【免费下载链接】n8n-CyberSecurity-WorkflowsSecurity automation with n8n ideas: 100 Red/Blue/AppSec workflows, integrations, and ready-to-run playbooks.项目地址https://gitcode.com/gh_mirrors/n8/n8n-CyberSecurity-Workflows点击查看免费下载威胁情报自动化是安全运营团队SOC摆脱手工复制 IOC苦力的关键。开源项目n8n-CyberSecurity-Workflows提供了 100 个基于 n8n 的网络安全自动化工作流蓝图覆盖红队、蓝队SOC/DFIR/威胁情报、应用安全四大方向。本文以威胁情报自动化管线为主线带你用它的蓝图思路一步步搭出「IOC 摄取 → 富化 → 去重」的完整流水线。为什么需要威胁情报自动化管线大多数团队的威胁情报工作流还停留在人肉模式手工痛点自动化后的效果手动打开 OTX、MISP、VirusTotal 逐个查 IP/URL/HashCron 定时拉取统一归一化入库同一 IOC 反复出现告警疲劳基于去重键hash / IOC 值 / 域名做 upsert重复率一目了然分析师查一次富化要切 4 个网站一个 Webhook 并行调用 VirusTotal、urlscan.io、WHOIS、Shodan秒级返回情报落地靠 Excel无法关联资产PostgreSQL/Elastic 存储可与漏洞、资产数据 joinn8n 的价值在于它把 HTTP 请求、命令执行、条件分支、数据库写入、消息通知都变成拖拽节点不需要写胶水代码就能把多源情报串成流水线。项目里有哪些可直接复用的威胁情报蓝图打开 README.md 的 Blue Team / SOC / DFIR 板块共 35 个蓝图见 README.md - B 板块与威胁情报自动化管线最相关的有这些编号工作流一句话用途关键节点流#31Threat Intel Ingest Normalize聚合 OTX/MISP/VT/AbuseIPDB 多源情报Cron → Fetch feeds → Map fields → Upsert → De-dup metrics#32IOC Enrichment Micro-SOAR按需富化 IP/URL/HashWebhook IOC → 并行富化 → 置信度打分 → 返回 JSON#35SIEM → Slack Alert Router告警去重后按事件线程推送轮询告警 → 严重度过滤 → 建线程#41URL Detonation Pipeline对告警中的链接自动扫描截图逐个 URL 扫描 → 截图存档 → 输出结论#56Threat Hunt Notebook Seeds情报变化自动生成狩猎查询TI 变更 → 生成 hunt query → 推 SOC 频道#60SOC Daily Briefing Builder每日 07:30 自动生成晨报定时 → 汇总告警情报增量 → 邮件/Slack 这些条目都是目的 集成 节点流三要素蓝图你只需要照着 Flow 一行在 n8n 里把节点拖出来即可。三步搭建 IOC 摄取、富化与去重管线第 1 步IOC 摄取与归一化对应蓝图 #31多源情报的字段格式各不相同第一步是把它们翻译成统一结构Cron 节点设置定时触发例如每 30 分钟一次。HTTP Request 节点分别拉取 OTX、MISP、VirusTotal、AbuseIPDB 的 feedAPI Key 放在 n8n Credentials 中不要硬编码。Function/Code 节点把各源字段映射为统一的准 STIX结构例如typeip / domain / url / hash、value、source、confidence、first_seen。PostgreSQL/Elastic 节点以type value作为去重键执行 upsert——新 IOC 插入老 IOC 只更新时间戳。指标统计每次运行记录新增数 / 重复数 / 失败数这是管线健康的核心看板。第 2 步IOC 富化对应蓝图 #32摄取解决知道它存在富化解决知道它有多危险。Micro-SOAR 的玩法是把富化做成按需服务Webhook 节点作为入口SIEM、邮件网关或分析师手动 POST 一个 IOC。并行 HTTP 节点同时查询 VirusTotal恶意率、urlscan.io扫描历史、WHOIS归属、Shodan开放端口/服务。Function 节点聚合各源结果计算一个置信度分数例如多源一致命中 高危单源低可信 待观察。最终以 JSON 返回富化结果可直接被下游工作流告警路由、工单系统消费。第 3 步去重与幂等让管线可以长期无人值守这是新手最容易忽略、却决定管线能否跑三个月以上的一步。