INTEGRACIÓN THEHIVE n8n: AUTOMATIZAR THEHIVE CON N8N

Esta acción permite modificar las propiedades de una tarea existente en TheHive. Úsala para actualizar el estado, la descripción, la asignación o cualquier otro campo de una tarea de manera programática.

Parámetros clave:

• Task ID: Campo texto obligatorio conteniendo el identificador único de la tarea a modificar. Acepta valores fijos o expresiones para recuperar dinámicamente el ID desde etapas anteriores del workflow.
• Update Fields: Sección permitiendo añadir y configurar las propiedades específicas a modificar. Haz clic en "Add Field" para seleccionar los campos a actualizar (estado, título, descripción, asignado, flag, etc.) y definir sus nuevos valores.

Casos de uso:

• Actualizar automáticamente el estado de una tarea a "Completed" cuando una condición externa se cumple
• Reasignar una tarea a otro analista tras una escalada automática
• Añadir notas o modificar la descripción de una tarea con informaciones recopiladas por otros nodos del workflow

Esta acción efectúa una búsqueda de tareas en TheHive según criterios definidos. Permite encontrar tareas específicas para luego manipularlas o extraer informaciones.

Parámetros clave:

• Return All: Interruptor on/off opcional. Cuando activado, recupera todas las tareas correspondientes a los criterios, sin límite. Desactivado por defecto.
• Limit: Campo numérico opcional definiendo el número máximo de resultados a retornar (valor por defecto: 100). Ignorado si "Return All" está activado.
• Options: Botón "Add option" permitiendo añadir propiedades opcionales clave-valor para afinar la búsqueda.
• Filters: Botón "Add Filter" para definir criterios de filtrado específicos (por ejemplo, filtrar por estado, por asignado, por fecha de creación).

Casos de uso:

• Buscar todas las tareas abiertas asignadas a un analista específico para generar un reporte de carga de trabajo
• Identificar las tareas atrasadas (fecha límite superada) para enviar recordatorios automáticos
• Recuperar las tareas vinculadas a un caso particular para efectuar operaciones en masa

Esta acción recupera los detalles completos de una tarea específica en TheHive proporcionando su identificador único.

Parámetros clave:

• Task ID: Campo texto obligatorio conteniendo el identificador único de la tarea a recuperar. Puede ser configurado como valor fijo o expresión dinámica.

Casos de uso:

• Recuperar las informaciones de una tarea para mostrarlas en un dashboard externo
• Obtener el estado actual de una tarea antes de decidir una acción condicional en el workflow
• Extraer los detalles de una tarea para incluirlos en un reporte o una notificación

Esta acción recupera varias tareas desde TheHive, con posibilidad de filtrar por caso y de limitar el número de resultados.

Parámetros clave:

• Case ID: Campo texto opcional para filtrar las tareas pertenecientes a un caso específico. Si vacío, recupera las tareas de todos los casos.
• Return All: Interruptor on/off opcional. Activado, recupera todas las tareas sin límite. Desactivado por defecto.
• Limit: Campo numérico opcional definiendo el máximo de tareas a recuperar (por defecto: 100). Ignorado si "Return All" está activado.
• Options: Botón "Add option" para añadir parámetros suplementarios de configuración de la consulta.

Casos de uso:

• Listar todas las tareas de un caso para verificar su avance global
• Recuperar las últimas tareas creadas para un monitoreo en tiempo real
• Extraer el conjunto de tareas para alimentar un sistema de reporting o de métricas

Esta acción ejecuta un responder (script de acción automatizado) sobre una tarea específica en TheHive. Los responders son herramientas permitiendo efectuar acciones sobre entidades TheHive (bloqueo IP, envío email, etc.).

Parámetros clave:

• Task ID: Campo texto obligatorio conteniendo el identificador único de la tarea sobre la cual ejecutar el responder.

Casos de uso:

• Desencadenar automáticamente un responder de notificación cuando una tarea crítica es creada
• Ejecutar un responder de bloqueo sobre una tarea vinculada a una amenaza confirmada
• Lanzar acciones de remediación automáticas tras la validación de una tarea de análisis

Esta acción crea una nueva tarea en un caso TheHive existente. Permite añadir programáticamente tareas con título, estado, y propiedades personalizadas.

