Snowflake 보강(베타)

디택션과 검색에 사용할 Snowflake 데이터를 가져와 저장합니다

개요

Snowflake 보강은 Panther 버전 1.113부터 오픈 베타로 제공되며, 모든 고객이 사용할 수 있습니다. 버그 리포트와 기능 요청 사항은 Panther 지원 팀과 공유해 주세요.

Panther에서 Snowflake 보강 테이블은 다음을 구성하여 만들 수 있습니다 Snowflake Audit 로그 소스 를 사용해 "state" 데이터를 포함하는 테이블을 가져오도록 설정하세요(시계열 보안 데이터를 포함하는 로그 소스 자체가 읽는 테이블과는 다릅니다). 즉, 이 정보는 디택션 로직과 검색 쿼리에서 참조할 수 있습니다.

Snowflake 보강 데이터는 Snowflake Audit 로그 소스를 로그를 가져오도록 구성한 것과 동일한 간격으로 새로 고쳐집니다.

다음 방법을 알아보세요 저장된 보강 데이터를 여기에서 확인하는 방법.

들어오는 로그가 Snowflake 데이터로 보강되는 방식

보강을 설정한 후 에 대해 Snowflake Audit 소스를 설정하면, 들어오는 로그(어떤 스키마로 파싱되었든)는 다음에 따라 일치 항목이 발견될 경우 Snowflake 데이터로 보강됩니다 지표 필드에 의한 자동 매핑.

Panther에서 Snowflake 보강을 설정하는 방법

초기 설정 중에 Snowflake 보강을 구성할 수 있습니다 Snowflake Audit Panther에서 로그 소스 통합을 설정할 때 또는 나중에 소스를 편집하여 Snowflake 보강을 구성할 수 있습니다. 두 경우 모두, 다음 보강 페이지에서 원하는 보강 유형.

이 기능을 활성화하려면 먼저(또는 동시에) Snowflake를 로그 소스로 온보딩해야 합니다. Snowflake 보강은 설정할 수 없습니다 없이 Panther에서 Snowflake를 로그 소스로 온보딩하지 않고는.

Snowflake Audit 소스 설정 중 Panther에서 Snowflake 보강 구성

• 다음을 따르세요: Panther에서 새 Snowflake Audit 소스를 생성하기 위한 이 지침, 다음에 특히 주의하면서 보강 페이지.

초기 Snowflake Audit 소스 설정 후 Panther에서 Snowflake 보강 구성

이미 다음을 만든 후에도 Snowflake 보강을 설정할 수 있습니다 Snowflake Audit Panther의 로그 소스를 편집하여:

1. Panther Console의 왼쪽 탐색 모음에서 로그 소스.

2. 보강을 설정하려는 Snowflake Audit 로그 소스를 찾아 이름을 클릭합니다.

3. 로그 소스 페이지의 오른쪽 상단에서 구성, 그런 다음 편집

4. 오른쪽 상단에서 다음을 클릭하세요: 보강.

5. 아래 보강 설정활성화하려는 각 항목의 타일에서 보강 유형 토글을 클릭합니다 켜기 그리고 다음을 설정하세요: 새로고침 주기(분).

   • 최소 새로 고침 주기는 60분입니다. 데이터 변경이 드문 경우 이 값을 늘리는 것이 좋습니다.

     
6. 클릭합니다 저장.

지원되는 보강 유형

Panther는 Snowflake에서 다양한 테이블을 가져오는 것을 지원합니다 ACCOUNT_USAGE 스키마. 아래는 각 보강 유형의 데이터 구조에 대한 스키마입니다.

