Integración MISP n8nAutomatiza MISP con n8n.

Un valor nuevo entra en MISP como atributo, y esta operación lo crea dentro de un evento ya identificado.

• Event UUID: el UUID del evento al que se engancha el atributo, a menudo {{ $json.field }} del nodo que creó el evento.
• Type: tres opciones, text, url y comment.
• Value: obligatorio, el nodo detiene la ejecución mientras siga vacío.
• Distribution: campo adicional que decide quién podrá ver este evento una vez publicado.

Borrado y poco más: el atributo desaparece del evento al que estaba enganchado.

• Attribute ID: el UUID o el identificador numérico del atributo, valen las dos formas.

Releer un atributo entrega a los nodos siguientes su registro completo, no solo el identificador.

• Attribute ID: el UUID o el identificador numérico del atributo que buscas.

El listado de atributos vuelve en lote, un item de n8n por atributo, sin filtro aplicado.

• Return All: activado, n8n encadena las páginas de la API hasta el último atributo; desactivado, se para en Limit.
• Limit: el número máximo de atributos devueltos mientras Return All siga desactivado.

La búsqueda reduce la lista a los atributos que coinciden con lo que le pasas, en vez de traerlo todo y filtrar después.

• Value: el valor buscado, una dirección del tipo 127.0.0.1 por ejemplo.
• Tags: una lista de etiquetas separadas por comas.
• Category: limita la búsqueda a una categoría.
• Use JSON to Specify Fields: activado, los campos de la búsqueda se escriben en JSON en lugar del formulario.

Modificar un atributo existente pasa por esta operación, que deja intactos los campos que no rellenas.

• Attribute ID: el identificador del atributo a actualizar.
• Distribution: campo de actualización para quién podrá ver este evento una vez publicado.
• Sharing Group Name or ID: solo sirve cuando Sharing Group es el valor elegido en Distribution, tomado de la lista o pasado como expresión.

Todo evento de MISP empieza en algún punto, y esta operación abre uno bajo la organización que señales.

• Organization Name or ID: elegido de la lista, o pasado como expresión cuando el valor viene de un nodo anterior.
• Information: la descripción del evento, hasta 65535 caracteres.
• Threat Level ID: High, Medium, Low o Undefined.
• Analysis: el nivel de madurez del análisis, Initial, Ongoing o Complete.

Eliminar un evento lo saca de la instancia, y los atributos que tenía enganchados se van con él.

• Event ID: el UUID o el identificador numérico del evento.

Recuperar un evento por su identificador le da al resto del flujo el registro completo con el que trabajar.

• Event ID: el UUID o el identificador numérico del evento, se aceptan ambas formas.

Lectura masiva: MISP devuelve los eventos y n8n convierte cada uno en un item distinto.

• Return All: activado, n8n sigue las páginas hasta traer la lista entera; desactivado, se corta antes.
• Limit: el techo de eventos que vuelven mientras Return All siga desactivado.

Publicar lleva el evento a su estado publicado, el momento a partir del cual su ajuste de distribución decide quién lo ve.

• Event ID: el UUID o el identificador numérico del evento a publicar.

Filtrar en origen aligera la ejecución: MISP solo devuelve los eventos que cumplen los criterios que fijas.

• Value: el valor buscado, 127.0.0.1 por ejemplo.
• Published: un filtro booleano sobre el estado publicado.
• Search All: busca entre nombres de etiquetas, descripciones de eventos, valores de atributos o comentarios de atributos.
• Deleted: un booleano que mete los registros eliminados en el alcance.

El movimiento contrario: el evento sale del estado publicado y vuelve a ser un registro interno.

• Event ID: el UUID o el identificador numérico del evento.

Corregir un evento más tarde se hace aquí, campo a campo, sin tocar lo que dejas en blanco.

• Event ID: el UUID o el identificador numérico del evento a modificar.
• Information: la descripción, hasta 65535 caracteres.
• Analysis: Initial, Ongoing o Complete.
• Distribution: quién podrá ver este evento una vez publicado.

