Intégration TheHive 5 n8nAutomatiser TheHive 5 avec n8n.

Crée une alerte dans TheHive à partir de ce qui l'a déclenchée, une requête SIEM, une boîte de signalement ou un scanner, et renvoie l'alerte créée pour la suite du workflow.

• Fields : le resource mapper liste les propriétés d'alerte attendues par TheHive et te laisse mapper chacune, soit avec une valeur fixe, soit avec une expression du type {{ $json.field }} qui lit le nœud précédent.
• Observables : facultatif, rattache des observables dès la création plutôt qu'en deuxième appel.

Supprime définitivement une alerte de TheHive. C'est l'opération réservée au bruit qui n'a jamais mérité une file de triage, comme le même résultat de scanner qui revient deux fois par jour.

• Alert : un resource locator, autrement dit tu choisis l'alerte dans la liste chargée par n8n ou tu passes son identifiant depuis un nœud antérieur.

Lance un responder enregistré sur ton instance contre une alerte, pour que la réaction se joue dans le workflow au lieu d'un clic manuel.

• Alert : l'alerte sur laquelle tourne le responder, choisie dans la liste ou résolue depuis un nœud précédent.
• Responder Name or ID : sélectionne le responder par son nom dans le menu déroulant, ou passe son identifiant par expression quand le choix dépend du contenu de l'alerte.

Lit une alerte et renvoie son état du moment, la façon dont un workflow vérifie ce qui a changé avant de décider quoi que ce soit.

• Alert : l'alerte à lire, sélectionnée dans la liste ou passée sous forme d'identifiant.
• Include Similar Alerts : ajoute les alertes que TheHive juge proches de celle-ci.
• Include Similar Cases : ajoute les cas que TheHive juge proches de celle-ci.

Fusionne une alerte existante dans un cas déjà ouvert, pour que ses observables et son contexte rejoignent l'investigation au lieu d'une file parallèle.

• Alert : l'alerte absorbée.
• Case : le cas de destination, choisi dans la liste ou résolu depuis une étape antérieure.

Transforme une alerte en cas complet, le moment précis où le triage s'arrête et où l'investigation commence.

• Alert : l'alerte promue.
• Case Template Name or ID : facultatif, applique un de tes modèles de cas pour que le nouveau cas s'ouvre avec ses tâches en place. Choisis-le dans la liste, ou passe son identifiant par expression quand le modèle dépend de l'alerte.

Remonte les alertes qui correspondent à tes critères, ce dont un workflow a besoin pour faire un point sur l'arriéré ou retrouver l'unique alerte à modifier.

• Filters : des conditions bâties sur un Field, un Operator comme _eq ou _like, et une Value. La notation pointée atteint les champs personnalisés.
• Sort : ordonne le résultat par champ et par Direction.
• Return All : activé, n8n parcourt toutes les pages d'alertes ; désactivé, Limit plafonne le retour.

Écrit de nouvelles valeurs sur une alerte déjà existante, sans toucher à ce que tu n'as pas mappé.

• Fields : à nouveau le resource mapper, qui liste cette fois les propriétés d'alerte modifiables. Ne mappe que ce qui change, avec une valeur statique ou une expression comme {{ $json.field }}.

Change uniquement le statut d'une alerte, la manière la plus légère de la faire avancer dans le triage.

• Alert : l'alerte à déplacer.
• Status Name or ID : le statut visé, pris dans la liste que définit ton instance, ou fourni comme identifiant par expression quand le statut dépend d'une logique antérieure.

Téléverse un ou plusieurs fichiers sur un cas ouvert, pour que la preuve vive à côté de l'investigation et pas dans une boîte mail.

• Case : le cas qui reçoit les fichiers.
• Attachments : les éléments binaires à envoyer, listés un par un.
• Attachment Field Name : le nom du champ binaire qui porte le fichier dans l'élément entrant.
• Rename Files : activé, un fichier dont le nom existe déjà sur le cas est renommé au lieu d'entrer en collision.

Ouvre un cas dans TheHive et le renvoie, ce qui donne au workflow un objet auquel accrocher tâches, commentaires et observables.

• Fields : le resource mapper expose les propriétés de cas attendues par TheHive, chacune mappée sur une valeur fixe ou sur une donnée venue du nœud précédent.

Détache un fichier d'un cas et le supprime.

