Integración TheHive 5 n8nAutomatiza TheHive 5 con n8n.

Crea una alerta en TheHive a partir de lo que la haya provocado, una consulta del SIEM, un buzón de avisos o un escáner, y devuelve la alerta creada para el resto del flujo.

• Fields: el resource mapper lista las propiedades de alerta que TheHive espera y te deja mapear cada una, con un valor fijo o con una expresión del tipo {{ $json.field }} que lee el nodo anterior.
• Observables: opcional, adjunta observables ya en la creación en vez de en una segunda llamada.

Borra una alerta de TheHive de forma definitiva. Es la operación para el ruido que nunca mereció una cola de triaje, como el mismo hallazgo de escáner llegando dos veces al día.

• Alert: un resource locator, o sea que eliges la alerta en la lista que carga n8n o pasas su identificador desde un nodo anterior.

Ejecuta un responder registrado en tu instancia contra una alerta, de modo que la reacción ocurra dentro del flujo y no en un clic manual.

• Alert: la alerta sobre la que corre el responder, elegida en la lista o resuelta desde un nodo anterior.
• Responder Name or ID: selecciona el responder por su nombre en el desplegable, o pasa su identificador con una expresión cuando la elección depende de lo que trae la alerta.

Lee una alerta y devuelve su estado actual, que es como un flujo comprueba qué ha cambiado antes de decidir nada.

• Alert: la alerta a leer, elegida en la lista o pasada como identificador.
• Include Similar Alerts: añade las alertas que TheHive considera cercanas a esta.
• Include Similar Cases: añade los casos que TheHive considera cercanos a esta.

Funde una alerta existente dentro de un caso ya abierto, para que sus observables y su contexto lleguen a la investigación y no a una cola paralela.

• Alert: la alerta que se absorbe.
• Case: el caso de destino, elegido en la lista o resuelto desde un paso anterior.

Convierte una alerta en un caso completo, el momento exacto en que termina el triaje y empieza la investigación.

• Alert: la alerta que se promueve.
• Case Template Name or ID: opcional, aplica una de tus plantillas de caso para que el caso nuevo se abra con sus tareas puestas. Elígela en la lista, o pasa su identificador con una expresión cuando la plantilla depende de la alerta.

Devuelve las alertas que encajan con tus criterios, que es como un flujo revisa el atasco pendiente o localiza la única alerta que debe tocar.

• Filters: condiciones formadas por un Field, un Operator como _eq o _like, y un Value. La notación con puntos llega a los campos personalizados.
• Sort: ordena el resultado por campo y por Direction.
• Return All: activado, n8n recorre todas las páginas de alertas; desactivado, Limit pone el tope.

Escribe valores nuevos sobre una alerta que ya existe, sin tocar lo que no hayas mapeado.

• Fields: otra vez el resource mapper, que aquí lista las propiedades de alerta modificables. Mapea solo lo que cambia, con un valor fijo o con una expresión como {{ $json.field }}.

Cambia solo el estado de una alerta, la forma más ligera de hacerla avanzar por el triaje.

• Alert: la alerta que se mueve.
• Status Name or ID: el estado de destino, tomado de la lista que define tu instancia, o pasado como identificador con una expresión cuando depende de una lógica anterior.

Sube uno o varios archivos a un caso abierto, para que la evidencia viva junto a la investigación y no en un buzón de correo.

• Case: el caso que recibe los archivos.
• Attachments: los elementos binarios a subir, listados uno a uno.
• Attachment Field Name: el nombre del campo binario que lleva el archivo en el elemento entrante.
• Rename Files: activado, un archivo cuyo nombre ya existe en el caso se renombra en lugar de chocar.

Abre un caso en TheHive y lo devuelve, lo que da al flujo un objeto del que colgar tareas, comentarios y observables.

• Fields: el resource mapper expone las propiedades de caso que TheHive espera, cada una mapeada a un valor fijo o a un dato que viene del nodo anterior.

Separa un archivo de un caso y lo elimina.