Snowflake.Users

스키마: Snowflake.Users
설명: Snowflake 사용자
참조 URL: https://docs.snowflake.com/en/sql-reference/account-usage/users
필드:
  - 이름: match
    설명: LUT와의 일치
    유형: array
    요소:
      유형: string
  - 이름: BYPASS_MFA_UNTIL
    설명: 다중 요소 인증이 우회되는 시점까지의 타임스탬프
    유형: timestamp
    시간 형식:
      - '%Y-%m-%d %H:%M:%S.%f %z'
      - '%a, %d %b %Y %H:%M:%S %z'
  - 이름: COMMENT
    설명: 사용자에 대한 टिप्पणी
    유형: string
  - 이름: CREATED_ON
    필수: true
    설명: 사용자가 생성된 시점의 타임스탬프
    유형: timestamp
    시간 형식:
      - '%Y-%m-%d %H:%M:%S.%f %z'
      - '%a, %d %b %Y %H:%M:%S %z'
  - 이름: DEFAULT_NAMESPACE
    설명: 사용자에게 할당된 기본 네임스페이스
    유형: string
  - 이름: DEFAULT_ROLE
    설명: 사용자에게 할당된 기본 역할
    유형: string
  - 이름: DEFAULT_SECONDARY_ROLE
    설명: 사용자의 기본 보조 역할(즉, ALL)을 지정하거나 설정되지 않은 경우 NULL을 지정합니다
    유형: string
  - 이름: DEFAULT_WAREHOUSE
    설명: 사용자에게 할당된 기본 웨어하우스
    유형: string
  - 이름: DELETED_ON
    설명: 사용자가 삭제된 시점의 타임스탬프(삭제된 경우)
    유형: timestamp
    시간 형식:
      - '%Y-%m-%d %H:%M:%S.%f %z'
      - '%a, %d %b %Y %H:%M:%S %z'
  - 이름: DISABLED
    설명: 사용자가 비활성화되었는지 여부를 나타냅니다
    유형: boolean
  - 이름: DISPLAY_NAME
    설명: 사용자의 표시 이름
    유형: string
  - 이름: EMAIL
    설명: 사용자의 이메일 주소
    유형: string
    지표:
      - email
  - 이름: EXT_AUTHN_DUO
    설명: Duo를 통한 외부 인증이 활성화되어 있는지 여부를 나타냅니다
    유형: boolean
  - 이름: EXT_AUTHN_ID
    설명: Duo Security에 사용되는 인증 ID
    유형: string
  - 이름: EXPIRES_AT
    설명: 사용자 상태가 EXPIRED로 설정되고 더 이상 로그인할 수 없게 되는 날짜와 시간
    유형: timestamp
    시간 형식:
      - '%Y-%m-%d %H:%M:%S.%f %z'
      - '%a, %d %b %Y %H:%M:%S %z'
  - 이름: FIRST_NAME
    설명: 사용자의 이름
    유형: string
  - 이름: LAST_NAME
    설명: 사용자의 성
    유형: string
  - 이름: HAS_MFA
    설명: 사용자가 다중 요소 인증을 활성화했는지 여부를 나타냅니다
    유형: boolean
  - 이름: HAS_PASSWORD
    설명: 사용자가 비밀번호를 설정했는지 여부를 나타냅니다
    유형: boolean
  - 이름: HAS_RSA_PUBLIC_KEY
    설명: 사용자가 RSA 공개 키를 설정했는지 여부를 나타냅니다
    유형: boolean
  - 이름: LAST_SUCCESS_LOGIN
    설명: 마지막으로 성공한 로그인 시점의 타임스탬프
    유형: timestamp
    시간 형식:
      - '%Y-%m-%d %H:%M:%S.%f %z'
      - '%a, %d %b %Y %H:%M:%S %z'
  - 이름: LOCKED_UNTIL_TIME
    설명: 사용자가 잠금 해제되는 시점의 타임스탬프(잠긴 경우)
    유형: timestamp
    시간 형식:
      - '%Y-%m-%d %H:%M:%S.%f %z'
      - '%a, %d %b %Y %H:%M:%S %z'
  - 이름: LOGIN_NAME
    설명: 사용자의 로그인 이름
    유형: string
  - 이름: MUST_CHANGE_PASSWORD
    설명: 사용자가 비밀번호를 변경해야 하는지 여부를 나타냅니다
    유형: boolean
  - 이름: NAME
    필수: true
    설명: 사용자 이름
    유형: string
    지표:
      - username
  - 이름: OWNER
    설명: 사용자 계정의 소유자
    유형: string
  - 이름: PASSWORD_LAST_SET_TIME
    설명: 사용자에 대해 마지막으로 NULL이 아닌 비밀번호가 설정된 시점의 타임스탬프입니다. 비밀번호가 설정되지 않은 경우 기본값은 null입니다
    유형: timestamp
    시간 형식:
      - '%Y-%m-%d %H:%M:%S.%f %z'
      - '%a, %d %b %Y %H:%M:%S %z'
  - 이름: SNOWFLAKE_LOCK
    설명: 사용자가 Snowflake에서 잠겨 있는지 여부를 나타냅니다
    유형: boolean
  - 이름: TYPE
    설명: 사용자 유형을 지정합니다. PERSON, SERVICE, LEGACY_SERVICE 또는 NULL. 기본값: NULL
    유형: string
  - 이름: USER_ID
    필수: true
    설명: 사용자의 고유 식별자
    유형: string

