Recursos · Integración n8n

Integración TheHive n8nAutomatiza TheHive con n8n.

¿Y si cada caso nuevo de TheHive lanzara solo su flujo de trabajo? La integración TheHive n8n junta un trigger, el nodo de arranque que escucha 14 eventos de alertas, casos, tareas, logs y observables, con un nodo que expone 4 operaciones sobre el recurso Log.

Probar la integración TheHive en n8nVer las 4 operaciones

Reseñas verificadas en Trustpilot · Agencia de IA, automatización y growth

Por qué automatizar

¿Para qué sirve la integración TheHive n8n?

La integración TheHive n8n une tu plataforma de respuesta a incidentes con el resto de herramientas del equipo. Un nodo lee y escribe dentro de TheHive, otro arranca un flujo de trabajo en cuanto se mueve una alerta, un caso o una tarea. Los dos hablan con TheHive 3 y TheHive 4 mediante una clave de API creada en tu propia instancia.

Escenario uno: la escalada. Un analista sube la gravedad de una alerta, se dispara alert_update y el flujo avisa a quien corresponde por Slack con el contexto ya montado. Nadie vigila una bandeja esperando que algo cambie, y la persona de guardia recibe el aviso mientras la alerta sigue caliente.

Escenario dos: la tarea que se documenta sola. Cuando se crea una tarea nueva, case_task_create arranca el flujo y Create a log deja la primera entrada de la cronología: qué hay que revisar, con qué fuentes, en qué orden. El analista abre la tarea y encuentra el guion escrito. Si el aviso llegó por correo, el nodo Gmail aporta el mensaje original en el mismo paso.

Escenario tres: la memoria del equipo. Al cerrar, Get many logs recoge todas las entradas de una tarea, Return All recorre las páginas de la API en lugar de parar en el primer bloque, y todo se guarda en una colección de MongoDB. Reconstruir qué pasó medio año después deja de ser una excavación.

Ahora lo honesto. El catálogo expone 4 operaciones, todas sobre el recurso Log. El nodo cubre 5 recursos (Alert, Case, Log, Observable y Task), pero la lista que n8n te enseña depende de la versión de API elegida en el credential, la conexión que guardas una sola vez: créalo primero, elige la versión y vuelve al nodo. Lo que falte sigue al alcance con HTTP Request, que llama a cualquier endpoint de TheHive reutilizando ese mismo credential.

Dos límites que conviene saber antes de montar nada. Este nodo apunta a las API versión 3 y versión 4: un servidor TheHive 5 necesita el nodo TheHive 5, no este. Y el trigger no registra su webhook por su cuenta, lo declaras tú en la configuración del servidor. Si todavía estás comparando plataformas, la Reseña n8n entra en ese detalle y el Curso n8n monta un flujo desde cero.

Conexión

¿Cómo se conecta TheHive con n8n?

  1. 01

    Crear una clave de API en TheHive

    TheHive corre en tu servidor, así que la clave sale de tu instancia y no del portal de un proveedor. Entra en Organization > Create API Key y copia el valor en ese momento. Esa clave lleva los permisos de la cuenta que la tiene: un flujo que solo escribe logs en tareas no necesita una cuenta de administrador. Crea una cuenta de servicio con los permisos justos y tu registro de auditoría seguirá siendo legible.

  2. 02

    Rellenar el credential en n8n

    En n8n, abre el menú Credentials y añade un credential de TheHive. Pega la API Key y escribe en URL la dirección de tu servidor TheHive, la misma que abren tus analistas en el navegador. Un credential se crea una vez y se reutiliza en todos los flujos: el nodo lo ofrece en su lista desplegable. El día que rotes la clave, la cambias en un único sitio.

  3. 03

    Elegir la versión de API y volver al nodo

    El campo API Version ofrece TheHive 3 (api v0) y TheHive 4 (api v1), y esa elección manda sobre lo que el nodo puede hacer. Ignore SSL Issues permite que n8n conecte aunque falle la validación del certificado, el caso típico de una instancia interna con certificado autofirmado. Guarda, vuelve al nodo, elige un recurso y aparecerán las operaciones de tu versión.

Disparadores

¿Qué dispara un flujo de trabajo desde TheHive ?