• Case: el caso que guarda el archivo.
• Attachment Name or ID: el adjunto en sí, elegido en la lista que n8n carga para ese caso, o pasado como identificador con una expresión.

Elimina un caso completo de TheHive, con las tareas, comentarios y adjuntos que cuelgan de él. No hay vuelta atrás, de ahí que casi todos los equipos pongan delante un paso de aprobación manual.

• Case: el caso a eliminar, elegido en la lista o resuelto desde un identificador que trae el nodo anterior.

Dispara un responder sobre un caso entero, no sobre una alerta ni un observable sueltos.

• Case: el caso sobre el que actúa el responder.
• Responder Name or ID: el responder a lanzar, elegido por nombre o resuelto como identificador con una expresión.

Recupera un caso y devuelve sus campos tal como están en ese momento.

• Case: el caso a leer, tomado de la lista o de un identificador que pasa un nodo anterior.

Descarga un archivo guardado en un caso y lo entrega al nodo siguiente como datos binarios.

• Case: el caso que guarda el archivo.
• Attachment Name or ID: qué adjunto descargar.
• File Name: renombra el archivo al descargarlo.
• Data Property Name: el campo binario donde se escribe el archivo, es decir el nombre que tendrá que leer el nodo siguiente.

Trae la cronología que TheHive mantiene para un caso, de modo que un flujo lee qué pasó y cuándo sin reconstruirlo a base de consultas sueltas.

• Case: el caso cuya cronología quieres.

Lista los casos que cumplen tus condiciones, la operación por la que empiezan casi todos los flujos de informes.

• Filters: condiciones que combinan un Field, un Operator como _gte, y un Value.
• Sort: el campo más una Direction, desc para leer primero lo más reciente.
• Return All: activado, se recuperan todas las páginas; desactivado, Limit corta la recogida.

Aplica cambios sobre un caso que ya está abierto, campo a campo.

• Fields: el resource mapper lista lo que se puede modificar en un caso. Lo que no mapeas se queda igual, y el resto acepta un valor o una expresión como {{ $json.field }}.

Publica un comentario, que es como un paso automatizado deja un rastro legible para quien recoja el expediente más tarde.

• Add to: indica si el comentario cae sobre un case o sobre una alert.
• Case: el destino, resuelto desde la lista o desde un identificador.
• Message: el texto en sí, montado normalmente con los nodos anteriores.

Quita un comentario del caso o de la alerta donde se había publicado.

• Comment: el comentario a borrar, elegido en la lista o resuelto como identificador por un paso anterior.

Busca comentarios, en toda la instancia o dentro de un caso o de una alerta concretos.

• Search in: all para barrer alertas y casos juntos, o un alcance más estrecho.
• Case y Alert: el objeto donde mirar, según la elección anterior.
• Return All: activado, vuelve todo lo que encaja; desactivado, se aplica Limit. Filters y Sort acotan y ordenan el resultado.

Reescribe el texto de un comentario ya publicado.

• Comment: el comentario a reescribir.
• Message: el texto nuevo, que sustituye por completo al anterior.

Guarda un observable dentro de un caso o de una alerta, para que el indicador quede en la investigación y no en un chat.

• Case: el caso que recibe el observable, elegido en la lista o con una expresión como {{ $json.field }}.
• Data Type: el tipo de indicador, tomado de la lista que carga el nodo.
• Data: el valor en sí.
• Attachments: los archivos que acompañan al observable, añadidos de uno en uno.
• Fields: el resource mapper que da valor al resto de campos.
• Create in: opcional, cambia el destino entre Case y Alert.

Borra un observable de forma definitiva. El resto del caso sigue igual, solo desaparece ese indicador de la lista.

• Observable: el observable que se elimina, seleccionado en el campo o resuelto con una expresión como {{ $json.field }} cuando el identificador viene de un nodo anterior.

Pone a trabajar uno o varios analizadores sobre un observable. El análisis ocurre en TheHive, sin que nadie abra la interfaz.