Parámetros clave:

• Case ID: Campo texto opcional para asociar la tarea a un caso específico. Si proporcionado, la tarea será vinculada a este caso.
• Title: Campo texto opcional definiendo el título descriptivo de la tarea.
• Status: Menú desplegable opcional para definir el estado inicial de la tarea (por defecto: "Waiting"). Otras opciones posibles: "InProgress", "Completed", "Cancel".
• Flag: Interruptor on/off opcional para marcar la tarea con un flag (indicador de importancia).
• Options: Botón "Add option" permitiendo añadir propiedades personalizadas suplementarias (descripción, asignado, fecha límite, etc.).

Casos de uso:

• Crear automáticamente tareas de análisis cuando una nueva alerta es tratada
• Generar tareas de remediación tras la detección de una vulnerabilidad
• Añadir tareas de seguimiento programáticas basadas en workflows de gestión de incidentes

Esta acción modifica las propiedades de un observable existente en TheHive (dirección IP, dominio, hash de archivo, etc.).

Parámetros clave:

• Observable ID: Campo texto obligatorio conteniendo el identificador único del observable a modificar. Soporta valores fijos y expresiones dinámicas.
• Update Fields: Sección permitiendo añadir vía botón "Select" los campos específicos a modificar y sus nuevos valores.

Casos de uso:

• Actualizar automáticamente el estado IOC (Indicator of Compromise) de un observable tras validación manual o automática
• Modificar el TLP (Traffic Light Protocol) de un observable tras una reclasificación de sensibilidad
• Añadir o modificar tags sobre un observable para enriquecer su contextualización

Esta acción efectúa una búsqueda de observables en TheHive según criterios definidos, permitiendo encontrar IOCs o artefactos específicos.

Parámetros clave:

• Return All: Interruptor on/off opcional. Activado, recupera todos los resultados sin límite. Desactivado por defecto.
• Limit: Campo numérico opcional definiendo el máximo de observables a retornar (por defecto: 100).
• Options: Botón "Add option" para parámetros suplementarios de configuración de búsqueda.
• Filters: Botón "Add Filter" para definir criterios de filtrado (tipo de observable, valor, tags, IOC status, etc.).

Casos de uso:

• Buscar todos los observables de tipo "ip" para identificar direcciones sospechosas recurrentes
• Encontrar los observables marcados como IOC para export hacia un sistema de bloqueo (firewall, EDR)
• Identificar los observables con un TLP específico para controlar su difusión

Esta acción recupera los detalles completos de un observable específico en TheHive vía su identificador único.

Parámetros clave:

• Observable ID: Campo texto obligatorio conteniendo el identificador único del observable a recuperar.

Casos de uso:

• Recuperar los detalles de un observable para enriquecerlo con datos externos (VirusTotal, AbuseIPDB)
• Obtener las metadatas de un observable antes de efectuar una acción condicional
• Extraer las informaciones de un IOC para generación de reportes o notificaciones

Esta acción recupera varios observables desde TheHive, con posibilidad de filtrar por caso y de limitar los resultados.

Parámetros clave:

• Case ID: Campo texto opcional para filtrar los observables pertenecientes a un caso específico.
• Return All: Interruptor on/off opcional. Activado, recupera todos los observables sin límite.
• Limit: Campo numérico opcional definiendo el máximo de observables a recuperar (por defecto: 100).
• Options: Botón "Add option" para propiedades suplementarias de refinamiento de la consulta.

Casos de uso:

• Listar todos los observables de un caso para análisis global o export
• Recuperar los últimos observables creados para monitoreo en tiempo real
• Extraer el conjunto de IOCs para alimentar sistemas de threat intelligence

Esta acción ejecuta un responder (script de acción automatizado) sobre un observable específico en TheHive.

Parámetros clave:

• Observable ID: Campo texto obligatorio conteniendo el identificador único del observable sobre el cual ejecutar el responder.

