疯哥 n8n工作流：用MITRE ATT&CK和Qdrant实现SIEM告警自动化增强
适用对象
本工作流非常适合：
- 希望实现SIEM告警自动化增强的网络安全团队和SOC分析师。
- 希望将MITRE ATT&CK情报集成到工单系统的IT安全专业人员。
- 使用Zendesk处理安全事件并需要增强上下文威胁数据的组织。
- 使用n8n和Qdrant构建AI驱动的安全工作流的任何人。
解决什么问题？
安全团队收到大量原始SIEM告警，这些告警缺乏可操作的上下文。手动调查每个告警耗时且可能导致响应延迟。本工作流通过以下方式解决此问题：
✔ 使用MITRE ATT&CK TTPs自动增强SIEM告警。
✔ 基于已知攻击技术标记和分类告警。
✔ 提供修复步骤以指导响应团队。
✔ 用相关威胁情报增强Zendesk中的安全工单。
工作流功能
1️⃣ 接收SIEM告警（通过聊天机器人或Zendesk等工单系统）。
2️⃣ 查询包含MITRE ATT&CK技术的Qdrant向量存储。
3️⃣ 从告警中提取相关TTPs（战术、技术和程序）。
4️⃣ 使用AI增强生成修复步骤。
5️⃣ 用威胁情报和建议操作更新Zendesk工单。
6️⃣ 为后续自动化或报告提供结构化告警数据。
设置指南
先决条件
- n8n实例（云或自托管）。
- 嵌入MITRE ATT&CK数据的Qdrant向量存储。
- OpenAI API密钥（用于基于AI的威胁处理）。
- Zendesk账户（如适用，用于工单增强）。
- 清理Mitre数据的Python脚本
- 清理后的Mitre数据
- 完整Mitre数据
设置步骤
1️⃣ 将MITRE ATT&CK数据嵌入Qdrant
- 本工作流从Google Drive拉取MITRE ATT&CK数据并加载到Qdrant。
- 数据使用OpenAI嵌入向量化以便快速检索。
2️⃣ 部署n8n聊天机器人
- 聊天机器人监听SIEM告警并将其发送到AI处理管道。
- 告警使用基于MITRE ATT&CK训练的AI代理进行分析。
3️⃣ 增强Zendesk工单
- 工作流从告警中提取MITRE ATT&CK技术。
- 用上下文威胁情报更新Zendesk工单。
- 修复步骤作为内部注释提供给SOC团队。
如何自定义此工作流
🔧 修改聊天机器人触发器：调整聊天机器人节点以接收来自Slack、Microsoft Teams或其他工具的告警。
🔧 更改SIEM输入源：将工作流连接到Splunk、Elastic SIEM或Chronicle Security。
🔧 自定义修复步骤：使用自定义AI模型根据组织特定的安全策略定制修复响应。
🔧 扩展工单集成：修改Zendesk节点以支持Jira、ServiceNow或其他ITSM平台。
工作流优势
✅ 节省时间：自动化告警分类和分级。
✅ 提升安全态势：帮助SOC团队更快响应威胁。
✅ 利用AI和向量搜索：使用LLM驱动的增强提供实时上下文。
✅ 跨平台支持：兼容n8n云、自托管和Qdrant。
🚀 立即开始！
📖 观看设置视频
💬 有问题？在YouTube评论区参与讨论！