Notificações programáticas para descobertas do Trust Center¶

Criação de uma integração de notificação¶

Para permitir que o Trust Center envie notificações para um sistema de terceiros, execute o comando CREATE NOTIFICATION INTEGRATION.

Para obter mais informações, consulte CREATE NOTIFICATION INTEGRATION.

Os exemplos a seguir mostram como criar integrações de notificação:

AWS SNS

CREATE NOTIFICATION INTEGRATION test_aws_int
  ENABLED = TRUE
  DIRECTION = OUTBOUND
  TYPE = QUEUE
  NOTIFICATION_PROVIDER = AWS_SNS
  AWS_SNS_TOPIC_ARN = 'arn:aws:sns:us-east-2:1234567890:sns-topic-name'
  AWS_SNS_ROLE_ARN = 'arn:aws:iam::1234567890:role/sns-access-role';

Webhook PagerDuty

O exemplo a seguir cria um webhook que precisa de um segredo.

CREATE OR REPLACE SECRET test_db.test_schema.integration_key
  TYPE = GENERIC_STRING
  SECRET_STRING = '1234567890abcdef1234567890abcdef';

CREATE OR REPLACE NOTIFICATION INTEGRATION test_pagerduty_int
  TYPE = WEBHOOK
  ENABLED = TRUE
  WEBHOOK_URL = 'https://events.pagerduty.com/v2/enqueue'
  WEBHOOK_SECRET = test_db.test_schema.integration_key
  WEBHOOK_BODY_TEMPLATE = '{
    "routing_key": "SNOWFLAKE_WEBHOOK_SECRET",
    "event_action": "trigger",
    "payload": {
        "summary": "Snowflake Trust Center Scanner Finding",
        "source": "Snowflake",
        "severity": "critical",
        "custom_details": SNOWFLAKE_WEBHOOK_MESSAGE
    }
  }'
  WEBHOOK_HEADERS = ('Content-Type'='application/json');

Conceder acesso à integração¶

Para permitir que o Trust Center use uma integração para enviar notificações, conceda ao aplicativo SNOWFLAKE o privilégio USAGE na integração de notificação. Por exemplo:

GRANT USAGE ON INTEGRATION test_pagerduty_int TO APPLICATION snowflake;

Se a integração depender de um segredo, como uma chave de integração para webhook PagerDuty, conceda os seguintes privilégios adicionais ao aplicativo SNOWFLAKE:

• Privilégio READ no segredo

• Privilégio USAGE no banco de dados que contém o segredo

• Privilégio USAGE no esquema que contém o segredo

Por exemplo:

GRANT READ ON SECRET test_db.test_schema.integration_key TO APPLICATION snowflake;
GRANT USAGE ON DATABASE test_db TO APPLICATION snowflake;
GRANT USAGE ON SCHEMA test_db.test_schema TO APPLICATION snowflake;

Definir as configurações de notificação para um verificador¶

Você deve definir para cada verificador ou pacote de verificadores as descobertas que acionam uma notificação do webhook. Uma configuração NOTIFICATION_INTEGRATION contém essa definição. Para definir uma configuração NOTIFICATION_INTEGRATION para um verificador ou pacote de verificadores, use o procedimento armazenado SET_CONFIGURATION(). O valor da configuração é uma cadeia de caracteres que contém uma matriz de objetos JSON. Cada objeto especifica o seguinte:

O exemplo a seguir define uma configuração de notificação para todos os verificadores no pacote CIS_BENCHMARKS:

CALL SNOWFLAKE.TRUST_CENTER.SET_CONFIGURATION(
  'NOTIFICATION_INTEGRATION',
  ARRAY_CONSTRUCT(
    OBJECT_CONSTRUCT(
      'SEVERITY_THRESHOLD', 'HIGH',
      'INTEGRATION_NAME', 'TEST_PAGERDUTY_INT',
      'INCLUDE_AT_RISK_ENTITIES_AND_FINDING_METADATA', 'TRUE'
    )
  )::VARCHAR,
  'CIS_BENCHMARKS'
);

O exemplo a seguir define uma configuração de notificação para um verificador específico (CIS_BENCHMARKS_CIS1_1) em um pacote de verificadores:

CALL SNOWFLAKE.TRUST_CENTER.SET_CONFIGURATION(
  'NOTIFICATION_INTEGRATION',
  ARRAY_CONSTRUCT(
    OBJECT_CONSTRUCT(
      'SEVERITY_THRESHOLD', 'HIGH',
      'INTEGRATION_NAME', 'TEST_PAGERDUTY_INT'
    )
  )::VARCHAR,
  'CIS_BENCHMARKS',
  'CIS_BENCHMARKS_CIS1_1'
);

