Din säkerhetsinkorg blir snabbt överbelastad. CVE-sammanställningar, IOC-droppar, leverantörsbulletiner, threat intel-bloggar. Du skummar, du flaggar, du lovar att du ska “återkomma”, och sedan slinker något viktigt igenom.
SOC-analytiker känner av det under hektiska pass. Ett litet IT-team känner av det när “säkerhet” är en hatt man delar på. Och om du är konsult med flera kunder kan automatisering av Gmail Sheets alerts göra att du inte missar den enda varningen som faktiskt spelar roll.
Det här arbetsflödet hämtar CVE- och IOC-flöden, poängsätter dem med AI och skickar sedan bara åtgärdbara varningar till Gmail, samtidigt som allt loggas till Google Sheets. Du får lära dig vad det gör, vad du behöver och hur du ska tänka kring anpassning.
Så här fungerar automatiseringen
Här är hela arbetsflödet som du kommer att sätta upp:
n8n Workflow Template: Gmail + Google Sheets: åtgärdsbara CVE-larm
flowchart LR
subgraph sg0["⏰ Cron – Daily Flow"]
direction LR
n0@{ icon: "mdi:play-circle", form: "rounded", label: "⏰ Cron – Daily Trigger", pos: "b", h: 48 }
n1["<div style='background:#f5f5f5;padding:10px;border-radius:8px;display:inline-block;border:1px solid #e0e0e0'><img src='https://flowpast.com/wp-content/uploads/n8n-workflow-icons/httprequest.dark.svg' width='40' height='40' /></div><br/>🌐 Get CVE Feed"]
n2["<div style='background:#f5f5f5;padding:10px;border-radius:8px;display:inline-block;border:1px solid #e0e0e0'><img src='https://flowpast.com/wp-content/uploads/n8n-workflow-icons/httprequest.dark.svg' width='40' height='40' /></div><br/>🛡️ Get IOC Feed"]
n3["<div style='background:#f5f5f5;padding:10px;border-radius:8px;display:inline-block;border:1px solid #e0e0e0'><img src='https://flowpast.com/wp-content/uploads/n8n-workflow-icons/merge.svg' width='40' height='40' /></div><br/>🧠 Merge Threat Data"]
n4["<div style='background:#f5f5f5;padding:10px;border-radius:8px;display:inline-block;border:1px solid #e0e0e0'><img src='https://flowpast.com/wp-content/uploads/n8n-workflow-icons/code.svg' width='40' height='40' /></div><br/>🧠Combine Threat Data"]
n5["<div style='background:#f5f5f5;padding:10px;border-radius:8px;display:inline-block;border:1px solid #e0e0e0'><img src='https://flowpast.com/wp-content/uploads/n8n-workflow-icons/code.svg' width='40' height='40' /></div><br/>🧠 AI – Risk Evaluation"]
n6["<div style='background:#f5f5f5;padding:10px;border-radius:8px;display:inline-block;border:1px solid #e0e0e0'><img src='https://flowpast.com/wp-content/uploads/n8n-workflow-icons/code.svg' width='40' height='40' /></div><br/>🧠 AI – Triage Vulnerabilities"]
n7@{ icon: "mdi:swap-horizontal", form: "rounded", label: "🚨 ALERT – LEV Trigger", pos: "b", h: 48 }
n8@{ icon: "mdi:message-outline", form: "rounded", label: "📧 Send Alert Email", pos: "b", h: 48 }
n9@{ icon: "mdi:database", form: "rounded", label: "Google Sheets", pos: "b", h: 48 }
n10["<div style='background:#f5f5f5;padding:10px;border-radius:8px;display:inline-block;border:1px solid #e0e0e0'><img src='https://flowpast.com/wp-content/uploads/n8n-workflow-icons/code.svg' width='40' height='40' /></div><br/>🧠 AI – Incident Playbook Sel.."]
