Intégration MISP n8nAutomatiser MISP avec n8n.

Une valeur nouvelle entre dans MISP sous forme d'attribut, et cette opération la crée à l'intérieur d'un événement déjà identifié.

• Event UUID : l'UUID de l'événement auquel l'attribut se rattache, souvent {{ $json.field }} issu du nœud qui a créé l'événement.
• Type : trois choix, text, url et comment.
• Value : requis, le nœud bloque l'exécution tant qu'il reste vide.
• Distribution : champ additionnel qui décide qui pourra voir cet événement une fois publié.

Suppression sèche : l'attribut disparaît de l'événement auquel il était rattaché.

• Attribute ID : l'UUID ou l'identifiant numérique de l'attribut, les deux formes passent.

Relire un attribut donne aux nœuds suivants son enregistrement complet, et pas seulement son identifiant.

• Attribute ID : l'UUID ou l'identifiant numérique de l'attribut recherché.

La liste des attributs revient en lot, un item n8n par attribut, sans filtre appliqué.

• Return All : coché, n8n enchaîne les pages de l'API jusqu'au dernier attribut ; décoché, il s'arrête à Limit.
• Limit : le nombre maximal d'attributs renvoyés quand Return All reste décoché.

La recherche restreint la liste aux attributs qui correspondent à ce que tu passes, plutôt que de tout rapatrier pour filtrer ensuite.

• Value : la valeur cherchée, une adresse du type 127.0.0.1 par exemple.
• Tags : une liste de tags séparés par des virgules.
• Category : limite la recherche à une catégorie.
• Use JSON to Specify Fields : activé, les champs de recherche s'écrivent en JSON au lieu du formulaire.

Modifier un attribut existant passe par cette opération, qui laisse intacts les champs que tu ne remplis pas.

• Attribute ID : l'identifiant de l'attribut à mettre à jour.
• Distribution : champ de mise à jour pour qui pourra voir cet événement une fois publié.
• Sharing Group Name or ID : utile uniquement quand Sharing Group est la valeur retenue dans Distribution, à prendre dans la liste ou à passer en expression.

Tout événement MISP commence quelque part, et cette opération en ouvre un sous l'organisation que tu désignes.

• Organization Name or ID : choisi dans la liste, ou passé en expression quand la valeur vient d'un nœud précédent.
• Information : la description de l'événement, jusqu'à 65535 caractères.
• Threat Level ID : High, Medium, Low ou Undefined.
• Analysis : le niveau de maturité de l'analyse, Initial, Ongoing ou Complete.

Supprimer un événement le retire de l'instance, et les attributs qui y étaient rattachés partent avec lui.

• Event ID : l'UUID ou l'identifiant numérique de l'événement.

Relire un événement par son identifiant donne à la suite du workflow l'enregistrement complet sur lequel travailler.

• Event ID : l'UUID ou l'identifiant numérique de l'événement, les deux formes sont acceptées.

Lecture en masse : MISP renvoie les événements et n8n transforme chacun en item distinct.

• Return All : coché, n8n suit les pages jusqu'à récupérer toute la liste ; décoché, il s'interrompt avant.
• Limit : le plafond d'événements rapportés tant que Return All reste décoché.

La publication fait passer l'événement en état publié, le moment à partir duquel son réglage de distribution décide qui le voit.

• Event ID : l'UUID ou l'identifiant numérique de l'événement à publier.

Filtrer à la source allège l'exécution : MISP ne renvoie que les événements conformes aux critères posés.

• Value : la valeur cherchée, 127.0.0.1 par exemple.
• Published : un filtre booléen sur l'état publié.
• Search All : cherche dans les noms de tags, les descriptions d'événements, les valeurs d'attributs ou les commentaires d'attributs.
• Deleted : un booléen qui fait entrer les enregistrements supprimés dans le périmètre.

Le mouvement inverse : l'événement quitte l'état publié et redevient un enregistrement interne.

• Event ID : l'UUID ou l'identifiant numérique de l'événement.

Corriger un événement après coup se fait ici, champ par champ, sans toucher à ce que tu laisses vide.

• Event ID : l'UUID ou l'identifiant numérique de l'événement à modifier.
• Information : la description, jusqu'à 65535 caractères.
• Analysis : Initial, Ongoing ou Complete.
• Distribution : qui pourra voir cet événement une fois publié.

Les tags rendent les événements retrouvables plus tard, et cet appel en pose un sur un événement existant.

