用 n8n 自动分类安全事件：GPT-4o-mini 分级与 Gmail 通报

Security Hub 告警 → Webhook 接收 → 字段规范化 → LLM 分级定级 → LLM 生成修复计划 → Gmail 发送事件简报

给谁

安全运营（SOC）或云运维人员，需将 AWS Security Hub 等来源的告警自动分级并通知责任人

你会得到

收到告警后自动输出含事件类型、严重等级（P0–P3）、紧急程度、3 步修复计划及责任人的 HTML 邮件简报

你需要

n8n · Gmail

步骤

1. 配置 Webhook 触发器与测试入口

   在 n8n 工作流中添加 Webhook 节点，HTTP Method 设为 POST，Path 设为 mini-triage。保存后获取 Webhook URL。使用以下 curl 发送测试载荷，确认工作流能被触发。

   搭建指导 · 来源原文。Webhook 节点旁的 Sticky Note；作为测试入口示例

   复制提示词

   📥 ENTRY 
   
   Send a POST to /mini-triage to get started!
   
   Example:
   
   curl -X POST "$YOUR_WEBHOOK_URL" \
     -H "Content-Type: application/json" \
     -d '{
       "detail": {
         "findings": [{
           "Title": "Multiple failed logins",
           "Description": "probable credential stuffing",
           "AwsAccountId": "111111111111",
           "Resources": [{ "Id": "user:[email protected]", "Type": "AwsIamUser" }]
         }]
       }
     }'

2. 规范化告警字段（Clean_Finding）

   添加 Edit Fields (Set) 节点，命名为 Clean_Finding。从 Webhook 接收的 body.detail.findings[0] 中提取并映射以下字段：Title、Description、account_id（AwsAccountId）、resource_id（Resources[0].Id）、resource_type（Resources[0].Type）、updated_at（UpdatedAt 或当前时间）。这些字段将供后续 LLM 节点使用。

3. LLM 分类定级（Classify）

   添加 OpenAI 节点，命名为 Classify，模型选择 gpt-4o-mini，temperature 0.2，开启 JSON Output。在 System Message 中粘贴以下提示词，要求模型输出严格的 JSON 格式，包含 incident_type、severity、urgency、short_title、why。

   运行提示词 · 来源原文。Classify 节点的 System Message 字段

   复制提示词

   You are the SOC Classifier. Output VALID JSON only with keys:
   {
     "incident_type": "creds|malware|network|data|cloud|other",
     "severity": "P0|P1|P2|P3",
     "urgency": "now|today|this_week",
     "short_title": "≤12 words",
     "why": "≤50 words"
   }
   Rules:
   - Prefer "cloud" if resource_type looks like cloud infra (e.g., AwsS3Bucket, SecurityGroup, IAM).
   - If title contains "public", "exposed", "leak" → data|cloud depending on resource.
   - If unclear, return "other" and P3, but try to use title/description before giving up.
   - Be conservative with P0.
   
   Examples:
   Input: {"title":"S3 bucket public READ","description":"ACL allows public READ","resource_type":"AwsS3Bucket"}
   Output: {"incident_type":"cloud","severity":"P2","urgency":"today","short_title":"Public S3 read","why":"Public READ on bucket risks data exposure."}
   
   Input: {"title":"Multiple failed logins","description":"probable credential stuffing"}
   Output: {"incident_type":"creds","severity":"P2","urgency":"today","short_title":"Credential stuffing suspected","why":"Repeated failures indicate attack; monitor & protect accounts."}

4. LLM 生成修复计划（Plan）

   添加第二个 OpenAI 节点，命名为 Plan，模型同样使用 gpt-4o-mini，temperature 0.2，开启 JSON Output。System Message 定义修复计划的 JSON 格式；User Message 通过 n8n 表达式引用 Classify 节点输出与原始 Webhook 数据，作为上下文输入。

   运行提示词 · 来源原文。Plan 节点的 System Message 字段

   复制提示词

   You are the Remediation Planner. Based on the classifier output and original finding, return VALID JSON:
   {
     "next_actions": ["step 1", "step 2", "step 3"],
     "owner_hint": "who should act first (e.g., Cloud On-Call, IAM, EDR)",
     "success_criteria": "what proves it's resolved"
   }
   Keep it to 3 atomic steps max. No speculation.

   运行提示词 · 来源原文。Plan 节点的 User Message 字段；n8n 表达式，运行时会替换为节点输出

   复制提示词

   =Classifier:
   ```json
   {{$node["Classify"].json}}
   {{$node["Webhook"].json}}

5. 发送 HTML 邮件简报（Gmail）

   添加 Gmail 节点，命名为 Send a message。配置收件人地址；Subject 与 Message 使用以下 n8n 表达式，动态拼接分类结果与修复计划。凭证选择预先配置的 gmailOAuth2。

   运行提示词 · 来源原文。Gmail 节点的 Message 字段（HTML 邮件正文）

   复制提示词

   =<h3>
     {{ $('Classify').item.json.message.content.short_title }}
     ({{ $('Classify').item.json.message.content.severity }})
   </h3>
   
   <p>
     <b>Type:</b> {{ $('Classify').item.json.message.content.incident_type }}
     &nbsp;|&nbsp;
     <b>Resource Name:</b> {{ $('Clean_Finding').item.json.resource_id }}
   </p>
   
   <p>
     <b>Account:</b> {{ $('Clean_Finding').item.json.account_id }}
   </p>
   
   <p>
     <b>Urgency:</b> {{ $('Classify').item.json.message.content.urgency }}
   </p>
   
   <p>
     <b>Why:</b> {{ $('Classify').item.json.message.content.why }}
   </p>
   
   <p><b>Next Actions</b></p>
   <ol>
     <li>{{ $json.message.content.next_actions[0] }}</li>
     <li>{{ $json.message.content.next_actions[1] }}</li>
     <li>{{ $json.message.content.next_actions[2] }}</li>
   </ol>
   
   <p>
     <b>Owner:</b> {{ $json.message.content.owner_hint }} <br/>
     <b>Success:</b> {{ $json.message.content.success_criteria }}
   </p>

   运行提示词 · 来源原文。Gmail 节点的 Subject 字段

   复制提示词

   ={{ $('Classify').item.json.message.content.short_title }}- {{ $('Clean_Finding').item.json.resource_id }} in {{ $('Clean_Finding').item.json.account_id }}

你正在根据 n8n 模板 7785 搭建一个安全事件自动分级工作流。请按以下顺序确认：1）n8n 实例已可公网访问；2）OpenAI 与 Gmail 凭证已创建；3）已导入 workflow.json 或按步骤手动搭建节点；4）先用 curl 向 /mini-triage 发送测试 JSON，确认 Webhook、Classify、Plan、Gmail 各节点输出正常后，再接入真实 Security Hub 流。