• Case : le cas qui détient le fichier.
• Attachment Name or ID : la pièce jointe elle-même, choisie dans la liste que n8n charge pour ce cas, ou fournie comme identifiant par expression.

Efface un cas entier de TheHive, avec les tâches, commentaires et pièces jointes qui en dépendent. Aucun retour en arrière possible, d'où l'étape de validation manuelle que la plupart des équipes placent devant.

• Case : le cas à effacer, choisi dans la liste ou résolu depuis un identifiant porté par le nœud précédent.

Exécute un responder sur un cas entier plutôt que sur une alerte ou un observable isolé.

• Case : le cas sur lequel agit le responder.
• Responder Name or ID : le responder à lancer, sélectionné par son nom ou résolu comme identifiant avec une expression.

Récupère un cas et renvoie ses champs tels qu'ils sont à cet instant.

• Case : le cas à lire, pris dans la liste ou dans un identifiant transmis par un nœud antérieur.

Télécharge un fichier stocké sur un cas et le transmet au nœud suivant sous forme de données binaires.

• Case : le cas qui détient le fichier.
• Attachment Name or ID : la pièce jointe à télécharger.
• File Name : renomme le fichier au téléchargement.
• Data Property Name : le champ binaire dans lequel le fichier est écrit, donc le nom que devra lire le nœud suivant.

Renvoie la chronologie que TheHive tient pour un cas, ce qui permet à un workflow de lire ce qui s'est passé et quand, sans reconstituer l'histoire à coups de requêtes séparées.

• Case : le cas dont tu veux la chronologie.

Liste les cas qui répondent à tes conditions, l'opération par laquelle démarrent la plupart des workflows de reporting.

• Filters : des conditions qui combinent un Field, un Operator comme _gte, et une Value.
• Sort : le champ et une Direction, desc pour lire les plus récents d'abord.
• Return All : activé, toutes les pages sont récupérées ; désactivé, Limit interrompt la collecte.

Applique des modifications à un cas déjà ouvert, champ par champ.

• Fields : le resource mapper liste ce qui peut être modifié sur un cas. Ce que tu ne mappes pas reste en l'état, le reste prend une valeur ou une expression comme {{ $json.field }}.

Poste un commentaire, la façon dont une étape automatisée laisse une trace lisible pour la personne qui reprendra le dossier.

• Add to : indique si le commentaire atterrit sur un case ou sur une alert.
• Case : la cible, résolue depuis la liste ou depuis un identifiant.
• Message : le texte lui-même, généralement assemblé à partir des nœuds précédents.

Retire un commentaire du cas ou de l'alerte où il avait été publié.

• Comment : le commentaire à supprimer, sélectionné dans la liste ou résolu comme identifiant par une étape antérieure.

Renvoie des commentaires, soit sur l'ensemble de l'instance, soit à l'intérieur d'un cas ou d'une alerte.

• Search in : all pour balayer alertes et cas ensemble, ou une portée plus étroite.
• Case et Alert : l'objet à inspecter, selon le choix précédent.
• Return All : activé, tout ce qui correspond revient ; désactivé, Limit s'applique. Filters et Sort restreignent et ordonnent le résultat.

Réécrit le texte d'un commentaire déjà publié.

• Comment : le commentaire à réécrire.
• Message : le nouveau texte, qui remplace intégralement l'ancien.

Enregistre un observable dans un cas ou une alerte. L'indicateur rejoint l'enquête au lieu de rester dans un fil de discussion.

• Case : le cas qui reçoit l'observable, choisi dans la liste ou construit avec une expression du type {{ $json.field }}.
• Data Type : le type d'indicateur, pris dans la liste que le nœud charge depuis ton serveur.
• Data : la valeur elle-même.
• Attachments : les fichiers joints à l'observable, ajoutés une entrée à la fois.
• Fields : le resource mapper qui affecte une valeur aux autres champs de l'observable.
• Create in : optionnel, bascule la cible entre Case et Alert.

Supprime définitivement un observable. Le reste du cas ne bouge pas, seul cet indicateur disparaît de la liste.

• Observable : l'observable à retirer, sélectionné dans le champ ou résolu par une expression comme {{ $json.field }} quand l'identifiant vient d'un nœud précédent.

Lance un ou plusieurs analyseurs sur un observable. TheHive fait le travail, personne n'ouvre l'interface pour cliquer.