• Event ID : l'UUID ou l'identifiant numérique de l'événement qui reçoit le tag.
• Tag Name or ID : pris dans la liste, ou passé en expression quand le tag dépend de l'item entrant.

Détacher un tag laisse l'événement intact, seul le lien entre les deux disparaît.

• Event ID : l'UUID ou l'identifiant numérique de l'événement.
• Tag Name or ID : le tag à détacher, depuis la liste ou en expression.

Un flux s'enregistre dans MISP avec un nom, un fournisseur et une URL, et cette opération écrit cet enregistrement.

• Name : texte requis.
• Provider : texte requis.
• URL : requise, sous la forme https://example.com.
• Rules : champ additionnel qui porte les règles de filtrage du flux.

Couper un flux tient en un appel, et son enregistrement reste en place pour plus tard.

• Feed ID : l'UUID ou l'identifiant numérique du flux.

Rallumer un flux prend la même forme, avec l'identifiant pour seule information à fournir.

• Feed ID : l'UUID ou l'identifiant numérique du flux à activer.

Un flux, lu par son identifiant, dont l'enregistrement part vers le nœud suivant.

• Feed ID : l'UUID ou l'identifiant numérique du flux.

L'inventaire complet des flux revient ici, un item n8n par flux.

• Return All : coché, tous les flux sont récupérés page après page ; décoché, l'exécution s'arrête à Limit.
• Limit : le nombre maximal de flux rapportés tant que Return All reste décoché.

Changer un enregistrement sans le supprimer, voilà ce que fait cette opération.

• Feed ID : l'identifiant du flux à mettre à jour.
• URL : l'adresse vers laquelle pointe le flux.
• Provider : le fournisseur enregistré pour ce flux.
• Rules : les règles de filtrage du flux.

Un identifiant suffit pour supprimer une galaxie de l'instance MISP visée par le credential.

• Galaxy ID : l'UUID ou l'identifiant numérique de la galaxie à supprimer. Quand la valeur vient d'un nœud précédent, on la récupère avec une expression, la syntaxe n8n qui lit un champ de l'item entrant, sous la forme {{ $json.field }}.

Cette opération ramène une galaxie et une seule, celle dont tu donnes l'identifiant. Le workflow n'a donc rien à parcourir pour la retrouver.

• Galaxy ID : l'UUID ou l'identifiant numérique de la galaxie à lire.

Lister les galaxies donne au workflow l'inventaire que porte l'instance, la base de tout filtrage ou de toute comparaison ensuite.

• Return All : activé, n8n enchaîne les pages de l'API jusqu'à la dernière galaxie ; désactivé, le nœud s'arrête à Limit.
• Limit : le nombre maximal de galaxies renvoyées tant que Return All reste désactivé.

Donne le numéro d'une noticelist et le nœud la renvoie seule, sans toucher au reste du catalogue. La sortie reste courte, ce qui aide quand il faut relire une exécution.

• Noticelist ID : l'identifiant numérique de la noticelist à récupérer, écrit en dur si le workflow lit toujours la même, ou repris de l'item entrant avec une expression du type {{ $json.field }}.

Le catalogue complet des noticelists tient dans une seule exécution, un item par noticelist.

• Return All : coché, le nœud parcourt les pages de l'API jusqu'au bout ; décoché, il ne rend que ce que Limit autorise.
• Limit : plafonne le nombre de noticelists renvoyées.

La recherche d'objets part d'une valeur : le nœud l'envoie à MISP et renvoie les objets qui correspondent.

• Value : requis, la valeur recherchée, une adresse IP comme 127.0.0.1 dans l'exemple affiché par le champ.
• Tags : une liste de tags séparés par des virgules, au format tag1,tag2.
• Search All : élargit la recherche aux noms de tags, aux descriptions d'événements, aux valeurs d'attributs et aux commentaires d'attributs.

Créer une organisation ajoute une fiche dans MISP, sous le nom envoyé par le nœud.

• Name : requis, le nom de l'organisation, seule valeur indispensable à l'opération.
• Additional Fields : le bloc optionnel qui transporte Description, Sector, Nationality, Type, Created by Email et User Count dans le même appel.

Quand une organisation n'a plus sa place sur l'instance, un appel retire sa fiche. Le nœud ne demande aucune confirmation : le garde-fou se met dans le workflow, pas dans MISP.

• Organisation ID : l'UUID ou l'identifiant numérique de l'organisation à retirer. D'où l'intérêt d'une lecture juste avant, pour vérifier que c'est bien la bonne fiche qui part.