É possível configurar várias integrações de notificação para o mesmo verificador ou pacote de verificadores. O exemplo a seguir configura o pacote de verificadores CIS_BENCHMARKS para que a integração com o Azure Event Grid receba notificações sobre descobertas CRITICAL, a integração com o PagerDuty receba notificações sobre descobertas HIGH ou CRITICAL e a integração com o AWS SNS receba notificações sobre descobertas de qualquer nível de gravidade:

CALL SNOWFLAKE.TRUST_CENTER.SET_CONFIGURATION(
  'NOTIFICATION_INTEGRATION',
  ARRAY_CONSTRUCT(
    OBJECT_CONSTRUCT(
      'SEVERITY_THRESHOLD', 'CRITICAL',
      'INTEGRATION_NAME', 'TEST_AZURE_EVENT_GRID_INT',
      'INCLUDE_AT_RISK_ENTITIES_AND_FINDING_METADATA', 'TRUE'
    ),
    OBJECT_CONSTRUCT(
      'SEVERITY_THRESHOLD', 'HIGH',
      'INTEGRATION_NAME', 'TEST_PAGERDUTY_INT'
    ),
    OBJECT_CONSTRUCT(
      'SEVERITY_THRESHOLD', 'LOW',
      'INTEGRATION_NAME', 'TEST_AWS_INT'
    )
  )::VARCHAR,
  'CIS_BENCHMARKS'
);

Para remover a configuração de notificação de um verificador, chame o procedimento armazenado UNSET_CONFIGURATION:

CALL SNOWFLAKE.TRUST_CENTER.UNSET_CONFIGURATION(
  'NOTIFICATION_INTEGRATION',
  'CIS_BENCHMARKS',
  'CIS_BENCHMARKS_CIS1_6'
);

Executar o verificador¶

O Trust Center é compatível com verificadores baseados em cronograma e verificadores orientados por evento. Depois de definir a configuração, você poderá executar um verificador sob demanda ou aguardar que ele seja executado de acordo com seu cronograma ou acionado por um evento.

Para acionar manualmente um verificador, use um dos seguintes métodos:

• Snowsight: navegue até Trust Center > Manage Scanners, selecione o menu de três pontos do verificador e escolha Run Scanner.

  Para obter mais informações, consulte Execução de um pacote de verificadores sob demanda.

• SQL: Chame o procedimento armazenado EXECUTE_SCANNER. Por exemplo:

  CopyExpand

  CALL SNOWFLAKE.TRUST_CENTER.EXECUTE_SCANNER('CIS_BENCHMARKS', 'CIS_BENCHMARKS_CIS3_1');
  

  Show lessSee more

  Scroll to top

Interpretar a saída da notificação¶

Quando um verificador do Trust Center é executado e produz descobertas que atendem ao limite de gravidade configurado, a mensagem de notificação contém um objeto JSON semelhante ao seguinte:

{
  "scanner_name": "<scanner_name>",
  "scanner_package_name": "<scanner_package_name>",
  "scanner_package_short_description": "<scanner_package_descr>",
  "scanner_short_description": "<scanner_descr>",
  "scanner_finish_time_unix_timestamp_ms": "<scanner_finish_time>",
  "scanner_finish_time_formatted": "<scanner_finish_time_as_date>",
  "findings": [
    {
      "event_id": "<event_id>",
      "finding_identifier": "<finding_identifier>",
      "finding_severity": "<finding_severity>",
      "at_risk_entities": [
        {
          "entity_detail": {},
          "entity_id": "<entity_id>",
          "entity_name": "<entity_name>",
          "entity_object_type": "<entity_object_type>"
        }
      ],
      "total_at_risk_count": "<total_at_risk_count>",
      "metadata": {},
      "note": "The list of at-risk entities has been truncated"
    }
  ]
}

O objeto JSON contém os seguintes pares chave-valor:

Solucionar problemas de notificação¶

Se as notificações não forem entregues conforme o esperado, você poderá consultar o seguinte para examinar o fluxo de envio de notificações.

Para verificar as notificações enviadas pela plataforma de notificação:

SELECT * FROM TABLE(SNOWFLAKE.INFORMATION_SCHEMA.NOTIFICATION_HISTORY());

Para conferir as notificações do verificador enviadas pelo Trust Center:

SELECT * FROM SNOWFLAKE.TRUST_CENTER.NOTIFICATION_HISTORY ORDER BY SENT_ON DESC;