Las etiquetas son lo que hace localizable un evento meses después, y esta llamada coloca una sobre un evento existente.

• Event ID: el UUID o el identificador numérico del evento que recibe la etiqueta.
• Tag Name or ID: elegida de la lista, o pasada como expresión cuando la etiqueta depende del item entrante.

Quitar una etiqueta deja el evento intacto, solo desaparece el vínculo entre ambos.

• Event ID: el UUID o el identificador numérico del evento.
• Tag Name or ID: la etiqueta a retirar, desde la lista o como expresión.

Un feed se registra en MISP con un nombre, un proveedor y una URL, y esta operación escribe ese registro.

• Name: texto obligatorio.
• Provider: texto obligatorio.
• URL: obligatoria, con la forma https://example.com.
• Rules: campo adicional que lleva las reglas de filtrado del feed.

Apagar un feed cabe en una llamada, y su registro se queda donde estaba para más adelante.

• Feed ID: el UUID o el identificador numérico del feed.

Volver a encender un feed tiene la misma forma, con el identificador como único dato a aportar.

• Feed ID: el UUID o el identificador numérico del feed a activar.

Un feed, leído por su identificador, con su registro entregado al nodo siguiente.

• Feed ID: el UUID o el identificador numérico del feed.

El inventario completo de feeds vuelve por aquí, un item de n8n por feed.

• Return All: activado, se recuperan todos los feeds página tras página; desactivado, la ejecución se para en Limit.
• Limit: cuántos feeds vuelven como máximo mientras Return All siga desactivado.

Cambiar un registro sin borrarlo es exactamente para lo que está esta operación.

• Feed ID: el identificador del feed a actualizar.
• URL: la dirección hacia la que apunta el feed.
• Provider: el proveedor registrado para ese feed.
• Rules: las reglas de filtrado del feed.

Con un solo identificador, el nodo borra esa galaxia de la instancia MISP a la que apunta la credencial.

• Galaxy ID: el UUID o el identificador numérico de la galaxia que se elimina. Si el valor llega de un nodo anterior, se recoge con una expresión, la sintaxis de n8n que lee un campo del item entrante, escrita {{ $json.field }}.

Esta operación devuelve una galaxia concreta, la del identificador que le pasas, sin recorrer nada más de la instancia.

• Galaxy ID: el UUID o el identificador numérico de la galaxia que se lee.

Listar galaxias entrega al flujo el inventario que guarda la instancia, el punto de partida de cualquier filtro o comparación posterior.

• Return All: activado, n8n encadena las páginas de la API hasta la última galaxia; desactivado, el nodo se detiene en Limit.
• Limit: el número máximo de galaxias devueltas mientras Return All siga apagado.

Basta el número de una noticelist para que el nodo la devuelva sola, sin tocar el resto del catálogo. La salida se queda corta y se revisa de una pasada.

• Noticelist ID: el identificador numérico de la noticelist que se recupera, fijo en el campo si el flujo siempre lee la misma, o tomado del item entrante con una expresión {{ $json.field }}.

El catálogo completo de noticelists cabe en una sola ejecución, un item por noticelist.

• Return All: marcado, el nodo recorre las páginas de la API hasta el final; sin marcar, solo devuelve lo que permite Limit.
• Limit: pone techo al número de noticelists devueltas.

La búsqueda de objetos arranca desde un valor: el nodo lo envía a MISP y devuelve los objetos que coinciden.

• Value: obligatorio, el valor buscado, una dirección IP como 127.0.0.1 en el ejemplo que muestra el campo.
• Tags: una lista de tags separados por comas, con el formato tag1,tag2.
• Search All: amplía la búsqueda a nombres de tags, descripciones de eventos, valores de atributos y comentarios de atributos.

Crear una organización añade una ficha nueva en MISP con el nombre que envía el nodo.

• Name: obligatorio, el nombre de la organización y el único valor que la operación necesita.
• Additional Fields: el bloque opcional que lleva Description, Sector, Nationality, Type, Created by Email y User Count en la misma llamada.