• Observable: el observable que se analiza.
• Analyzer Names or IDs: uno o varios analizadores, elegidos en la lista o indicados como identificadores mediante una expresión.
• Data Type: opcional, el tipo del observable, útil cuando la lista de analizadores depende de él.

Activa un responder, la parte de TheHive que ejecuta la respuesta, desde un observable concreto. El nodo confirma el lanzamiento y la acción sigue fuera de n8n.

• Observable: el observable sobre el que actúa el responder.
• Responder Name or ID: el responder que se ejecuta, elegido en la lista o pasado como identificador con una expresión.

Vuelve a leer un observable tal y como está guardado, que es la manera limpia de saber qué contiene TheHive antes de decidir nada.

• Observable: el observable que se lee, seleccionado en el campo o resuelto con una expresión como {{ $json.field }}.

Devuelve una lista de observables en vez de uno solo, y el filtrado ocurre en TheHive antes de que nada llegue a n8n.

• Case y Alert: los contenedores donde se busca.
• Search in: opcional, acota la búsqueda a un caso, a una alerta o a ambos.
• Return All: activado, n8n recorre todas las páginas de resultados; desactivado, Limit pone el tope de observables devueltos.
• Filters y Sort: las condiciones y el orden, añadidos línea a línea.

Cambia los valores ya guardados en un observable. Solo se tocan los campos que mapeas, el resto queda como lo dejó el analista.

• Fields: el resource mapper que lista los campos del observable y el valor que recibe cada uno, normalmente una expresión que apunta al ítem de entrada.

Escribe una página de documentación, colgada de un caso o archivada en la base de conocimiento, y saca los procedimientos de las notas personales.

• Case: el caso al que pertenece la página.
• Title: el nombre que aparece en la lista.
• Category: la agrupación bajo la que queda la página.
• Content: el cuerpo del texto, muchas veces montado con datos recogidos antes en el flujo.
• Create in: opcional, Case o Knowledge Base.

Quita una página de un caso o de la base de conocimiento. El caso no se toca, solo se va esa página con su contenido.

• Case: el caso donde está la página.
• Page: la página que se elimina, elegida en la lista o resuelta con una expresión.
• Delete From ...: opcional, indica al nodo si debe mirar en el caso o en la base de conocimiento.

Recorre las páginas de un caso, y si quieres también la base de conocimiento, y devuelve las que coinciden. Sirve cuando el flujo necesita saber si una página ya existe.

• Case: el caso cuyas páginas se listan.
• Search in Knowledge Base: opcional, amplía la búsqueda más allá del caso elegido.
• Return All: activado, vuelven todas las páginas que coinciden; desactivado, Limit marca el tope.
• Filters y Sort: las condiciones de coincidencia y el orden de los resultados.

Retoca una página que ya existe, en vez de acumular copias casi iguales. El procedimiento se mantiene vigente en el mismo sitio.

• Case: el caso que contiene la página.
• Page: la página que se edita.
• Update in: opcional, Case o Knowledge Base.
• Content: opcional, el nuevo cuerpo del texto.
• Category, Title y Order: opcionales, la agrupación, el nombre y la posición de la página en la lista.

Manda una consulta en crudo a la API Query de TheHive, que es la salida cuando las operaciones dedicadas se quedan cortas.

• Query: la consulta, un array de operaciones con la selección que quieres y, de forma opcional, filtrado, orden y paginación.

Abre una tarea dentro de un caso, para que el siguiente paso de la investigación quede asignado y visible en lugar de sobreentendido.

• Case: el caso en el que se crea la tarea, elegido en la lista o construido con una expresión como {{ $json.field }}.
• Fields: el resource mapper que lista los campos de la tarea y el valor de cada uno.

Saca una tarea de su caso para siempre. Resérvala para tareas creadas por una automatización, no para las que ha rellenado un analista.

• Task: la tarea que se elimina, seleccionada en el campo o resuelta con una expresión cuando el identificador sale de una búsqueda.

Parte de una tarea y no de un observable para lanzar un responder, que es justo lo que pide un paso de playbook.