Casos de uso:

• Desencadenar automáticamente un responder de enriquecimiento (VirusTotal, PassiveTotal) sobre un nuevo observable
• Ejecutar un responder de bloqueo sobre una IP/dominio identificado como malicioso
• Lanzar acciones de notificación o de tagging automáticas sobre observables críticos

Esta acción ejecuta un analyzer (herramienta de análisis automatizado) sobre un observable para enriquecerlo con datos externos o efectuar verificaciones.

Parámetros clave:

• Observable ID: Campo texto conteniendo el identificador del observable a analizar. Campo actualmente vacío en la captura.
• Data Type Name or ID: Campo texto para especificar el tipo de datos o el analyzer a utilizar. Nota: en la captura de pantalla, este campo muestra un error "Error fetching options from TheHive", indicando un problema de conexión o de configuración.

Casos de uso:

• Lanzar automáticamente un análisis VirusTotal sobre un hash de archivo en cuanto es creado en TheHive
• Ejecutar un analyzer de reputación sobre una dirección IP para determinar su peligrosidad
• Desencadenar análisis múltiples en paralelo sobre un observable para enriquecimiento completo

Esta acción añade un nuevo observable (IOC, artefacto) a un caso TheHive con sus metadatas asociadas.

Parámetros clave:

• Case ID: Campo texto opcional para asociar el observable a un caso específico.
• Data Type Name or ID: Campo texto definiendo el tipo de observable (ip, domain, hash, url, etc.). Nota: en la captura, muestra "Error fetching options from TheHive".
• Data: Campo texto obligatorio conteniendo el valor real del observable (ej: "192.168.1.1", "malicious-domain.com", "abc123hash...").
• Message: Campo texto opcional para añadir un mensaje descriptivo o contextual.
• Start Date: Selector fecha/hora opcional para especificar la fecha de primera detección o pertinencia.
• TLP: Menú desplegable obligatorio definiendo el nivel de confidencialidad (actualmente: "Amber"). Opciones: White, Green, Amber, Red.
• IOC: Interruptor on/off opcional para marcar el observable como Indicator of Compromise (desactivado en la captura).

Casos de uso:

• Crear automáticamente observables a partir de emails de phishing analizados
• Añadir IOCs extraídos de un reporte de threat intelligence a un caso existente
• Generar observables programáticamente desde logs SIEM o EDR

Esta acción recupera los detalles de una entrada de log específica en TheHive vía su identificador.

Parámetros clave:

• Log ID: Campo texto opcional conteniendo el identificador único del log a recuperar. Si vacío, podría recuperar varios logs según otros filtros (no visibles).

Casos de uso:

• Recuperar un log específico para verificar su contenido o metadatas
• Obtener los detalles de un log antes de decidir una acción en el workflow
• Extraer las informaciones de un log para inclusión en un reporte

Esta acción recupera varias entradas de logs desde TheHive, con opciones de filtrado por tarea y limitación de resultados.

Parámetros clave:

• Task ID: Campo texto opcional para filtrar los logs asociados a una tarea específica.
• Return All: Interruptor on/off opcional. Activado, recupera todos los logs disponibles.
• Limit: Campo numérico opcional definiendo el máximo de logs a recuperar (por defecto: 100).

Casos de uso:

• Listar todos los logs de una tarea para trazabilidad o auditoría
• Recuperar los últimos logs creados para monitoreo de actividades
• Extraer el conjunto de logs para alimentación de un sistema de SIEM o analytics como Elasticsearch

Esta acción ejecuta un responder sobre una entrada de log específica en TheHive.

Parámetros clave:

• Log ID: Campo texto obligatorio conteniendo el identificador único del log sobre el cual ejecutar el responder. Acepta valor fijo o expresión dinámica.

Casos de uso:

• Desencadenar automáticamente un responder de notificación cuando un log crítico es añadido
• Ejecutar acciones automáticas basadas en el contenido o el tipo de log
• Lanzar workflows de validación o de escalada tras creación de logs específicos

Esta acción crea una nueva entrada de log en TheHive, asociada opcionalmente a una tarea, con mensaje y metadatas.

