Automatyzacja reakcji na incydenty bezpieczeństwa (SOAR, security orchestration, automation and response) skraca czas od wykrycia zagrożenia do działania. Alert z systemu bezpieczeństwa, np. SIEM, EDR czy filtra poczty, uruchamia workflow, który zbiera kontekst (kto, jaki komputer, jaki adres IP, czy znany jako złośliwy), zakłada zgłoszenie, powiadamia dyżurnego i, jeśli procedura na to pozwala, wykonuje pierwsze kroki: blokuje konto, izoluje urządzenie albo usuwa wiadomość phishingową ze skrzynek. W mniejszych firmach taką rolę pełni n8n zamiast drogiej platformy SOAR.
Przykładowe scenariusze
| Incydent | Automatyczna reakcja | Decyzja człowieka |
|---|---|---|
| Zgłoszony phishing | Sprawdzenie linków i nadawcy w bazach reputacji, wyszukanie podobnych maili | Usunięcie ze wszystkich skrzynek |
| Logowanie z nietypowego kraju | Kontekst konta, powiadomienie użytkownika i zespołu | Blokada konta i reset hasła |
| Alert EDR | Zgłoszenie z detalami, powiadomienie dyżurnego | Izolacja urządzenia |
| Wyciek sekretu w repozytorium | Alert do właściciela, zadanie rotacji klucza | Rotacja i analiza dostępu |
Jak zbudować reakcję w n8n
- Webhook lub integracja odbiera alert z systemu bezpieczeństwa.
- Wzbogacenie: zapytania do katalogu użytkowników, bazy urządzeń i usług reputacji.
- Ocena wagi według reguł, opcjonalnie z podsumowaniem AI.
- Zgłoszenie w helpdesku lub systemie incydentów i powiadomienie dyżurnego.
- Akcje zatwierdzane przyciskiem (np. w Slacku lub Teams) i pełny log działań.
Zasady
- akcje nieodwracalne lub blokujące pracę wymagają akceptacji człowieka,
- playbook spisany na papierze przed automatyzacją,
- osobne konta serwisowe o minimalnych uprawnieniach,
- regularne testy scenariuszy, np. ćwiczenia phishingowe.
Bezpieczeństwo samej platformy opisaliśmy w artykule bezpieczeństwo n8n, a procesy IT w tekście automatyzacja ITOps.
Automatyzacja bezpieczeństwa z Codeless
Zobacz usługę automatyzacji procesów albo umów bezpłatną konsultację.