n11["<div style='background:#f5f5f5;padding:10px;border-radius:8px;display:inline-block;border:1px solid #e0e0e0'><img src='https://flowpast.com/wp-content/uploads/n8n-workflow-icons/code.svg' width='40' height='40' /></div><br/>Code"]
n12@{ icon: "mdi:swap-horizontal", form: "rounded", label: "🧭 Response Router", pos: "b", h: 48 }
n13@{ icon: "mdi:message-outline", form: "rounded", label: "Send Alert Email", pos: "b", h: 48 }
n14@{ icon: "mdi:database", form: "rounded", label: "Log to Google Sheet", pos: "b", h: 48 }
n15["<div style='background:#f5f5f5;padding:10px;border-radius:8px;display:inline-block;border:1px solid #e0e0e0'><img src='https://flowpast.com/wp-content/uploads/n8n-workflow-icons/httprequest.dark.svg' width='40' height='40' /></div><br/>HTTP Request"]
n16@{ icon: "mdi:swap-vertical", form: "rounded", label: "Split Out", pos: "b", h: 48 }
n11 --> n12
n16 --> n10
n1 --> n3
n2 --> n3
n12 --> n13
n12 --> n14
n12 --> n15
n3 --> n4
n4 --> n5
n0 --> n1
n0 --> n2
n7 --> n8
n7 --> n9
n5 --> n6
n5 --> n16
n6 --> n7
n10 --> n11
end
%% Styling
classDef trigger fill:#e8f5e9,stroke:#388e3c,stroke-width:2px
classDef ai fill:#e3f2fd,stroke:#1976d2,stroke-width:2px
classDef aiModel fill:#e8eaf6,stroke:#3f51b5,stroke-width:2px
classDef decision fill:#fff8e1,stroke:#f9a825,stroke-width:2px
classDef database fill:#fce4ec,stroke:#c2185b,stroke-width:2px
classDef api fill:#fff3e0,stroke:#e65100,stroke-width:2px
classDef code fill:#f3e5f5,stroke:#7b1fa2,stroke-width:2px
classDef disabled stroke-dasharray: 5 5,opacity: 0.5
class n0 trigger
class n7,n12 decision
class n9,n14 database
class n1,n2,n15 api
class n4,n5,n6,n10,n11 code
classDef customIcon fill:none,stroke:none
class n1,n2,n3,n4,n5,n6,n10,n11,n15 customIcon
Varför det här spelar roll: CVE-varningar som aldrig blir till åtgärder
De flesta CVE- och IOC-flöden är användbara, men de är inte särskilt hänsynsfulla. De kommer vid sämsta möjliga tidpunkt, de upprepar sig och de talar sällan om vad du ska göra härnäst. Så arbetet blir manuell triage: öppna länkar, rimlighetskolla allvarlighetsgrad, leta efter “är det här relevant för oss?”, och sedan kopiera detaljerna någonstans för senare. Senare blir aldrig. Under tiden tappar teamet förtroendet för inkorgen eftersom den är full av brus, vilket gör att riktiga problem ignoreras tillsammans med skräpet. Det är ärligt talat den farliga delen.
Friktionen byggs på. Här är var det faller isär i den dagliga driften.
- Du slutar med att läsa samma CVE-detaljer i tre olika källor eftersom det inte finns någon “aktuell” samlad post.
- Viktigt sammanhang (påverkad produkt, känd exploatering, rekommenderad åtgärd) tappas bort när varningar fastnar i Gmail-trådar.
- Manuell poängsättning är långsam, så objekt med hög allvarlighetsgrad kan ligga i timmar innan någon skickar dem vidare.
- När ledningen frågar “vad gjorde vi åt förra veckans topp?”, sitter du och pusslar ihop en revisionskedja från bokmärken och skickade mejl.
Det du bygger: AI-triagerad CVE + IOC-ingest som mejlar och loggar
Det här n8n-arbetsflödet körs dagligen och hämtar threat intel från publika CVE- och IOC-flöden via HTTP-förfrågningar. Det slår ihop dessa indata, rensar och konsoliderar fälten så att du slipper hantera format som inte matchar, och applicerar sedan riskpoängsättning och triagelogik. Därefter utvärderar ett OpenAI-drivet steg allvarlighetsgrad och föreslår en rimlig åtgärd utifrån den information som finns. Sedan kontrollerar en gate om objektet är tillräckligt allvarligt för att meddela direkt. Åtgärdbara objekt skickas till e-post, och allt (både varningar och lägre prioriterade poster) skrivs till Google Sheets så att du har en korrekt formaterad logg över vad som kom in och vad arbetsflödet beslutade.
Arbetsflödet startar med dagens kickoff, hämtar CVE- och IOC-strömmar parallellt och slår sedan ihop och poängsätter dem. Därefter styr playbook-valet resultatet: notifiera (e-post), logga (Sheets) eller ta ett extra steg som att anropa ett externt API när du vill ha berikning eller kopplingar för inneslutning.
Det du bygger
| Det som automatiseras | Det du uppnår |
|---|---|
|
|
Förväntade resultat
Säg att dina flöden plockar fram cirka 20 objekt per dag och att du normalt lägger kanske 5 minuter på varje för att skumma, poängsätta och klistra in anteckningar i en spårare. Det blir ungefär 100 minuter per dag. Med det här arbetsflödet tittar du snabbt på Gmail-varningarna som gick igenom allvarlighetsgaten (ofta närmare 5 objekt) och använder sedan Google-arket som din arbetskö. Räkna med 20 minuter per dag för att granska och tilldela uppföljningar, medan arket behåller resten som “övervaka”-historik.
Innan du börjar
- n8n-instans (prova n8n Cloud gratis)
- Alternativ för egen hosting om du föredrar det (Hostinger fungerar bra)
- Gmail för att skicka och ta emot varningsmeddelanden.