官方蓝图在 README.md - Import Build Tips 中给出了明确的工程建议幂等Idempotency永远 upsert 到数据库并携带去重键hash、IOC 值、域名。可观测性Observability加上 Run ID、trace 上下文和指标计数器成功/失败、新增/重复出问题时能直接定位到某次运行。限流与节奏外部 API 有配额用Wait 节点做 pacing避免被封。凭据安全API Key 一律走 n8nCredentials严禁写进 Function 节点。如何开始使用这套蓝图仓库本身是一份工作流创意库 构建规范使用方式很轻量1️⃣ 克隆仓库到本地git clone https://gitcode.com/gh_mirrors/n8/n8n-CyberSecurity-Workflows2️⃣ 阅读 README.md按 Index 目录定位到你需要的板块A. Red Team Pentest30 个B. Blue Team / SOC / DFIR35 个C. Application Security / DevSecOps25 个D. Platform General Security10 个3️⃣ 在 n8n 中按蓝图的 Flow 描述搭节点。节点选型建议来自 README.md - Node choicesAPI 调用 →HTTP Request跑扫描器 →Execute Command胶水逻辑/字段映射 →Function/Code条件判断 →IF/Switch列表遍历 →Split In Batches多路合并 →Merge4️⃣ 富化管线的常用数据源与协作工具清单可直接查 README.md - Reference Integrations 板块涵盖 MISP、OTX、VirusTotal、AbuseIPDB、urlscan.io 等。常见问题速查Q没有 SOC 预算能先跑起来吗可以。先把 #31 的 feed 换成免费的 OTX / AbuseIPDB数据库用本地 PostgreSQL富化先只接 VirusTotal 免费额度跑通摄取 → 去重 → Slack 通知最小闭环后再逐步加源。Q重复 IOC 太多分析师被刷屏怎么办这正是 #35SIEM → Slack Alert Router要解决的问题先按severity not seen过滤再按事件建 Slack 线程而不是每条都发新消息。配合 #32 的置信度分数低分 IOC 直接静默入库。Q富化 API 配额不够用用Wait 节点控速并对已富化过的 IOC 走缓存Redis 即可只有新 IOC 才触发外呼——这也是 #36EDR Noise Tamer同款先查缓存再升级的思路。小结用 n8n-CyberSecurity-Workflows 搭建威胁情报自动化管线的路径非常清晰#31 做多源摄取与归一化 → #32 做按需富化与打分 → 以去重键 upsert 保证幂等再配合 Slack/工单/晨报#35、#60完成闭环。整套蓝图不绑定具体厂商从 1 天可用的最小闭环到覆盖红蓝对抗的完整 SOC 自动化都有现成的思路可以照着落地。赞分享【免费下载链接】n8n-CyberSecurity-WorkflowsSecurity automation with n8n ideas: 100 Red/Blue/AppSec workflows, integrations, and ready-to-run playbooks.项目地址https://gitcode.com/gh_mirrors/n8/n8n-CyberSecurity-Workflows点击查看免费下载相关推荐Arkime威胁情报自动化使用Cont3xt实现IOC自动富集的完整指南Arkime威胁情报自动化使用Cont3xt实现IOC自动富集的完整指南 Arkime是一个开源的、大规模的全流量捕获、索引和数据库系统专门为网络安全分析而网络安全网络后端数据分析在 Splunk Enterprise Security 中构建威胁情报富化流水线IOC 摄取、KV Store 关联与 SOC 实战指南在 Splunk Enterprise Security 中构建威胁情报富化流水线IOC 摄取、KV Store 关联与 SOC 实战指南 导读 本文基于开源AI 技能网络安全人工智能终极威胁情报自动化指南如何用dnstwist实现IOC提取与共享终极威胁情报自动化指南如何用dnstwist实现IOC提取与共享 在网络安全领域 dnstwist域名变形检测工具 是威胁情报自动化中不可或缺的利器。