Ici, le nœud renvoie la fiche d'organisation qui correspond à l'identifiant fourni, rien de plus. Une seule organisation en sortie, donc un item à traiter par exécution.

• Organisation ID : l'UUID ou l'identifiant numérique de l'organisation à lire, souvent mappé depuis le nœud précédent avec une expression comme {{ $json.field }}.

L'annuaire des organisations connues de l'instance ressort ici, une organisation par item, prêt à être filtré par les nœuds suivants.

• Return All : actif, n8n enchaîne les pages de l'API jusqu'à la dernière organisation ; inactif, Limit décide du nombre rendu.
• Limit : le plafond d'organisations renvoyées, utile pour tester le workflow sur un échantillon avant de le lancer en entier.

Modifier une organisation existante, c'est la désigner par son ID puis lister ce qui change dans le bloc Update Fields.

• Organisation ID : requis, l'identifiant de l'organisation à mettre à jour.
• Update Fields : le bloc qui porte Name, Description, Sector, Nationality et Type.

Un tag se crée à partir d'un nom, et le nœud lui donne sa couleur dans le même appel.

• Name : requis, le nom du tag.
• Color : un code couleur hexadécimal pour le tag, dans Additional Fields.

Un tag qui ne sert plus se retire de l'instance par son numéro, et le nœud ne traite qu'un tag par item entrant.

• Tag ID : requis, l'identifiant numérique du tag à supprimer, souvent repris d'un nœud précédent via une expression, c'est-à-dire un champ de l'item entrant appelé sous la forme {{ $json.field }}.

Tous les tags définis sur l'instance reviennent par cette opération, la liste dont part la plupart des traitements de tags.

• Return All : activé, le nœud passe les pages de l'API jusqu'au dernier tag ; désactivé, Limit fixe la coupure.
• Limit : le nombre maximal de tags dans la sortie.

Renommer un tag ou changer sa couleur passe par cette opération, le tag étant désigné par son ID.

• Tag ID : requis, l'identifiant du tag à mettre à jour.
• Update Fields : porte Name et Color, le code couleur hexadécimal du tag.

Deux valeurs suffisent pour ouvrir un compte : une adresse et un rôle. Le nœud crée l'utilisateur avec ça.

• Email : requis, l'adresse du compte, au format name@email.com proposé par le champ.
• Role ID : requis, les identifiants de rôle se trouvent dans le tableau de bord MISP, à /roles/index.
• Organization Name or ID : à choisir dans la liste chargée par le nœud, ou à fournir sous forme d'identifiant via une expression.

Le départ d'un collaborateur se termine ici : le nœud supprime l'utilisateur dont il reçoit le numéro, puis le workflow continue sur l'étape suivante.

• User ID : requis, l'identifiant numérique de l'utilisateur à supprimer. Laissé vide, il bloque l'exécution du nœud, comme tout champ marqué requis.

Une fiche utilisateur, appelée par son numéro, arrive en sortie de cette opération. Un compte par exécution, donc une boucle dès qu'il y en a plusieurs à contrôler.

• User ID : requis, l'identifiant numérique de l'utilisateur à lire, en dur dans le champ ou renseigné par le nœud qui précède via {{ $json.field }}.

Cette opération balaie l'annuaire des comptes de l'instance et renvoie ceux qu'elle trouve.

• Return All : actif, toutes les pages d'utilisateurs sont récupérées ; inactif, Limit plafonne le nombre de comptes rendus.
• Limit : le nombre maximal d'utilisateurs par exécution.

Les changements sur un compte existant passent par Update Fields, le compte étant désigné par son ID.

• User ID : requis, l'identifiant de l'utilisateur à mettre à jour.
• Update Fields : porte Email, GPG Key, Inviter Name or ID et Organization Name or ID.

Les warninglists se lisent ici une par une, par leur numéro. La charge renvoyée reste légère quand une seule warninglist intéresse l'exécution.

• Warninglist ID : requis, l'identifiant numérique de la warninglist. Si le numéro sort d'une étape précédente au lieu d'être saisi, une expression {{ $json.field }} le transporte.

Toutes les warninglists portées par l'instance ressortent en une exécution, sans avoir à les demander une par une.

• Return All : activé, n8n demande page après page jusqu'à la fin du catalogue ; désactivé, Limit raccourcit la sortie.
• Limit : le nombre maximal de warninglists renvoyées quand Return All reste éteint.