Notifications programmatiques des résultats du Centre de confiance¶

Créer une intégration de notification¶

Pour permettre au Centre de confiance d’envoyer des notifications à un système tiers, exécutez la commande CREATE NOTIFICATION INTEGRATION.

Pour plus d’informations, voir CREATE NOTIFICATION INTEGRATION.

Les exemples suivants montrent comment créer des intégrations de notification :

AWS SNS

CREATE NOTIFICATION INTEGRATION test_aws_int
  ENABLED = TRUE
  DIRECTION = OUTBOUND
  TYPE = QUEUE
  NOTIFICATION_PROVIDER = AWS_SNS
  AWS_SNS_TOPIC_ARN = 'arn:aws:sns:us-east-2:1234567890:sns-topic-name'
  AWS_SNS_ROLE_ARN = 'arn:aws:iam::1234567890:role/sns-access-role';

Webhook PagerDuty

L’exemple suivant crée un webhook qui s’appuie sur un secret.

CREATE OR REPLACE SECRET test_db.test_schema.integration_key
  TYPE = GENERIC_STRING
  SECRET_STRING = '1234567890abcdef1234567890abcdef';

CREATE OR REPLACE NOTIFICATION INTEGRATION test_pagerduty_int
  TYPE = WEBHOOK
  ENABLED = TRUE
  WEBHOOK_URL = 'https://events.pagerduty.com/v2/enqueue'
  WEBHOOK_SECRET = test_db.test_schema.integration_key
  WEBHOOK_BODY_TEMPLATE = '{
    "routing_key": "SNOWFLAKE_WEBHOOK_SECRET",
    "event_action": "trigger",
    "payload": {
        "summary": "Snowflake Trust Center Scanner Finding",
        "source": "Snowflake",
        "severity": "critical",
        "custom_details": SNOWFLAKE_WEBHOOK_MESSAGE
    }
  }'
  WEBHOOK_HEADERS = ('Content-Type'='application/json');

Accorder l’accès à l’intégration¶

Pour permettre au Centre de confiance d’utiliser une intégration pour envoyer des notifications, accordez le privilège USAGE sur l’intégration de notification à l’application SNOWFLAKE. Par exemple :

GRANT USAGE ON INTEGRATION test_pagerduty_int TO APPLICATION snowflake;

Si l’intégration s’appuie sur un secret, comme une clé d’intégration webhook PagerDuty, accordez les privilèges supplémentaires suivants à l’ application SNOWFLAKE :

• Privilège READ sur le secret.

• Privilège USAGE sur la base de données qui contient le secret

• Privilège USAGE sur le schéma qui contient le secret

Par exemple :

GRANT READ ON SECRET test_db.test_schema.integration_key TO APPLICATION snowflake;
GRANT USAGE ON DATABASE test_db TO APPLICATION snowflake;
GRANT USAGE ON SCHEMA test_db.test_schema TO APPLICATION snowflake;

Configurer les paramètres de notification d’un scanner¶

Vous devez définir pour chaque scanner ou paquet de scanner les résultats qui déclenchent une notification webhook. La configuration NOTIFICATION_INTEGRATION contient cette définition. Pour définir la configuration NOTIFICATION_INTEGRATION d’un scanner ou d’un paquet de scanners, utilisez la procédure stockée SET_CONFIGURATION(). La valeur de la configuration est une chaîne contenant un tableau d’objets JSON. Chaque objet spécifie ce qui suit :

L’exemple suivant définit une configuration de notification pour tous les scanners dans le paquet de scanner CIS_BENCHMARKS :

CALL SNOWFLAKE.TRUST_CENTER.SET_CONFIGURATION(
  'NOTIFICATION_INTEGRATION',
  ARRAY_CONSTRUCT(
    OBJECT_CONSTRUCT(
      'SEVERITY_THRESHOLD', 'HIGH',
      'INTEGRATION_NAME', 'TEST_PAGERDUTY_INT',
      'INCLUDE_AT_RISK_ENTITIES_AND_FINDING_METADATA', 'TRUE'
    )
  )::VARCHAR,
  'CIS_BENCHMARKS'
);

L’exemple suivant définit une configuration de notification pour un scanner spécifique (CIS_BENCHMARKS_CIS1_1) dans un paquet de scanner :

CALL SNOWFLAKE.TRUST_CENTER.SET_CONFIGURATION(
  'NOTIFICATION_INTEGRATION',
  ARRAY_CONSTRUCT(
    OBJECT_CONSTRUCT(
      'SEVERITY_THRESHOLD', 'HIGH',
      'INTEGRATION_NAME', 'TEST_PAGERDUTY_INT'
    )
  )::VARCHAR,
  'CIS_BENCHMARKS',
  'CIS_BENCHMARKS_CIS1_1'
);