- Google Sheets för att behålla en revisionsvänlig logg.
- OpenAI API-nyckel (hämta den i instrumentpanelen för ditt OpenAI-konto).
Kunskapsnivå: Medel. Du kommer att koppla konton, klistra in en API-nyckel och uppdatera ett sheet-ID, plus några arbetsflödesinställningar.
Vill du att någon bygger detta åt dig? Prata med en automationsexpert (gratis 15-minuters konsultation).
Steg för steg
Ett dagligt schema drar igång. Arbetsflödet startar med en schematrigger (du kan behålla det dagligen eller justera efter din miljös takt). När den triggar hämtar den färsk data direkt.
Hotflöden hämtas och slås ihop. Två HTTP-förfrågningar hämtar ett CVE-flöde och ett IOC-flöde. Ett merge-steg kombinerar dem, och sedan konsoliderar arbetsflödet fält så att du inte jämför äpplen och päron mellan källor.
Riskpoängsättning och triage sker automatiskt. Flera logiksteg poängsätter allvarlighetsgrad och formar objektet till något en människa kan agera på. OpenAI lägger sedan till ett rekommendationslager, vilket är användbart när råflödet saknar tydlig “vad gör vi nu?”-vägledning.
Varningar skickas till rätt plats. En allvarlighets-gate avgör om ett mejl ska skickas direkt, och loggning i Google Sheets fångar både “notifiera”- och “övervaka”-utfall. En respons-router kan också anropa ett externt API när du vill ha berikning eller nedströms åtgärder.
Du kan enkelt ändra tröskeln för allvarlighetsgrad så att den matchar din riskaptit, eller byta ut destinationen från e-post till Slack eller ServiceNow efter behov. Se den fullständiga implementationsguiden nedan för anpassningsalternativ.
Steg-för-steg-guide för implementering
Steg 1: Konfigurera schematriggern
Konfigurera arbetsflödet så att det startar dagligen med hjälp av schematriggern.
- Lägg till noden ⏲️ Daily Schedule Kickoff som din trigger.
- Bekräfta att schemainställningarna i ⏲️ Daily Schedule Kickoff matchar önskad daglig körtid.
- Säkerställ att ⏲️ Daily Schedule Kickoff skickar utdata till både 🌐 Fetch CVE Stream och 🛡️ Retrieve IOC Stream parallellt.
Steg 2: Anslut hotinformationskällor
Hämta dagliga CVE- och IOC-strömmar och slå ihop dem till ett enhetligt flöde.
- Konfigurera 🌐 Fetch CVE Stream med endpointen för er CVE-feed.
- Konfigurera 🛡️ Retrieve IOC Stream med endpointen för er IOC-feed.
- Anslut både 🌐 Fetch CVE Stream och 🛡️ Retrieve IOC Stream till 🧠 Merge Threat Inputs.
- Verifiera att 🧠 Merge Threat Inputs är ansluten till 🧠 Consolidate Threat Logic.
Steg 3: Sätt upp bearbetningslogik
Normalisera, poängsätt och triagera hot med hjälp av den kodbaserade bearbetningskedjan.
- I 🧠 Consolidate Threat Logic, lägg till logik för att normalisera sammanslagen hotdata.
- I 🧠 Risk Scoring Logic, implementera poängsättningsregler för hotprioritering.
- Bekräfta att 🧠 Risk Scoring Logic skickar utdata till både 🧠 Vulnerability Triage och Split Items Out parallellt.
- I 🧠 Vulnerability Triage, lägg till triageregler som avgör allvarlighetsutfall.
- Säkerställ att 🧠 Vulnerability Triage ansluter till 🚨 Severity Gate Check.
Steg 4: Konfigurera AI-baserat val av playbook och routning
Dela upp objekt för val av playbook och routa sedan åtgärder baserat på er anpassade logik.
- Anslut Split Items Out till 🧠 Playbook Selector AI för val av playbook per objekt.
- Implementera urvalslogik i 🧠 Playbook Selector AI.
- Konfigurera anpassade transformationer eller berikning i Custom Script Step.
- Säkerställ att Custom Script Step skickar utdata till 🧭 Route Response Path.
- I 🧭 Route Response Path, definiera switch-regler för att styra utdata till Email Alert Sender, Sheet Record Logger eller External API Call.
Steg 5: Konfigurera utdata för avisering och loggning
Skicka aviseringar och logga poster baserat på allvarlighetsgrad och routningsutfall.
- I 🚨 Severity Gate Check, konfigurera villkoren som avgör när aviseringar skickas.
- Verifiera att 🚨 Severity Gate Check skickar utdata till både 📧 Dispatch Alert Email och Update Sheet Log parallellt.
- Konfigurera 📧 Dispatch Alert Email med rätt avsändare, mottagare och meddelandetext.