• Task: la tarea desde la que se lanza la acción.
• Responder Name or ID: el responder que se ejecuta, elegido en la lista o indicado como identificador con una expresión.

Trae una tarea concreta por su identificador, que es como una rama comprueba en qué punto está de verdad un paso del playbook.

• Task: la tarea que se lee, tomada de la lista o pasada con una expresión como {{ $json.field }}.

Lista las tareas de un caso, o las de todos, con la selección resuelta en TheHive.

• Case: el caso cuyas tareas se listan.
• Search in All Cases: opcional, levanta la restricción a un único caso.
• Return All: activado, n8n recorre todas las tareas; desactivado, Limit detiene la recuperación en el número que fijes.
• Filters y Sort: las condiciones y el criterio de orden.

Hace avanzar una tarea cambiando su estado o su responsable, sin tocar nada más del caso.

• Fields: el resource mapper que lista los campos de la tarea y el valor que recibe cada uno, normalmente expresiones que apuntan al ítem de entrada.

El archivo casi siempre llega después de la nota que lo explica. Esta operación sube uno o varios archivos a un log de tarea que ya existe en TheHive, así la prueba queda junto al comentario y no en una carpeta compartida que nadie abre.

• Task Log: el log que recibe los archivos, elegido de la lista o indicado por su identificador con una expresión de n8n, es decir un valor leído del item entrante como {{ $json.id }}.
• Attachments: la colección de archivos a enviar, una entrada por cada archivo que trae el item.

En TheHive el analista escribe los logs de tarea a mano mientras avanza. Aquí lo escribe el flujo de trabajo, para que un enriquecimiento automático deje el mismo rastro visible que una nota humana.

• Task: la tarea a la que se engancha el nuevo log, tomada de la lista o pasada por su identificador, por ejemplo {{ $json.taskId }}.
• Fields: el resource mapper que rellena el contenido del log campo por campo desde el item entrante, sin escribir JSON a mano.
• Attachments: archivos añadidos en la misma llamada, cuando la nota y su prueba deben salir juntas.

Tarea equivocada, nota duplicada, resto de una prueba: a veces lo más limpio es borrar. La operación elimina el propio log de tarea, texto incluido, y después no hay vuelta atrás.

• Task Log: el log que se elimina, seleccionado de la lista o resuelto por su identificador cuando un paso anterior ya lo arrastra.

Un log puede perder un archivo y conservar su texto. Eso hace esta operación: separa un adjunto del log de tarea, y la nota sigue legible en la cronología de la tarea.

• Task Log: el log que contiene el archivo, elegido de la lista o pasado por su identificador.
• Attachment Name or ID: el archivo a quitar, tomado de la lista que n8n carga para ese log, o indicado por su identificador con una expresión.

Un responder es la acción que TheHive sabe lanzar sobre un objeto. Cuando ese objeto es un log de tarea, una nota tomada durante la investigación se convierte en el punto de partida de una respuesta automática en vez de quedarse archivada.

• Task Log: el log sobre el que corre el responder, seleccionado de la lista o resuelto por su identificador.
• Responder Name or ID: el responder que se ejecuta, tomado de la lista que expone tu instancia, o fijado con una expresión cuando la elección depende del item entrante.

Releer un log concreto es lo que permite decidir el resto del flujo. La operación devuelve un solo log de tarea, y los nodos siguientes se orientan según su contenido.

• Task Log: el log que se lee, elegido de la lista o pasado por su identificador, normalmente el que recogió un paso anterior.

En un caso largo los logs de tarea se acumulan rápido. Esta operación los lista, dentro de una tarea o en todas.

• Task: la tarea donde buscar, seleccionada de la lista o indicada por su identificador.
• Search in All Tasks: activado, la búsqueda se extiende a todas las tareas en lugar de la tarea elegida.
• Return All: activado, n8n encadena las páginas de la API hasta el último log; desactivado, Limit marca cuántos logs salen.
• Filters y Sort: acotan el conjunto con operadores como _like o _between, y lo ordenan en asc o desc.