Vous pouvez configurer plusieurs intégrations de notification pour le même scanner ou le même paquet de scanner. L’exemple suivant configure le paquet de scanner CIS_BENCHMARKS pour que l’intégration Azure Event Grid reçoive des notifications pour les résultats CRITICAL, que l’intégration PagerDuty reçoive des notifications pour les résultats HIGH ou CRITICAL et que l’intégration AWS SNS reçoive des notifications pour les résultats de tout niveau de gravité :

CALL SNOWFLAKE.TRUST_CENTER.SET_CONFIGURATION(
  'NOTIFICATION_INTEGRATION',
  ARRAY_CONSTRUCT(
    OBJECT_CONSTRUCT(
      'SEVERITY_THRESHOLD', 'CRITICAL',
      'INTEGRATION_NAME', 'TEST_AZURE_EVENT_GRID_INT',
      'INCLUDE_AT_RISK_ENTITIES_AND_FINDING_METADATA', 'TRUE'
    ),
    OBJECT_CONSTRUCT(
      'SEVERITY_THRESHOLD', 'HIGH',
      'INTEGRATION_NAME', 'TEST_PAGERDUTY_INT'
    ),
    OBJECT_CONSTRUCT(
      'SEVERITY_THRESHOLD', 'LOW',
      'INTEGRATION_NAME', 'TEST_AWS_INT'
    )
  )::VARCHAR,
  'CIS_BENCHMARKS'
);

Pour supprimer la configuration de notification d’un scanner, appelez la procédure stockée UNSET_CONFIGURATION :

CALL SNOWFLAKE.TRUST_CENTER.UNSET_CONFIGURATION(
  'NOTIFICATION_INTEGRATION',
  'CIS_BENCHMARKS',
  'CIS_BENCHMARKS_CIS1_6'
);

Exécuter le scanner¶

Le Centre de confiance prend en charge les scanners basés sur la programmation et les scanners basés sur les événements. Après avoir défini la configuration, vous pouvez exécuter un scanner à la demande ou attendre que le scanner s’exécute selon sa planification ou soit déclenché par un événement.

Pour déclencher manuellement un scanner, utilisez l’une des méthodes suivantes :

• Snowsight : Accédez à Trust Center > Manage Scanners, sélectionnez le menu à trois points pour le scanner, puis sélectionnez Run Scanner.

  Pour plus d’informations, voir Exécuter un paquet de scanner à la demande.

• SQL : Appelez la procédure stockée EXECUTE_SCANNER. Par exemple :

  CopyExpand

  CALL SNOWFLAKE.TRUST_CENTER.EXECUTE_SCANNER('CIS_BENCHMARKS', 'CIS_BENCHMARKS_CIS3_1');
  

  Show lessSee more

  Scroll to top

Interpréter la sortie de la notification¶

Lorsqu’un scanner du Centre de confiance s’exécute et produit des résultats qui atteignent le seuil de gravité configuré, le message de notification contient un objet JSON similaire au suivant :

{
  "scanner_name": "<scanner_name>",
  "scanner_package_name": "<scanner_package_name>",
  "scanner_package_short_description": "<scanner_package_descr>",
  "scanner_short_description": "<scanner_descr>",
  "scanner_finish_time_unix_timestamp_ms": "<scanner_finish_time>",
  "scanner_finish_time_formatted": "<scanner_finish_time_as_date>",
  "findings": [
    {
      "event_id": "<event_id>",
      "finding_identifier": "<finding_identifier>",
      "finding_severity": "<finding_severity>",
      "at_risk_entities": [
        {
          "entity_detail": {},
          "entity_id": "<entity_id>",
          "entity_name": "<entity_name>",
          "entity_object_type": "<entity_object_type>"
        }
      ],
      "total_at_risk_count": "<total_at_risk_count>",
      "metadata": {},
      "note": "The list of at-risk entities has been truncated"
    }
  ]
}

L’objet JSON contient les paires clés-valeurs suivantes :

Résoudre les problèmes de notification¶

Si les notifications ne sont pas livrées comme prévu, vous pouvez interroger les éléments suivants pour examiner le flux d’envoi de notifications.

Pour vérifier les notifications envoyées via la plateforme de notification :

SELECT * FROM TABLE(SNOWFLAKE.INFORMATION_SCHEMA.NOTIFICATION_HISTORY());

Pour vérifier les notifications de scanner envoyées via le Centre de confiance :

SELECT * FROM SNOWFLAKE.TRUST_CENTER.NOTIFICATION_HISTORY ORDER BY SENT_ON DESC;