Snowflake.Roles

스키마: Snowflake.Roles
설명: Snowflake 계정에 정의된 모든 역할에 대한 정보
참조 URL: https://docs.snowflake.com/en/sql-reference/account-usage/roles
필드:
  - 이름: match
    설명: 조회용 일치 항목, ROLE_ID, ROLE_INSTANCE_ID 및 NAME과 일치
    유형: array
    요소:
      유형: string
  - 이름: ROLE_ID
    필수: true
    설명: 역할의 내부/시스템 생성 식별자
    유형: string
  - 이름: CREATED_ON
    필수: true
    설명: 역할이 생성된 날짜와 시간(UTC 시간대)
    유형: timestamp
    시간 형식:
      - '%Y-%m-%d %H:%M:%S.%f %z'
      - '%a, %d %b %Y %H:%M:%S %z'
  - 이름: DELETED_ON
    설명: 역할이 삭제된 날짜와 시간(UTC 시간대)
    유형: timestamp
    시간 형식:
      - '%Y-%m-%d %H:%M:%S.%f %z'
      - '%a, %d %b %Y %H:%M:%S %z'
  - 이름: NAME
    필수: true
    설명: 역할 이름
    유형: string
  - 이름: COMMENT
    설명: 역할에 대한 설명
    유형: string
  - 이름: OWNER
    설명: 객체에 대한 OWNERSHIP 권한을 가진 역할
    유형: string
  - 이름: ROLE_TYPE
    설명: ROLE, DATABASE_ROLE 또는 INSTANCE_ROLE
    유형: string
  - 이름: ROLE_DATABASE_NAME
    설명: 역할이 데이터베이스 역할인 경우 데이터베이스 역할을 포함하는 데이터베이스의 이름
    유형: string
  - 이름: ROLE_INSTANCE_ID
    설명: 역할이 속한 클래스 인스턴스의 내부/시스템 생성 식별자
    유형: string
  - 이름: OWNER_ROLE_TYPE
    설명: 객체를 소유하는 역할의 유형(예: ROLE). Snowflake Native App이 객체를 소유하는 경우 값은 APPLICATION입니다. 삭제된 객체에는 소유자 역할이 없으므로 Snowflake는 객체를 삭제하면 NULL을 반환합니다
    유형: string

Snowflake.GrantsToUsers

스키마: Snowflake.GrantsToUsers
설명: Snowflake의 사용자에 대한 권한 부여
참조 URL: https://docs.snowflake.com/en/sql-reference/account-usage/grants_to_users
필드:
  - 이름: match
    설명: 조회용 일치 필드
    유형: array
    요소:
      유형: string
  - 이름: CREATED_ON
    필수: true
    설명: 역할이 부여된 시점의 날짜와 시간(UTC 시간대)
    유형: timestamp
    시간 형식:
      - '%Y-%m-%d %H:%M:%S.%f %z'
      - '%a, %d %b %Y %H:%M:%S %z'
  - 이름: DELETED_ON
    설명: 역할이 취소된 시점의 날짜와 시간(UTC 시간대)
    유형: timestamp
    시간 형식:
      - '%Y-%m-%d %H:%M:%S.%f %z'
      - '%a, %d %b %Y %H:%M:%S %z'
  - 이름: GRANTED_BY
    설명: 권한을 부여한 역할의 식별자
    유형: string
  - 이름: GRANTED_TO
    필수: true
    설명: 이 로그 유형에서 값은 USER입니다
    유형: string
  - 이름: GRANTEE_NAME
    필수: true
    설명: 권한이 부여된 사용자의 이름
    유형: string
    지표:
      - username
  - 이름: ROLE
    필수: true
    설명: 사용자에게 부여된 역할의 식별자
    유형: string