这个强网络安全应用安全上一篇rrule.js API完全解析从基础到高级用法的完整手册下一篇从混乱到规范Better-Commits提交革命创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 【免费下载链接】n8n-CyberSecurity-WorkflowsSecurity automation with n8n ideas: 100 Red/Blue/AppSec workflows, integrations, and ready-to-run playbooks.项目地址https://gitcode.com/gh_mirrors/n8/n8n-CyberSecurity-Workflows点击查看免费下载威胁情报自动化是安全运营团队SOC摆脱手工复制 IOC苦力的关键。开源项目n8n-CyberSecurity-Workflows提供了 100 个基于 n8n 的网络安全自动化工作流蓝图覆盖红队、蓝队SOC/DFIR/威胁情报、应用安全四大方向。本文以威胁情报自动化管线为主线带你用它的蓝图思路一步步搭出「IOC 摄取 → 富化 → 去重」的完整流水线。为什么需要威胁情报自动化管线大多数团队的威胁情报工作流还停留在人肉模式手工痛点自动化后的效果手动打开 OTX、MISP、VirusTotal 逐个查 IP/URL/HashCron 定时拉取统一归一化入库同一 IOC 反复出现告警疲劳基于去重键hash / IOC 值 / 域名做 upsert重复率一目了然分析师查一次富化要切 4 个网站一个 Webhook 并行调用 VirusTotal、urlscan.io、WHOIS、Shodan秒级返回情报落地靠 Excel无法关联资产PostgreSQL/Elastic 存储可与漏洞、资产数据 joinn8n 的价值在于它把 HTTP 请求、命令执行、条件分支、数据库写入、消息通知都变成拖拽节点不需要写胶水代码就能把多源情报串成流水线。项目里有哪些可直接复用的威胁情报蓝图打开 README.md 的 Blue Team / SOC / DFIR 板块共 35 个蓝图见 README.md - B 板块与威胁情报自动化管线最相关的有这些编号工作流一句话用途关键节点流#31Threat Intel Ingest Normalize聚合 OTX/MISP/VT/AbuseIPDB 多源情报Cron → Fetch feeds → Map fields → Upsert → De-dup metrics#32IOC Enrichment Micro-SOAR按需富化 IP/URL/HashWebhook IOC → 并行富化 → 置信度打分 → 返回 JSON#35SIEM → Slack Alert Router告警去重后按事件线程推送轮询告警 → 严重度过滤 → 建线程#41URL Detonation Pipeline对告警中的链接自动扫描截图逐个 URL 扫描 → 截图存档 → 输出结论#56Threat Hunt Notebook Seeds情报变化自动生成狩猎查询TI 变更 → 生成 hunt query → 推 SOC 频道#60SOC Daily Briefing Builder每日 07:30 自动生成晨报定时 → 汇总告警情报增量 → 邮件/Slack 这些条目都是目的 集成 节点流三要素蓝图你只需要照着 Flow 一行在 n8n 里把节点拖出来即可。三步搭建 IOC 摄取、富化与去重管线第 1 步IOC 摄取与归一化对应蓝图 #31多源情报的字段格式各不相同第一步是把它们翻译成统一结构Cron 节点设置定时触发例如每 30 分钟一次。HTTP Request 节点分别拉取 OTX、MISP、VirusTotal、AbuseIPDB 的 feedAPI Key 放在 n8n Credentials 中不要硬编码。Function/Code 节点把各源字段映射为统一的准 STIX结构例如typeip / domain / url / hash、value、source、confidence、first_seen。PostgreSQL/Elastic 节点以type value作为去重键执行 upsert——新 IOC 插入老 IOC 只更新时间戳。指标统计每次运行记录新增数 / 重复数 / 失败数这是管线健康的核心看板。第 2 步IOC 富化对应蓝图 #32摄取解决知道它存在富化解决知道它有多危险。Micro-SOAR 的玩法是把富化做成按需服务Webhook 节点作为入口SIEM、邮件网关或分析师手动 POST 一个 IOC。并行 HTTP 节点同时查询 VirusTotal恶意率、urlscan.io扫描历史、WHOIS归属、Shodan开放端口/服务。Function 节点聚合各源结果计算一个置信度分数例如多源一致命中 高危单源低可信 待观察。最终以 JSON 返回富化结果可直接被下游工作流告警路由、工单系统消费。第 3 步去重与幂等让管线可以长期无人值守这是新手最容易忽略、却决定管线能否跑三个月以上的一步。