企业官网建设流程全解析

n8n-CyberSecurity-Workflows 是一个面向安全工程师的 n8n 安全自动化蓝图库，收录了 100+ 覆盖红队、蓝队（SOC/DFIR/威胁情报）与应用安全的可运行工作流思路。本文将带你基于其中的Impossible Travel Detector（不可能旅行检测器）和Beaconing Periodicity Detector（信标周期性检测器）两份蓝图，在 n8n 中构建两套进阶的威胁检测自动化工作流，帮助你快速把"账户被盗用"和"C2 信标回连"这两类高危行为的检测能力落地。

为什么需要这两类检测自动化

在真实攻击中，有两类信号几乎不会说谎：

传统 SOC 靠分析师翻 SIEM 日志排查这两类行为，响应慢、漏报多。而 n8n 可以把拉取日志 → 关联分析 → 阈值判定 → 告警通知 → 工单流转整条链路串成自动化流水线，7×24 小时不间断运行。

n8n-CyberSecurity-Workflows 仓库的 README.md 中，蓝队部分（Blue Team / SOC / DFIR）共收录了 35 个检测类工作流蓝图，完整目录见 Index 章节。

构建不可能旅行检测工作流

蓝图解读：从 Okta / Azure AD 登录日志入手

仓库给出的 Impossible Travel Detector 蓝图 结构非常清晰：

• 目的（Purpose）：发现身份提供方（IdP）登录日志中的地理位置异常
• 集成（Integrations）：Okta / Azure AD、GeoIP、Slack / Jira
• 流程（Flow）：拉取事件 → 按用户排序 → 速度计算（Velocity calc）→ 告警

核心逻辑就是一句话：如果同一用户在时间上不可能完成的距离内完成了两次登录（例如 10 分钟前在北京、10 分钟后在纽约），就触发告警。

在 n8n 中落地：节点搭建步骤

参考仓库 Import & Build Tips 章节 给出的节点选型建议，推荐搭建顺序如下：

1. Cron 节点：定时（如每 5 分钟）触发工作流，周期性拉取登录事件。
2. HTTP Request 节点：调用 Okta 或 Microsoft Graph API 拉取最近的登录日志。仓库建议 API 类调用优先使用 HTTP Request 节点，凭证统一放入 n8n 的 Credentials 管理，切勿在 Function 节点中硬编码密钥。
3. Function / Code 节点（按用户分组）：将事件按userId分组排序，对相邻两次登录做 GeoIP 解析，计算距离 ÷ 时间差得到的隐含速度。
4. IF 节点（速度判定）：设置阈值，例如隐含速度超过 800 km/h（接近民航客机速度）即判定为异常。
5. Slack / Jira 节点：将告警推送到 SOC 频道，或按事件自动创建 Jira 工单。

💡降噪小技巧：在阈值判定前加入"是否同设备指纹 / 同 IP"的白名单分支（IF/Switch 节点），可有效过滤机场漫游、跨时区出差等误报。

构建信标行为检测工作流

蓝图解读：用"心跳"抓 C2

Beaconing Periodicity Detector 蓝图 是仓库中最"硬核"的检测思路之一：

• 目的（Purpose）：识别类似 C2 的固定间隔回连行为
• 集成（Integrations）：Proxy / NetFlow 流量日志、Function/Code 节点做 FFT 周期性分析
• 流程（Flow）：拉取流量 → 计算周期图（periodogram）→ 输出可疑候选 → 告警

恶意软件的 C2 通信（如 Cobalt Strike 默认行为）通常以固定间隔（如每 60 秒）向 C2 服务器发送心跳，这在流量层面表现为一条"节拍极其稳定的曲线"。正常业务流量是杂乱的，而信标流量是规律的——用傅里叶变换（FFT）把时域信号转成频域，周期性会变成一个醒目的峰值，这就是"周期图"。

在 n8n 中落地：关键节点说明

1. Cron 节点：每日（或每 N 小时）调度，保证只分析完整时间窗口的流量。
2. HTTP Request 节点：从 Proxy 日志库或 NetFlow 采集接口拉取流量记录（源 IP、目的 IP、时间戳、字节数）。
3. Function / Code 节点（核心计算）：按源IP → 目的IP会话对聚合，将每次回连的时间间隔序列做周期性分析（自相关函数或 FFT 均可），输出"周期强度分"与"主周期值"。
4. IF 节点（候选过滤）：例如间隔标准差极小、周期落在 5s–10min 常见 C2 区间，则标记为候选信标。
5. 威胁情报交叉验证：再调一次 HTTP Request，把目的 IP/域名丢给 VirusTotal、AbuseIPDB、Shodan 等 参考集成清单 中的服务做富化（enrichment），命中恶意情报直接升级告警级别。
6. Slack / Jira 节点：输出候选列表与证据（周期值、样本流量曲线摘要），推送到 SOC 频道。

配套能力：让检测结果"有用起来"

单一检测器价值有限，配合仓库中的几个蓝队工作流可以形成闭环：

• 告警路由：SIEM → Slack Alert Router 蓝图演示了如何按严重级别轮询告警、去重后为每个事件单独建 Slack 线程，避免告警风暴淹没检测信号。
• 自动响应：SOAR Containment Buttons 蓝图让分析师在 Slack 里点一个按钮，就能通过 n8n Webhook 触发 EDR 隔离主机、防火墙封禁 IP、Okta 挂起账户等半自动处置动作。
• 同源信号补充：DNS Tunneling Heuristics 检测超长高频 DNS 查询，Okta MFA Fatigue Monitor 检测 MFA 轰炸模式，可与上面两个检测器共用同一套日志拉取与通知管道。

构建建议与最佳实践

仓库在 Import & Build Tips 章节 给出了 5 条通用构建准则，对检测类工作流同样适用：

总结

借助 n8n-CyberSecurity-Workflows 的两份蓝图，你可以在几小时内搭出两条高价值的检测自动化流水线：

1. 不可能旅行检测：登录日志 + GeoIP + 速度阈值，快速定位凭证被盗用的第一现场；
2. 信标行为检测：流量日志 + FFT 周期性分析 + 情报富化，把"沉默的 C2 心跳"变成显性告警。

再叠加告警路由与半自动响应能力，就能形成"检测 → 富化 → 通知 → 处置"的完整 SOAR 雏形。仓库中其余 100+ 工作流蓝图（Red Team、Blue Team、AppSec、Platform 四大分区）都遵循同样的"Purpose / Integrations / Flow"三段式描述，你可以按相同方法把它们逐一翻译成 n8n 节点，逐步搭建属于自己的安全自动化平台。