TheHive Trigger es el nodo que arranca un workflow cuando algo ocurre en TheHive. Escucha 14 eventos, listados abajo por familia. Eliges uno o varios, activas el workflow y n8n registra el webhook (la URL que TheHive llama) en tu cuenta.

Lo que ves en n8n

Todos los eventos, por familia

Una fila por objeto, un chip por acción. El evento que marcas en el nodo se escribe objeto.acción; pasa el cursor por un chip para leer cuándo se dispara.

alert_create.*1
  • alert_create.
    • alert_create
alert_delete.*1
  • alert_delete.
    • alert_delete
alert_update.*1
  • alert_update.
    • alert_update
case_artifact_create.*1
  • case_artifact_create.
    • case_artifact_create
case_artifact_delete.*1
  • case_artifact_delete.
    • case_artifact_delete
case_artifact_update.*1
  • case_artifact_update.
    • case_artifact_update
case_create.*1
  • case_create.
    • case_create
case_delete.*1
  • case_delete.
    • case_delete
case_task_create.*1
  • case_task_create.
    • case_task_create
case_task_log_create.*1
  • case_task_log_create.
    • case_task_log_create
case_task_log_delete.*1
  • case_task_log_delete.
    • case_task_log_delete
case_task_log_update.*1
  • case_task_log_update.
    • case_task_log_update
case_task_update.*1
  • case_task_update.
    • case_task_update
case_update.*1
  • case_update.
    • case_update

El trigger también acepta * (cualquier evento). Útil para logs, peligroso en producción.

Notas de configuración

01Configure the TheHive TriggerEl TheHive Trigger arranca un flujo cuando tu instancia reporta actividad. Funciona por webhook, es decir, una URL que TheHive llama en el instante en que ocurre el evento: la ejecución sale en segundos, sin consultar la API cada cierto tiempo.

El TheHive Trigger arranca un flujo cuando tu instancia reporta actividad. Funciona por webhook, es decir, una URL que TheHive llama en el instante en que ocurre el evento: la ejecución sale en segundos, sin consultar la API cada cierto tiempo.

Parámetros clave

  • Events: la lista de aquello a lo que quieres reaccionar, 14 entradas en total. Deja el comodín * para capturarlo todo y filtrar más adelante en el flujo, o marca solo lo que usas y tu historial de ejecuciones se mantiene limpio.
Cuándo usarlo
el nodo está en la versión 2 y no registra el webhook por ti. Copia las URL de prueba y de producción desde el trigger, añádelas en notification.webhook.endpoints del fichero application.conf de tu servidor, ponle nombre a cada endpoint, indica tu organización y lanza el comando cURL documentado contra /api/config/organisation/notification para activar las notificaciones.
Casos de uso
un flujo activado por cada reacción que quieras automatizar, en lugar de un analista vigilando una cola entre dos investigaciones.
02Alert Created, Alert Updated, Alert DeletedLa alerta es lo que llega a TheHive antes de que nadie decida convertirla en investigación: una detección del SIEM, un aviso de buzón, una fuente externa. Tres eventos cubren toda su vida y de ahí arrancan casi todos los flujos.

La alerta es lo que llega a TheHive antes de que nadie decida convertirla en investigación: una detección del SIEM, un aviso de buzón, una fuente externa. Tres eventos cubren toda su vida y de ahí arrancan casi todos los flujos.

Parámetros clave

  • Events: marca Alert Created (alert_create) para cualquier novedad, Alert Updated (alert_update) cuando cambia la gravedad o el estado, y Alert Deleted (alert_delete) cuando se descarta.
Cuándo usarlo
la creación es tu punto de enganche para enriquecer, porque es el único momento en que todavía queda tiempo de añadir contexto antes de que lo lea una persona. La actualización sirve para escalar: una gravedad que sube suele significar que alguien acaba de descubrir algo. El borrado guárdalo para la trazabilidad.
Casos de uso
entra una alerta, el flujo consulta tus fuentes de reputación y deja lo encontrado como log de tarea, visible dentro del caso.
03Case Created, Case Updated, Case DeletedEl caso es la investigación en sí, el contenedor donde los analistas trabajan durante horas o días. Sus tres eventos sirven sobre todo para mantener informado al resto de la empresa sin que nadie redacte un parte de situación.