Snowflake.GrantsToRoles

스키마: Snowflake.GrantsToRoles
설명: Snowflake의 역할에 대한 권한 부여
참조 URL: https://docs.snowflake.com/en/sql-reference/account-usage/grants_to_roles
필드:
  - 이름: match
    설명: 조회용 일치 필드
    유형: array
    요소:
      유형: string
  - 이름: CREATED_ON
    필수: true
    설명: 권한이 역할에 부여된 시점의 날짜와 시간(UTC 시간대)
    유형: timestamp
    시간 형식:
      - '%Y-%m-%d %H:%M:%S.%f %z'
      - '%a, %d %b %Y %H:%M:%S %z'
  - 이름: DELETED_ON
    설명: 권한이 취소된 시점의 날짜와 시간(UTC 시간대)
    유형: timestamp
    시간 형식:
      - '%Y-%m-%d %H:%M:%S.%f %z'
      - '%a, %d %b %Y %H:%M:%S %z'
  - 이름: GRANTED_BY
    설명: 권한을 부여한 역할의 식별자 또는 애플리케이션 역할에 부여가 있는 경우 Snowflake Native App 객체의 이름
    유형: string
    지표:
      - username
  - 이름: GRANTED_BY_ROLE_TYPE
    설명: APPLICATION, ROLE 또는 DATABASE_ROLE 중 하나
    유형: string
  - 이름: GRANTED_TO
    필수: true
    설명: ROLE, DATABASE_ROLE, INSTANCE_ROLE, APPLICATION_ROLE 또는 APPLICATION 중 하나
    유형: string
  - 이름: GRANTED_ON
    필수: true
    설명: 권한이 부여된 객체 종류(예: TABLE 또는 DATABASE)
    유형: string
  - 이름: GRANTEE_NAME
    필수: true
    설명: 수신 역할의 식별자, 권한이 부여된 역할, 또는 Snowflake Native App 객체의 이름
    유형: string
    지표:
      - username
  - 이름: GRANT_OPTION
    설명: TRUE로 설정하면 수신 역할이 해당 권한을 다른 역할에 부여할 수 있습니다
    유형: boolean
  - 이름: MODIFIED_ON
    설명: 권한이 업데이트된 날짜와 시간(UTC 시간대)
    유형: timestamp
    시간 형식:
      - '%Y-%m-%d %H:%M:%S.%f %z'
      - '%a, %d %b %Y %H:%M:%S %z'
  - 이름: NAME
    설명: 권한이 부여된 객체의 이름
    유형: string
  - 이름: PRIVILEGE
    설명: 역할에 추가된 권한의 이름
    유형: string
  - 이름: TABLE_CATALOG
    설명: 현재 테이블의 데이터베이스 이름 또는 클래스의 인스턴스를 저장하는 데이터베이스 이름
    유형: string
  - 이름: TABLE_SCHEMA
    설명: 현재 테이블의 스키마 이름 또는 클래스의 인스턴스를 저장하는 스키마 이름
    유형: string
  - 이름: OBJECT_INSTANCE
    설명: database.schema.class 형식으로 특정 클래스의 인스턴스 역할을 포함하는 객체의 정규화된 전체 이름
    유형: json