- Konfigurera Update Sheet Log så att den triagerade posten läggs till i ert loggkalkylark.
- Konfigurera Email Alert Sender och Sheet Record Logger för routad utdata från 🧭 Route Response Path.
Credential Required: Anslut era e-postinloggningsuppgifter för 📧 Dispatch Alert Email och Email Alert Sender.
Credential Required: Anslut era Google Sheets-inloggningsuppgifter för Update Sheet Log och Sheet Record Logger.
Steg 6: Testa och aktivera ert arbetsflöde
Validera körningen från början till slut och aktivera arbetsflödet för daglig drift.
- Klicka på Execute Workflow för att köra ett manuellt test från ⏲️ Daily Schedule Kickoff.
- Bekräfta att data slås ihop korrekt i 🧠 Merge Threat Inputs och att poängsättning visas i 🧠 Risk Scoring Logic.
- Verifiera att 🚨 Severity Gate Check triggar både 📧 Dispatch Alert Email och Update Sheet Log när villkoren uppfylls.
- Kontrollera routad utdata från 🧭 Route Response Path till Email Alert Sender, Sheet Record Logger och External API Call.
- Växla arbetsflödet till Active för att aktivera daglig automatiserad körning.
Felsökningstips
- Google Sheets-uppgifter kan löpa ut eller kräva specifika behörigheter. Om något skapar fel, kontrollera först åtkomsten för det anslutna Google-kontot och delningsinställningarna för målarket.
- Om du använder Wait-noder eller extern rendering varierar behandlingstiderna. Öka väntetiden om nedströmsnoder fallerar på tomma svar.
- OpenAI-prompter är generiska som standard. Lägg till kontext om din miljö (tillgångstyper, nyckelleverantörer, “vi kör inte X”) tidigt, annars kommer du att ifrågasätta resultaten för alltid.
Snabba svar
Cirka 30 minuter om dina konton och arket är klara.
Nej. Du kopplar mest Gmail/Sheets, klistrar in din OpenAI-nyckel och väljer var loggarna ska hamna.
Ja. n8n har ett gratis alternativ för egen hosting och en gratis provperiod på n8n Cloud. Cloud-planer börjar på 20 USD/månad för högre volym. Du behöver också räkna in kostnader för OpenAI API, som vanligtvis är några cent per dag vid låg volym.
Två alternativ: n8n Cloud (hanterat, enklast att komma igång) eller egen hosting på en VPS. För egen hosting är Hostinger VPS prisvärd och hanterar n8n bra. Egen hosting ger dig obegränsade körningar men kräver grundläggande serverhantering.
Ja, och det borde du sannolikt. Vanliga justeringar är att ändra allvarlighetsgaten så att du bara mejlar vid “hög”, byta e-postdestination till en delad inkorg och justera AI-prompten så att den refererar till din stack. Om du hellre vill routa “kritisk” till en annan kanal kan du fortsätta logga till Google Sheets samtidigt som du ändrar routern som skickar till vägen för Email Alert Sender.
Oftast handlar det om utgången OAuth-behörighet eller att fel Google-konto är anslutet. Återanslut Gmail i n8n, bekräfta att den inkorg du förväntar dig är vald och kör sedan en enskild exekvering igen för att se det exakta felmeddelandet. Om det fungerar en gång och sedan misslyckas senare, kontrollera Googles säkerhetsprompter eller policyändringar på kontot.
För de flesta små team hanterar det dagliga flöden utan problem. På n8n Cloud är din praktiska gräns planens månatliga exekveringar; om du kör egen hosting beror det främst på din server och hur många objekt dina flöden returnerar. Om dina källor spikar till hundratals objekt, överväg batchning och logga allt medan du bara mejlar den handfull som går igenom allvarlighetsgaten.
Ofta, ja. Den här typen av arbetsflöde gynnas av grenlogik (allvarlighets-gates, playbook-routning, valfria externa API-anrop), och n8n hanterar det utan att göra varje beslut till en betald “task”. Du får också en riktig väg för egen hosting, vilket spelar roll om du behandlar många hotobjekt och inte vill få oväntade användningskostnader. Zapier och Make är fortfarande starka för enkla tvåstegsautomatiseringar, men de blir klumpiga när du behöver sammanslagning, filtrering och konsekvent loggning. Om du är osäker, prata med en automationsexpert så hjälper vi dig att välja den mest robusta lösningen.
Du får mer relevanta varningar, ett riktigt revisionsspår och färre “hanterade vi någonsin det där?”-ögonblick. Sätt upp det en gång och låt sedan arbetsflödet hålla koll medan du gör mer värdeskapande arbete.
Kontakta oss
Hör av dig, så diskuterar vi hur just din verksamhet kan dra nytta av alla fantastiska möjligheter som AI skapar.