El caso es la investigación en sí, el contenedor donde los analistas trabajan durante horas o días. Sus tres eventos sirven sobre todo para mantener informado al resto de la empresa sin que nadie redacte un parte de situación.

Parámetros clave

  • Events: Case Created (case_create) abre la historia, Case Updated (case_update) cubre cada cambio del camino y Case Deleted (case_delete) la cierra.
Cuándo usarlo
la creación combina bien con todo lo que debe existir en paralelo a la investigación, un ticket, un canal, una carpeta. La actualización salta mucho: fíltrala pronto por el campo que te interesa en vez de ejecutar el flujo entero en cada edición. Tu lista de ejecuciones lo agradecerá.
Casos de uso
se abre un caso, el flujo crea el ticket correspondiente en la herramienta de gestión y devuelve la referencia como log de tarea, para que los dos sistemas se apunten mutuamente.
04Task, Log and Observable eventsDebajo de los casos están las piezas que los analistas tocan de verdad: tareas por hacer, logs que cuentan lo hecho y observables con los indicadores técnicos. Ocho eventos los cubren.

Debajo de los casos están las piezas que los analistas tocan de verdad: tareas por hacer, logs que cuentan lo hecho y observables con los indicadores técnicos. Ocho eventos los cubren.

Parámetros clave

  • Events: Task Created (case_task_create) y Task Updated (case_task_update); Log Created (case_task_log_create), Log Updated (case_task_log_update) y Log Deleted (case_task_log_delete); Observable Created (case_artifact_create), Observable Updated (case_artifact_update) y Observable Deleted (case_artifact_delete).
Cuándo usarlo
la creación de observable es la más rentable de las tres, porque un indicador recién llegado es justo lo que quieres mandar a analizar antes de que alguien lo pida. Los eventos de tarea siguen quién hace qué. Con los logs, cuidado: un flujo que escribe logs y además escucha eventos de log puede alimentarse a sí mismo, filtra por autor.
Casos de uso
aparece un observable, el flujo lo compara con tu lista de bloqueo y deja el veredicto en la cronología de la tarea.
Acciones

¿Qué sabe hacer el nodo TheHive ?

El nodo TheHive expone 4 operaciones en 5 recursos. Para cada una: el nodo tal como lo configuras en n8n, los campos obligatorios y nuestras notas de campo.

Matriz recursos × operaciones
RecursoCreateGetGet ManyExecute Responder
Alert
Case
Log✓✓✓✓
Observable
Task

Alert

0 operaciones

Case

0 operaciones

Log

4 operaciones
01

Create a log

log.create

Lo que ves en n8n

Notas y casos de uso

Añade una entrada a la cronología de una tarea de TheHive, el rastro que deja un paso automático para que un analista lo lea después.

Parámetros clave

  • Task ID: el identificador de la tarea, a menudo {{ $json.id }} de un evento Task Created.
  • Message: el contenido del log, el texto que montan los nodos anteriores.
  • Start Date: la fecha de envío, ya puesta en ahora.
  • Status: Ok o Deleted, con Ok por defecto.
  • Attachment: en la colección Options, adjunta un fichero.
Casos de uso
un entorno de análisis devuelve su veredicto y el flujo lo deja en la tarea. El analista lee una cronología en vez de tres pestañas.
02

Execute a responder

log.executeResponder

Lo que ves en n8n

Notas y casos de uso

Ejecuta uno de los responders configurados en tu instancia contra una entrada de log concreta. La acción ocurre dentro de TheHive, no en el flujo.

Parámetros clave

  • Log ID: el identificador de la entrada sobre la que actúa el responder, tomado de un evento Log Created o de Get many logs.
  • Responder Name or ID: se elige en la lista que expone tu instancia, o se indica como una expresión, por ejemplo {{ $json.id }}, cuando el valor depende del dato.
Casos de uso
una aprobación llega desde la herramienta de tickets y el flujo lanza el responder sobre el log que la pidió, sin que nadie repita el paso en la interfaz.
03

Get many logs

log.getAll

Lo que ves en n8n

Notas y casos de uso

Lee las entradas asociadas a una tarea y las devuelve como items separados, uno por log, listos para el siguiente nodo.