Snowflake.Stages

스키마: Snowflake.Stages
설명: Snowflake 스테이지
참조 URL: https://docs.snowflake.com/en/sql-reference/account-usage/stages
필드:
  - 이름: match
    설명: LUT와의 일치
    유형: array
    요소:
      유형: string
  - 이름: CREATED
    필수: true
    설명: 스테이지가 생성된 시점의 타임스탬프
    유형: timestamp
    시간 형식:
      - '%Y-%m-%d %H:%M:%S.%f %z'
      - '%a, %d %b %Y %H:%M:%S %z'
  - 이름: DELETED
    설명: 스테이지가 삭제된 시점의 타임스탬프
    유형: timestamp
    시간 형식:
      - '%Y-%m-%d %H:%M:%S.%f %z'
      - '%a, %d %b %Y %H:%M:%S %z'
  - 이름: INSTANCE_ID
    설명: 객체가 속한 인스턴스의 내부/시스템 생성 식별자
    유형: string
  - 이름: LAST_ALTERED
    설명: 스테이지가 마지막으로 변경된 시점의 타임스탬프
    유형: timestamp
    시간 형식:
      - '%Y-%m-%d %H:%M:%S.%f %z'
      - '%a, %d %b %Y %H:%M:%S %z'
  - 이름: OWNER_ROLE_TYPE
    설명: 객체를 소유하는 역할의 유형(예: ROLE). Snowflake Native App이 객체를 소유하는 경우 값은 APPLICATION입니다
    유형: string
  - 이름: STAGE_CATALOG
    설명: 스테이지가 위치한 카탈로그
    유형: string
  - 이름: STAGE_CATALOG_ID
    필수: true
    설명: 스테이지 카탈로그의 고유 식별자
    유형: string
  - 이름: STAGE_ID
    필수: true
    설명: 스테이지의 고유 식별자
    유형: string
  - 이름: STAGE_NAME
    필수: true
    설명: 스테이지의 이름
    유형: string
  - 이름: STAGE_REGION
    설명: 스테이지가 위치한 리전
    유형: string
  - 이름: STAGE_SCHEMA
    설명: 스테이지가 위치한 스키마
    유형: string
  - 이름: STAGE_OWNER
    설명: 스테이지를 소유한 역할의 이름; 삭제된 경우 NULL
    유형: string
  - 이름: COMMENT
    설명: 이 스테이지에 대한 설명. 설명이 없으면 NULL
    유형: string
  - 이름: STAGE_SCHEMA_ID
    필수: true
    설명: 스테이지 스키마의 고유 식별자
    유형: string
  - 이름: STAGE_TYPE
    설명: 스테이지 유형(예: External Named)
    유형: string
  - 이름: STAGE_URL
    설명: 스테이지의 URL
    유형: string
  - 이름: STORAGE_INTEGRATION
    설명: 스테이지와 연결된 스토리지 통합
    유형: string

Snowflake.NetworkPolicies

보강은 행 제한이 65KB이므로, 다음의 결합된 값 크기가 ALLOWED_IP_LIST 및 BLOCKED_IP_LIST 필드가 40KB를 초과하면, 이 제한을 충족하도록 잘립니다.

스키마: Snowflake.NetworkPolicies
설명: Snowflake 네트워크 정책
참조 URL: https://docs.snowflake.com/en/sql-reference/account-usage/network_policies
필드:
  - 이름: match
    설명: 일치용 네트워크 정책 ID
    유형: array
    요소:
      유형: string
  - 이름: ID
    필수: true
    설명: 네트워크 정책의 내부 시스템 생성 식별자
    유형: string
  - 이름: NAME
    필수: true
    설명: 네트워크 정책 이름
    유형: string
  - 이름: OWNER
    설명: 네트워크 정책을 소유한 역할의 이름
    유형: string
  - 이름: OWNER_ROLE_TYPE
    설명: 객체를 소유하는 역할의 유형(예: ROLE). Snowflake Native App이 객체를 소유하는 경우 값은 APPLICATION입니다. 삭제된 객체에는 소유자 역할이 없으므로 Snowflake는 객체를 삭제하면 NULL을 반환합니다
    유형: string
  - 이름: COMMENT
    설명: 네트워크 정책에 대한 설명(있는 경우)
    유형: string
  - 이름: CREATED
    설명: 네트워크 정책이 생성된 날짜와 시간
    유형: timestamp
    시간 형식:
      - '%Y-%m-%d %H:%M:%S.%f %z'
      - '%a, %d %b %Y %H:%M:%S %z'
  - 이름: LAST_ALTERED
    필수: true
    설명: 네트워크 정책이 마지막으로 변경된 날짜와 시간
    유형: timestamp
    시간 형식:
      - '%Y-%m-%d %H:%M:%S.%f %z'
      - '%a, %d %b %Y %H:%M:%S %z'
  - 이름: DELETED
    설명: 네트워크 정책이 삭제된 날짜와 시간
    유형: timestamp
    시간 형식:
      - '%Y-%m-%d %H:%M:%S.%f %z'
      - '%a, %d %b %Y %H:%M:%S %z'
  - 이름: ALLOWED_IP_LIST
    설명: 해당 네트워크 정책에서 허용된 IPv4 주소 및 CIDR 블록 범위 목록
    유형: array
    요소:
      유형: string
  - 이름: BLOCKED_IP_LIST
    설명: 해당 네트워크 정책에서 차단된 IPv4 주소 및 CIDR 블록 범위 목록
    유형: array
    요소:
      유형: string