官方蓝图在 README.md - Import Build Tips 中给出了明确的工程建议幂等Idempotency永远 upsert 到数据库并携带去重键hash、IOC 值、域名。可观测性Observability加上 Run ID、trace 上下文和指标计数器成功/失败、新增/重复出问题时能直接定位到某次运行。限流与节奏外部 API 有配额用Wait 节点做 pacing避免被封。凭据安全API Key 一律走 n8nCredentials严禁写进 Function 节点。如何开始使用这套蓝图仓库本身是一份工作流创意库 构建规范使用方式很轻量1️⃣ 克隆仓库到本地git clone https://gitcode.com/gh_mirrors/n8/n8n-CyberSecurity-Workflows2️⃣ 阅读 README.md按 Index 目录定位到你需要的板块A. Red Team Pentest30 个B. Blue Team / SOC / DFIR35 个C. Application Security / DevSecOps25 个D. Platform General Security10 个3️⃣ 在 n8n 中按蓝图的 Flow 描述搭节点。节点选型建议来自 README.md - Node choicesAPI 调用 →HTTP Request跑扫描器 →Execute Command胶水逻辑/字段映射 →Function/Code条件判断 →IF/Switch列表遍历 →Split In Batches多路合并 →Merge4️⃣ 富化管线的常用数据源与协作工具清单可直接查 README.md - Reference Integrations 板块涵盖 MISP、OTX、VirusTotal、AbuseIPDB、urlscan.io 等。常见问题速查Q没有 SOC 预算能先跑起来吗可以。先把 #31 的 feed 换成免费的 OTX / AbuseIPDB数据库用本地 PostgreSQL富化先只接 VirusTotal 免费额度跑通摄取 → 去重 → Slack 通知最小闭环后再逐步加源。Q重复 IOC 太多分析师被刷屏怎么办这正是 #35SIEM → Slack Alert Router要解决的问题先按severity not seen过滤再按事件建 Slack 线程而不是每条都发新消息。配合 #32 的置信度分数低分 IOC 直接静默入库。Q富化 API 配额不够用用Wait 节点控速并对已富化过的 IOC 走缓存Redis 即可只有新 IOC 才触发外呼——这也是 #36EDR Noise Tamer同款先查缓存再升级的思路。小结用 n8n-CyberSecurity-Workflows 搭建威胁情报自动化管线的路径非常清晰#31 做多源摄取与归一化 → #32 做按需富化与打分 → 以去重键 upsert 保证幂等再配合 Slack/工单/晨报#35、#60完成闭环。整套蓝图不绑定具体厂商从 1 天可用的最小闭环到覆盖红蓝对抗的完整 SOC 自动化都有现成的思路可以照着落地。赞分享【免费下载链接】n8n-CyberSecurity-WorkflowsSecurity automation with n8n ideas: 100 Red/Blue/AppSec workflows, integrations, and ready-to-run playbooks.项目地址https://gitcode.com/gh_mirrors/n8/n8n-CyberSecurity-Workflows点击查看免费下载相关推荐Arkime威胁情报自动化使用Cont3xt实现IOC自动富集的完整指南Arkime威胁情报自动化使用Cont3xt实现IOC自动富集的完整指南 Arkime是一个开源的、大规模的全流量捕获、索引和数据库系统专门为网络安全分析而网络安全网络后端数据分析在 Splunk Enterprise Security 中构建威胁情报富化流水线IOC 摄取、KV Store 关联与 SOC 实战指南在 Splunk Enterprise Security 中构建威胁情报富化流水线IOC 摄取、KV Store 关联与 SOC 实战指南 导读 本文基于开源AI 技能网络安全人工智能终极威胁情报自动化指南如何用dnstwist实现IOC提取与共享终极威胁情报自动化指南如何用dnstwist实现IOC提取与共享 在网络安全领域 dnstwist域名变形检测工具 是威胁情报自动化中不可或缺的利器。这个强网络安全应用安全上一篇rrule.js API完全解析从基础到高级用法的完整手册下一篇从混乱到规范Better-Commits提交革命创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考