Parámetros clave

  • Task ID: la tarea cuya cronología quieres leer.
  • Return All: activado, n8n encadena las páginas de la API hasta recuperar todas las entradas.
  • Limit: el techo cuando Return All está desactivado, cómodo mientras pruebas para que una tarea muy movida no inunde la ejecución.
Casos de uso
al terminar una investigación, el flujo reúne la cronología completa de cada tarea y la archiva en una tabla de informes. Se acabó reconstruir la secuencia de hechos a mano.
04

Get a log

log.get

Lo que ves en n8n

Notas y casos de uso

Recupera una sola entrada y devuelve su contenido actual, algo que importa cuando el log se escribió hace diez minutos y ha podido cambiar.

Parámetros clave

  • Log ID: el identificador de la entrada, no su mensaje. Un evento Log Updated te lo da directamente, y una llamada anterior del mismo flujo también.
Casos de uso
un flujo espera a que un compañero complete una entrada antes de seguir, y la vuelve a leer para confirmar que el contenido ya está. Es además la forma más rápida de verificar una escritura: el mismo identificador devuelve exactamente lo que TheHive guardó.

Observable

0 operaciones

Task

0 operaciones
Necesitas ayuda

¿Necesitas ayuda para automatizar TheHive con n8n?

El equipo te responde directamente.

Cada mensaje lo lee una persona.

FAQ

TheHive y n8n, las dudas más frecuentes

01¿La integración TheHive n8n es gratuita?
Sí. El nodo TheHive y el TheHive Trigger vienen incluidos con n8n, así que no hay nada que instalar ni ningún coste extra por el lado de n8n. Vale igual en n8n Cloud, la oferta alojada por n8n, y en una instancia autoalojada con la Community Edition y su licencia Sustainable Use. Un flujo de trabajo se comporta igual en los dos sitios, de modo que puedes prototipar en uno y ejecutar en el otro sin reescribir nada. TheHive corre en tu propio servidor: lo que te cueste depende de tu instalación, no de n8n.
02¿Qué credentials hacen falta para TheHive en n8n?
Una clave de API, creada en tu instancia desde Organization y luego Create API Key. El credential de n8n pide esa clave, la URL de tu servidor TheHive y la versión de API, o bien TheHive 3 con api v0 o bien TheHive 4 con api v1. Hay un interruptor Ignore SSL Issues para instancias con certificado autofirmado. La clave lleva los permisos de la cuenta que la creó, así que una cuenta de servicio limitada a lo que el flujo necesita es mejor idea que una clave de administrador. Se rellena una vez y todos los flujos la seleccionan.
03¿Qué límites tiene el nodo TheHive en n8n?
El catálogo expone 4 operaciones, todas sobre el recurso Log, mientras que el nodo cubre 5 recursos en total: Alert, Case, Log, Observable y Task. La lista que ves depende de la versión de API guardada en el credential, así que crea el credential antes de volver a abrir el nodo. En lectura, Return All es lo que recorre todas las páginas de resultados; sin él te quedas en el Limit que hayas fijado. Lo que el nodo no ofrece sigue siendo alcanzable con HTTP Request, que llama a cualquier endpoint de TheHive con el mismo credential.
04¿El TheHive Trigger reacciona en tiempo real?
Sí, porque trabaja por webhook y no consultando la API cada cierto tiempo. TheHive llama a una URL de n8n en el momento en que ocurre el evento, de forma que la ejecución empieza en segundos en lugar de esperar la siguiente pasada. Un detalle que hay que prever: este trigger no se registra solo. Copias las URL de prueba y de producción desde el nodo, las declaras como endpoints de webhook en el fichero application.conf de tu servidor con el nombre de tu organización y lanzas el comando cURL de la documentación de n8n para activar las notificaciones. Después, los 14 eventos llegan solos.
05¿n8n o Make para TheHive?
Todo se decide en dónde viven los datos. Si TheHive está autoalojado rara vez es casualidad, y n8n también se autoaloja, con Docker o con npm, así que el contenido de alertas y casos nunca sale de tu infraestructura. Make solo existe alojado y se factura por operación, cálculo que conviene hacer cuando un trigger muy activo dispara todo el día. Los dos tienen editor visual. n8n suma un nodo de código y el recurso a HTTP Request, útil aquí porque el nodo cubre un recurso de 5. Si tu política de seguridad lo permite y no quieres infraestructura, Make es una respuesta razonable.
Misma plataforma

Otros docs útiles sobre este stack.

Ver todas las integraciones