• Observable : l'observable soumis à l'analyse.
• Analyzer Names or IDs : un ou plusieurs analyseurs, pris dans la liste ou donnés sous forme d'identifiants par une expression.
• Data Type : optionnel, le type de l'observable, utile quand la liste d'analyseurs en dépend.

Déclenche un responder, c'est-à-dire l'action de remédiation côté TheHive, depuis un observable précis. Le nœud confirme le lancement, le travail se poursuit hors de n8n.

• Observable : l'observable sur lequel porte l'action.
• Responder Name or ID : le responder à exécuter, choisi dans la liste ou passé comme identifiant via une expression.

Relit un observable tel qu'il est stocké. C'est la façon propre de savoir ce que contient TheHive avant de décider quoi que ce soit.

• Observable : l'observable à relire, sélectionné dans le champ ou résolu par une expression comme {{ $json.field }}.

Ramène une liste d'observables et non un seul élément, le tri se faisant côté TheHive avant que quoi que ce soit n'entre dans n8n.

• Case et Alert : les conteneurs interrogés.
• Search in : optionnel, restreint la recherche à un cas, à une alerte, ou aux deux.
• Return All : activé, n8n parcourt toutes les pages de résultats ; désactivé, Limit plafonne le nombre d'observables renvoyés.
• Filters et Sort : les conditions et l'ordre, ajoutés ligne par ligne.

Modifie les valeurs déjà enregistrées sur un observable. Seuls les champs mappés changent, le reste garde l'état laissé par l'analyste.

• Fields : le resource mapper qui liste les champs de l'observable et la valeur reçue par chacun, en général une expression pointant sur l'item entrant.

Crée une page de documentation, rattachée à un cas ou rangée dans la base de connaissances. Les procédures quittent enfin les notes personnelles.

• Case : le cas auquel la page appartient.
• Title : le nom affiché dans la liste.
• Category : le regroupement dont relève la page.
• Content : le corps du texte, souvent assemblé à partir des données collectées plus tôt.
• Create in : optionnel, Case ou Knowledge Base.

Retire une page d'un cas ou de la base de connaissances. Le cas reste intact, seule la page et son contenu s'en vont.

• Case : le cas où se trouve la page.
• Page : la page à retirer, choisie dans la liste ou résolue par une expression.
• Delete From ... : optionnel, indique au nœud s'il doit chercher dans le cas ou dans la base de connaissances.

Parcourt les pages d'un cas, et au besoin la base de connaissances, pour renvoyer celles qui correspondent. Pratique quand un workflow doit savoir si une page existe déjà.

• Case : le cas dont on liste les pages.
• Search in Knowledge Base : optionnel, élargit la recherche au-delà du cas sélectionné.
• Return All : activé, toutes les pages correspondantes remontent ; désactivé, Limit fixe le plafond.
• Filters et Sort : les conditions de correspondance et l'ordre des résultats.

Reprend une page existante plutôt que d'en empiler des copies presque identiques. La procédure reste à jour au même endroit.

• Case : le cas qui porte la page.
• Page : la page à modifier.
• Update in : optionnel, Case ou Knowledge Base.
• Content : optionnel, le nouveau corps de texte.
• Category, Title et Order : optionnels, le regroupement, le nom et la position de la page dans la liste.

Adresse une requête brute à l'API Query de TheHive. C'est la porte de sortie quand les opérations dédiées s'arrêtent avant ton besoin.

• Query : la requête, un tableau d'opérations avec la sélection voulue et, en option, le filtrage, le tri et la pagination.

Ouvre une tâche dans un cas, pour que l'étape suivante de l'enquête soit assignée et visible au lieu d'être sous-entendue.

• Case : le cas dans lequel la tâche est créée, choisi dans la liste ou construit avec une expression du type {{ $json.field }}.
• Fields : le resource mapper qui liste les champs de la tâche et la valeur de chacun.

Sort définitivement une tâche de son cas. À réserver aux tâches créées par une automatisation, pas à celles qu'un analyste a remplies.

• Task : la tâche à retirer, sélectionnée dans le champ ou résolue par une expression quand l'identifiant sort d'une recherche.

Part d'une tâche et non d'un observable pour lancer un responder, ce qui colle aux actions qu'une étape de playbook doit déclencher.