Parámetros clave:

• Task ID: Campo texto opcional para asociar el log a una tarea específica.
• Message: Zona de texto opcional para el contenido descriptivo del log.
• Start Date: Selector fecha/hora opcional para especificar la fecha/hora del log.
• Status: Menú desplegable opcional para definir el estado del log (ej: Success, Failure, In Progress).
• Options: Botón "Add option" permitiendo añadir propiedades personalizadas suplementarias.

Casos de uso:

• Crear automáticamente logs de trazabilidad para cada acción importante del workflow
• Añadir logs de auditoría al ejecutar responders o analyzers
• Generar logs programáticos para documentar las etapas de investigación

Esta acción modifica las propiedades de un caso existente en TheHive.

Parámetros clave:

• Case ID: Campo texto obligatorio conteniendo el identificador único del caso a modificar.
• JSON Parameters: Interruptor on/off opcional. Activado (como en la captura), permite proporcionar los campos de actualización en formato JSON. Desactivado, los campos pueden añadirse individualmente.
• Update Fields: Sección permitiendo añadir vía botón "Add Field" las propiedades específicas a modificar (título, descripción, severidad, estado, TLP, etc.) y sus nuevos valores.

Casos de uso:

• Actualizar automáticamente el estado de un caso a "Resolved" cuando todas sus tareas están completadas
• Modificar la severidad de un caso tras una reevaluación automática de la amenaza
• Añadir informaciones o modificar la descripción de un caso con datos recopilados automáticamente

Esta acción recupera los detalles completos de un caso específico en TheHive vía su identificador único.

Parámetros clave:

• Case ID: Campo texto obligatorio conteniendo el identificador único del caso a recuperar.

Casos de uso:

• Recuperar las informaciones de un caso para mostrarlas en un dashboard o reporte externo
• Obtener el estado y las metadatas de un caso antes de efectuar una acción condicional
• Extraer los detalles de un caso para generación de notificaciones o de alertas

Esta acción recupera varios casos desde TheHive con opciones de limitación y filtrado avanzado.

Parámetros clave:

• Return All: Interruptor on/off opcional. Activado, recupera todos los casos disponibles.
• Limit: Campo numérico opcional definiendo el máximo de casos a recuperar (por defecto: 100).
• Options: Botón "Add option" para parámetros suplementarios (ordenación, campos a incluir, etc.).
• Filters: Botón "Add a Filter" para definir criterios de filtrado (estado, severidad, fechas, asignados, etc.).

Casos de uso:

• Listar todos los casos abiertos para generación de reportes de carga de trabajo SOC
• Recuperar los casos con severidad crítica para monitoreo prioritario
• Extraer el conjunto de casos cerrados para análisis de métricas (MTTR, volumen, etc.)

Esta acción ejecuta un responder (script de acción automatizado) sobre un caso específico en TheHive.

Parámetros clave:

• Case ID: Campo texto obligatorio conteniendo el identificador único del caso sobre el cual ejecutar el responder.

Casos de uso:

• Desencadenar automáticamente un responder de notificación cuando un caso crítico es creado
• Ejecutar un responder de bloqueo o de remediación sobre un caso validado como amenaza real
• Lanzar acciones de export o de archivado automáticas al cerrar un caso

Esta acción crea un nuevo caso en TheHive con sus metadatas y propiedades iniciales.

Parámetros clave:

• Title: Campo texto definiendo el nombre del caso. Soporta valores fijos o expresiones.
• Description: Zona de texto para descripción detallada del caso.
• Severity: Menú desplegable obligatorio para clasificar la urgencia/impacto (actualmente: "Medium"). Opciones: Low, Medium, High, Critical.
• Start Date: Selector fecha/hora para especificar la fecha de inicio del caso.
• Owner: Campo texto para asignar la responsabilidad del caso a un usuario específico.
• Flag: Interruptor on/off para marcar el caso con un flag de importancia.
• TLP: Menú desplegable para definir el nivel de confidencialidad (actualmente: "Amber"). Opciones: White, Green, Amber, Red.

Casos de uso:

• Crear automáticamente un caso desde una alerta TheHive con severidad calculada según reglas de negocio
• Generar casos programáticamente desde tickets de otros sistemas (Jira, ServiceNow)
• Abrir casos automáticamente tras detección de incidentes por herramientas de monitoreo (SIEM, EDR)