Integrar o Snowflake ao Google SecOps

Este documento explica como integrar o Snowflake ao Google Security Operations (Google SecOps).

Versão da integração: 5.0

Endpoints

A integração do Snowflake usa os seguintes endpoints da API Snowflake:

  • /api/statements?async=false: usado para testar a conexão com a instância do Snowflake. Esse endpoint executa uma consulta simples para verificar a conectividade.

  • /api/statements?async=true: usado para enviar consultas personalizadas e simples ao Snowflake. O parâmetro async=true oferece suporte à execução assíncrona e permite que as ações recuperem grandes conjuntos de dados sem bloquear a plataforma Google SecOps.

  • /api/statements/QUERY_ID: usado para recuperar os resultados de uma consulta enviada anteriormente. A integração substitui o marcador de posição QUERY_ID pelo identificador exclusivo, que o endpoint /api/statements?async=true retorna.

Antes de começar

Para usar a integração do Snowflake, gere uma chave privada e codifique-a no formato base64.

Para gerar a chave privada, use o SnowSQL. Para mais informações sobre como usar o SnowSQL, consulte Instalar o SnowSQL.

A integração do Snowflake depende da autenticação de par de chaves. Para mais informações sobre chaves no Snowflake, consulte Usar autenticação de par de chaves.

Parâmetros de integração

A integração com o Snowflake exige os seguintes parâmetros:

Parâmetro Descrição
API Root

Obrigatório.

A raiz da API da instância do Snowflake.

O valor padrão é https://INSTANCE.snowflakecomputing.com.

Account

Obrigatório.

O nome da conta do Snowflake.
Username

Obrigatório.

O nome de usuário para acessar o Snowflake.
Private Key

Obrigatório.

Uma chave privada para autenticação.
Verify SSL

Obrigatório.

Se selecionada, a integração valida o certificado SSL ao se conectar ao Snowflake.

Essa opção é selecionada por padrão.

Para instruções sobre como configurar uma integração no Google SecOps, consulte Configurar integrações.

É possível fazer mudanças mais tarde, se necessário. Depois de configurar uma instância de integração, você pode usá-la em playbooks. Para mais informações sobre como configurar e oferecer suporte a várias instâncias, consulte Suporte a várias instâncias.

Ações

Para mais informações sobre ações, consulte Responder a ações pendentes na Sua mesa de trabalho e Realizar uma ação manual.

Executar consulta personalizada

Use a ação Executar consulta personalizada para executar uma consulta personalizada no Snowflake.

Essa ação é assíncrona. Ajuste o valor de tempo limite do script no ambiente de desenvolvimento integrado (IDE) do Google SecOps para a ação conforme necessário.

Essa ação não é executada em entidades do Google SecOps.

Entradas de ação

A ação Executar consulta personalizada exige os seguintes parâmetros:

Parâmetro Descrição
Query

Obrigatório.

A consulta SQL a ser executada no Snowflake.

A ação adiciona automaticamente a palavra-chave LIMIT à consulta. Não defina manualmente a palavra-chave LIMIT.

A consulta só aceita aspas simples.
Database

Obrigatório.

O nome do banco de dados do Snowflake a ser consultado.
Schema

Opcional.

O nome do esquema no banco de dados especificado a ser consultado.
Max Results To Return

Opcional.

O número máximo de resultados a serem retornados da consulta para cada execução de ação.

O valor padrão é 50.

Saídas de ação

A ação Executar consulta personalizada fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Executar consulta personalizada:

{
    "C_CUSTKEY": "CUSTOMER_KEY",
    "C_NAME": "Customer#ID",
    "C_ADDRESS": "9Ii4zQn9cX",
    "C_NATIONKEY": "14",
    "C_PHONE": "800-555-0175"

}
Mensagens de saída

A ação Executar consulta personalizada pode retornar as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem

Successfully executed query "QUERY" in Snowflake.

No results were found for the query "QUERY" in Snowflake.

 A ação foi concluída.
Error executing action "Execute Custom Query". Reason: ERROR_REASON

A ação falhou.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Executar consulta personalizada:

Nome do resultado do script Valor
is_success True ou False

Executar consulta simples

Use a ação Executar consulta simples para executar uma consulta com base nos parâmetros fornecidos.

Essa ação é assíncrona. Ajuste o valor de tempo limite do script no ambiente de desenvolvimento integrado do Google SecOps para a ação, conforme necessário.

Essa ação não é executada em entidades do Google SecOps.

Entradas de ação

A ação Executar consulta simples exige os seguintes parâmetros:

Parâmetro Descrição
Database

Obrigatório.

O nome do banco de dados a ser consultado.
Table

Obrigatório.

O nome da tabela a ser consultada.
Schema

Opcional.

O nome do esquema a ser consultado.
Where Filter

Opcional.

A cláusula WHERE para filtrar os resultados da consulta.

Não use as palavras-chave LIMIT ou SORT. Não defina a string WHERE no payload.

A consulta só aceita aspas simples.
Fields To Return

Opcional.

Uma lista de campos separados por vírgulas a serem retornados.

Se você não configurar esse parâmetro, a ação vai retornar todos os campos.

O valor padrão é *.
Sort Field

Opcional.

O valor para classificar os resultados.
Sort Order

Opcional.

A ordem de classificação (crescente ou decrescente).

Os valores possíveis são:

  • ASC
  • DESC

O valor padrão é ASC.
Max Results To Return

Opcional.

O número máximo de resultados a serem retornados para cada execução de ação.

O valor padrão é 50.

Saídas de ação

A ação Executar consulta simples fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Disponível
Mensagens de saída Disponível
Resultado do script Disponível
Resultado JSON

O exemplo a seguir mostra a saída do resultado JSON recebida ao usar a ação Executar consulta simples:

{
    "C_CUSTKEY": "CUSTOMER_KEY",
    "C_NAME": "Customer#ID",
    "C_ADDRESS": "9Ii4zQn9cX",
    "C_NATIONKEY": "14",
    "C_PHONE": "800-555-0175"

}
Mensagens de saída

A ação Executar consulta simples pode retornar as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem

Successfully executed query "QUERY" in Snowflake.

No results were found for the query "QUERY" in Snowflake.

 A ação foi concluída.
Error executing action "Execute Simple Query". Reason: ERROR_REASON

A ação falhou.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Executar consulta simples:

Nome do resultado do script Valor
is_success True ou False

Ping

Use a ação Ping para testar a conectividade com o Snowflake.

Essa ação não é executada em entidades do Google SecOps.

Entradas de ação

Nenhuma.

Saídas de ação

A ação Ping fornece as seguintes saídas:

Tipo de saída da ação Disponibilidade
Anexo do Painel de Casos Indisponível
Link do Painel de Casos Indisponível
Tabela do painel de casos Indisponível
Tabela de enriquecimento Indisponível
Resultado JSON Indisponível
Mensagens de saída Disponível
Resultado do script Disponível
Mensagens de saída

A ação Ping pode retornar as seguintes mensagens de saída:

Mensagem de resposta Descrição da mensagem
Successfully connected to the Snowflake server with the provided connection parameters! A ação foi concluída.
Failed to connect to the Snowflake server! The error is ERROR_REASON

A ação falhou.

Verifique a conexão com o servidor, os parâmetros de entrada ou as credenciais.
Resultado do script

A tabela a seguir lista o valor da saída do resultado do script ao usar a ação Ping:

Nome do resultado do script Valor
is_success True ou False

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.