INTEGRACIÓN CORTEX n8n: AUTOMATIZAR CORTEX CON N8N

Esta acción te permite ejecutar un responder específico sobre un tipo de entidad determinado en Cortex. Es particularmente útil para lanzar análisis automatizados cuando detectas un observable sospechoso (IP, dominio, hash, etc.) en tus flujos de trabajo.

Parámetros clave:

• Credential to connect with: Menú desplegable requerido para seleccionar la credencial Cortex que autorizará la conexión. Debes configurar previamente tus credenciales API en n8n.
• Resource: Campo preestablecido en "Responder", indicando que la acción opera sobre objetos de tipo responder.
• Operation: Desplegable definido en "Execute" para especificar que deseas ejecutar el responder.
• Responder Type Name or ID: Campo de texto opcional donde introduces el nombre o ID del tipo de responder a ejecutar (ej: "VirusTotal_GetReport", "AbuseIPDB_Check"). Es necesario para especificar cuál responder deseas lanzar.
• Entity Type Name or ID: Campo de texto opcional para indicar el tipo de entidad relacionado por nombre o ID (ej: "ip", "domain", "hash"). Define sobre qué tipo de observable se ejecutará el responder.
• JSON Parameters: Interruptor on/off que, cuando está activado, permite introducir parámetros en formato JSON bruto en lugar de campos individuales.

Casos de uso típicos:

• Lanzar automáticamente un análisis VirusTotal cuando un hash aparece en tus logs de endpoint security.
• Ejecutar un responder de reputación de IP cada vez que detectas una nueva IP en tus firewalls y almacenar el resultado en una base de datos como Supabase.
• Desencadenar múltiples responders en paralelo (MaxMind GeoIP, AbuseIPDB, Shodan) para enriquecer un observable antes de crear un caso en TheHive.

Cuándo usarlo: Utiliza esta acción cuando necesites ejecutar análisis bajo demanda basados en eventos externos (alertas SIEM, webhooks, eventos programados). Es ideal para workflows reactivos que responden a detecciones de seguridad en tiempo real.

Esta acción recupera el reporte completo de un job ejecutado en Cortex. Permite obtener los resultados detallados de un análisis o de una ejecución de responder, incluyendo metadatos, artefactos y conclusiones.

Parámetros clave:

• Credential to connect with: Menú desplegable requerido para seleccionar la credencial Cortex que autentificará la llamada API.
• Resource: Desplegable preestablecido en "Job", indicando que la acción opera sobre recursos de tipo job.
• Operation: Desplegable definido en "Report", especificando que la acción recuperará un informe de job.
• Job ID: Campo de texto requerido (soporta expresiones) donde introduces el identificador único del job cuyo reporte deseas obtener. Este ID proviene generalmente de la respuesta de una acción anterior como "Responder - Execute" o "Get a job".

Casos de uso: Recuperar el reporte completo de un análisis VirusTotal ejecutado previamente y extraer el score de detección para decidir si bloquear un hash. Obtener los resultados de múltiples responders ejecutados en paralelo y compilarlos en un único documento de análisis enviado por email. Consultar el informe de un job finalizado para alimentar un dashboard Grafana con métricas de detección.

Cuándo usarlo: Esta acción se utiliza típicamente después de ejecutar un responder o de verificar que un job ha terminado (con "Get a job"). Es esencial para workflows que necesitan explotar los resultados de análisis: enrutamiento de alertas según score, actualización de casos, enriquecimiento de tickets, etc.

Esta acción recupera la información de un job específico en Cortex, incluyendo su estado actual (InProgress, Success, Failure), fechas de inicio/fin, responder asociado y datos básicos. A diferencia de "Get a job report", esta acción no devuelve el reporte detallado, solo el estado y los metadatos del job.

Parámetros clave:

• Credential to connect with: Menú desplegable requerido para seleccionar las credenciales Cortex que autenticarán la petición.
• Resource: Desplegable preestablecido en "Job", indicando que la acción trata con recursos de tipo job.
• Operation: Desplegable definido en "Get", especificando que la acción recuperará información sobre un único job.
• Job ID: Campo de texto requerido (acepta expresiones) donde introduces el identificador único del job que deseas consultar.

Casos de uso: Implementar un bucle de polling que consulta el estado de un job cada 30 segundos hasta que el status pase a "Success" o "Failure", luego continuar el workflow. Monitorear jobs de larga duración y enviar notificaciones Slack cuando finalicen. Verificar si un job ha fallado antes de intentar recuperar su reporte, para manejar errores elegantemente. También puedes explorar nuestra guía sobre depuración en n8n para optimizar tus workflows.

Cuándo usarlo: Utiliza esta acción cuando necesites conocer el estado de un job sin recuperar su reporte completo (más rápido, menos datos transferidos). Es perfecta para lógica condicional en workflows: "si el job está terminado, recupera el reporte; si no, espera 1 minuto y vuelve a consultar". También útil para monitoreo y seguimiento de jobs en curso.