• Task : la tâche depuis laquelle l'action est lancée.
• Responder Name or ID : le responder à exécuter, choisi dans la liste ou donné comme identifiant par une expression.

Va chercher une tâche précise par son identifiant. C'est ainsi qu'une branche vérifie où en est réellement une étape de playbook.

• Task : la tâche à lire, prise dans la liste ou passée par une expression comme {{ $json.field }}.

Liste les tâches d'un cas, ou de tous les cas, avec une sélection effectuée côté TheHive.

• Case : le cas dont on liste les tâches.
• Search in All Cases : optionnel, lève la restriction à un seul cas.
• Return All : activé, n8n parcourt toutes les tâches ; désactivé, Limit arrête la récupération au nombre choisi.
• Filters et Sort : les conditions et l'ordre de tri.

Inscrit de nouvelles valeurs sur une tâche déjà ouverte, son statut ou son propriétaire le plus souvent, sans toucher au reste du cas.

• Fields : le resource mapper qui liste les champs de la tâche et la valeur attribuée à chacun, en général des expressions pointant sur l'item entrant.

Le fichier arrive presque toujours après la note qui l'explique. Cette opération dépose un ou plusieurs fichiers sur un log de tâche déjà présent dans TheHive, pour que la preuve reste collée au commentaire et pas perdue dans un dossier partagé.

• Task Log : le log qui reçoit les fichiers, choisi dans la liste ou passé par son identifiant via une expression n8n, c'est-à-dire une valeur lue dans l'item entrant comme {{ $json.id }}.
• Attachments : la collection de fichiers à envoyer, une entrée par fichier porté par l'item.

Dans TheHive, l'analyste écrit ses logs de tâche à la main pendant qu'il avance. Ici c'est le workflow qui en crée un, pour qu'un enrichissement automatique laisse la même trace lisible qu'une note humaine.

• Task : la tâche à laquelle le nouveau log se rattache, prise dans la liste ou fournie par son identifiant, par exemple {{ $json.taskId }}.
• Fields : le resource mapper qui remplit le contenu du log champ par champ depuis l'item entrant, sans écrire de JSON à la main.
• Attachments : des fichiers ajoutés dans le même appel, quand la note et sa pièce doivent partir ensemble.

Mauvaise tâche, note en double, reste d'un test : parfois le plus propre reste d'effacer. L'opération supprime le log de tâche lui-même, texte compris, et rien ne se récupère ensuite.

• Task Log : le log à supprimer, sélectionné dans la liste ou résolu par son identifiant quand une étape précédente le transporte déjà.

Un log peut perdre un fichier et garder son texte. C'est exactement le rôle de cette opération : elle détache une pièce jointe d'un log de tâche, la note reste lisible dans la chronologie de la tâche.

• Task Log : le log qui porte le fichier, choisi dans la liste ou passé par son identifiant.
• Attachment Name or ID : le fichier à détacher, pris dans la liste que n8n charge pour ce log, ou donné par son identifiant via une expression.

Un responder, c'est l'action que TheHive sait lancer sur un objet. Quand cet objet est un log de tâche, une note prise pendant l'investigation devient le point de départ d'une réponse automatisée au lieu de finir en archive morte.

• Task Log : le log sur lequel le responder s'exécute, sélectionné dans la liste ou résolu par son identifiant.
• Responder Name or ID : le responder à lancer, pris dans la liste que ton instance expose, ou fixé par une expression quand le choix dépend de l'item entrant.

Relire un log précis, c'est ce qui rend la suite du workflow décidable. L'opération renvoie un seul log de tâche, et les nœuds suivants s'orientent selon son contenu.

• Task Log : le log à lire, choisi dans la liste ou passé par son identifiant, en général celui qu'une étape précédente a collecté.

Sur un dossier qui dure, les logs de tâche s'accumulent vite. Cette opération les liste, dans une tâche précise ou dans toutes.

• Task : la tâche dans laquelle chercher, sélectionnée dans la liste ou donnée par son identifiant.
• Search in All Tasks : activé, la recherche s'étend à toutes les tâches au lieu de la seule tâche choisie.
• Return All : activé, n8n enchaîne les pages de l'API jusqu'au dernier log ; désactivé, Limit fixe le nombre de logs qui ressortent.
• Filters et Sort : réduisent le lot avec des opérateurs comme _like ou _between, et l'ordonnent en asc ou desc.