query". Reason: ERROR_REASON

No se ha podido realizar la acción.

Comprueba la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de la secuencia de comandos

En la siguiente tabla se muestra el valor de la salida del resultado de la secuencia de comandos cuando se usa la acción Ejecutar consulta personalizada:

Nombre del resultado del script Valor
is_success True o False

Ejecutar consulta simple

Usa la acción Ejecutar consulta simple para ejecutar una consulta basada en los parámetros proporcionados.

Esta acción es asíncrona. Ajusta el valor de tiempo de espera de la secuencia de comandos en el IDE de Google SecOps para la acción según sea necesario.

Esta acción no se ejecuta en entidades de Google SecOps.

Entradas de acciones

La acción Ejecutar consulta simple requiere los siguientes parámetros:

Parámetro Descripción
Database

Obligatorio.

Nombre de la base de datos que se va a consultar.
Table

Obligatorio.

Nombre de la tabla que se consultará.
Schema

Opcional.

Nombre del esquema que se va a consultar.
Where Filter

Opcional.

La cláusula WHERE para filtrar los resultados de la consulta.

No uses las palabras clave LIMIT ni SORT. No incluyas la cadena WHERE en la carga útil.

La consulta solo admite comillas simples.
Fields To Return

Opcional.

Lista de campos separados por comas que se devolverán.

Si no configuras este parámetro, la acción devolverá todos los campos.

El valor predeterminado es *.
Sort Field

Opcional.

Valor por el que se ordenarán los resultados.
Sort Order

Opcional.

El orden de clasificación (ascendente o descendente).

Estos son los valores posibles:

  • ASC
  • DESC

El valor predeterminado es ASC.
Max Results To Return

Opcional.

Número máximo de resultados que se devolverán por cada ejecución de la acción.

El valor predeterminado es 50.

Resultados de la acción

La acción Ejecutar consulta simple proporciona los siguientes resultados:

Tipo de salida de la acción Disponibilidad
Adjunto del panel de casos No disponible
Enlace del panel de casos No disponible
Tabla del panel de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON Disponible
Mensajes de salida Disponible
Resultado de la secuencia de comandos Disponible
Resultado de JSON

En el siguiente ejemplo se muestra el resultado JSON que se recibe al usar la acción Ejecutar consulta simple:

{
    "C_CUSTKEY": "CUSTOMER_KEY",
    "C_NAME": "Customer#ID",
    "C_ADDRESS": "9Ii4zQn9cX",
    "C_NATIONKEY": "14",
    "C_PHONE": "800-555-0175"

}
Mensajes de salida

La acción Ejecutar consulta simple puede devolver los siguientes mensajes de salida:

Mensaje resultante Descripción del mensaje

Successfully executed query "QUERY" in Snowflake.

No results were found for the query "QUERY" in Snowflake.

 La acción se ha realizado correctamente.
Error executing action "Execute Simple Query". Reason: ERROR_REASON

No se ha podido realizar la acción.

Comprueba la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de la secuencia de comandos

En la siguiente tabla se muestra el valor de la salida del resultado de la secuencia de comandos cuando se usa la acción Ejecutar consulta simple:

Nombre del resultado del script Valor
is_success True o False

Ping

Usa la acción Ping para probar la conectividad con Snowflake.

Esta acción no se ejecuta en entidades de Google SecOps.

Entradas de acciones

Ninguno

Resultados de la acción

La acción Ping proporciona las siguientes salidas:

Tipo de salida de la acción Disponibilidad
Adjunto del panel de casos No disponible
Enlace del panel de casos No disponible
Tabla del panel de casos No disponible
Tabla de enriquecimiento No disponible
Resultado de JSON No disponible
Mensajes de salida Disponible
Resultado de la secuencia de comandos Disponible
Mensajes de salida

La acción Ping puede devolver los siguientes mensajes de salida:

Mensaje resultante Descripción del mensaje
Successfully connected to the Snowflake server with the provided connection parameters! La acción se ha realizado correctamente.
Failed to connect to the Snowflake server! The error is ERROR_REASON

No se ha podido realizar la acción.

Comprueba la conexión al servidor, los parámetros de entrada o las credenciales.
Resultado de la secuencia de comandos

En la siguiente tabla se muestra el valor de la salida del resultado de la secuencia de comandos al usar la acción Ping:

Nombre del resultado del script Valor
is_success True o False

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.