Cuando una organización ya no pinta nada en la instancia, esta operación retira su ficha en una llamada.

• Organisation ID: el UUID o el identificador numérico de la organización que se retira.

Aquí el nodo devuelve la ficha de la organización que coincide con el identificador recibido, y nada más.

• Organisation ID: el UUID o el identificador numérico de la organización que se lee, mapeado desde el nodo anterior con una expresión como {{ $json.field }}.

El directorio de organizaciones que conoce la instancia sale por esta operación, una organización por item.

• Return All: encendido, n8n encadena las páginas de la API hasta la última organización; apagado, Limit decide cuántas vuelven.
• Limit: el tope de organizaciones devueltas.

Modificar una organización existente consiste en señalarla por su ID y enumerar los cambios en el bloque Update Fields.

• Organisation ID: obligatorio, el identificador de la organización que se actualiza.
• Update Fields: el bloque que lleva Name, Description, Sector, Nationality y Type.

Un tag nace de un nombre, y el nodo le asigna su color en la misma llamada.

• Name: obligatorio, el nombre del tag.
• Color: un código de color hexadecimal para el tag, dentro de Additional Fields.

Un tag que ya nadie usa se retira de la instancia por su número.

• Tag ID: obligatorio, el identificador numérico del tag que se borra, a menudo heredado de un nodo anterior con una expresión como {{ $json.field }}.

Todos los tags definidos en la instancia vuelven por esta operación, la lista con la que empieza casi cualquier trabajo sobre tags.

• Return All: activado, el nodo pasa las páginas de la API hasta el último tag; desactivado, Limit marca el corte.
• Limit: el número máximo de tags en la salida.

Cambiar el nombre o el color de un tag pasa por esta operación, con el tag señalado por su ID.

• Tag ID: obligatorio, el identificador del tag que se actualiza.
• Update Fields: lleva Name y Color, el código de color hexadecimal del tag.

Abrir una cuenta pide dos valores, una dirección y un rol, y con eso el nodo crea al usuario.

• Email: obligatorio, la dirección de la cuenta, con el formato name@email.com que propone el campo.
• Role ID: obligatorio, y los identificadores de rol están en el panel de MISP, en /roles/index.
• Organization Name or ID: se elige en la lista que carga el nodo o se indica como identificador mediante una expresión.

La salida de una persona termina aquí: el nodo elimina al usuario cuyo número recibe y el flujo sigue con el paso siguiente.

• User ID: obligatorio, el identificador numérico del usuario que se elimina. Si queda vacío, la ejecución del nodo se detiene, como con cualquier campo marcado como obligatorio.

Una ficha de usuario, pedida por su número, es lo que sale de esta operación. Una cuenta por ejecución, así que con varias conviene montar un bucle.

• User ID: obligatorio, el identificador numérico del usuario que se lee, escrito a mano o mapeado desde el nodo anterior con {{ $json.field }}.

Esta operación recorre el directorio de cuentas de la instancia y devuelve las que encuentra.

• Return All: encendido, se recuperan todas las páginas de usuarios; apagado, Limit limita cuántas cuentas vuelven.
• Limit: cuántos usuarios llegan como mucho en una ejecución.

Los cambios sobre una cuenta existente viajan en Update Fields, con la cuenta señalada por su ID.

• User ID: obligatorio, el identificador del usuario que se actualiza.
• Update Fields: lleva Email, GPG Key, Inviter Name or ID y Organization Name or ID.

Las warninglists se leen aquí de una en una, por su número, y la respuesta pesa poco cuando al flujo solo le interesa una de ellas.

• Warninglist ID: obligatorio, el identificador numérico de la warninglist. Cuando el número viene de un paso previo en vez de escribirse, lo traslada una expresión {{ $json.field }}.

Todas las warninglists que guarda la instancia salen en una sola ejecución.

• Return All: activado, n8n pide página tras página hasta cerrar el catálogo; desactivado, Limit recorta la salida.
• Limit: el número máximo de warninglists devueltas.