每日漏洞风险摘要：CISA目录+EPSS评分+OpenAI写Slack通报

原文要点

该模板由V3nom tech发布在n8n官方模板库（工作流20388），免费，日期2026-10-04。核心事实：每天早上8点定时运行；下载CISA已知被利用漏洞（KEV）JSON目录，按用户配置的厂商/产品过滤lookbackDays回溯窗口内的新增条目；按CVE ID跨执行去重，同一CVE只告警一次；对每个剩余CVE查询FIRST的EPSS API获取被利用概率；按勒索软件活动关联和EPSS阈值计算Critical/High/Medium优先级并排序；由OpenAI把结构化CVE数据写成Slack格式的分析师摘要，发布到所选Slack频道。配置项仅techStack、lookbackDays、epssHighThreshold三处。

这次做成什么

搭好这条每日漏洞风险摘要流：从CISA KEV拉新增、按你的技术栈过滤、用EPSS打分排序、让OpenAI写成Slack通报发到频道。用两条合成CVE数据先完成一次手动演练。原模板需在n8n.io免费获取，本站不提供原工作流文件，提示词与配置为本站独立编写。

准备什么

• 可登录的n8n Cloud账号或自托管n8n实例
• OpenAI API凭据，用于摘要写作节点
• Slack凭据（Bot Token）及一个目标告警频道
• 能访问CISA KEV目录与FIRST EPSS公共API的网络环境

具体怎么做

1. 导入模板并定位三个配置项

   打开n8n.io/workflows/20388，用页面免费导入方式把模板导入实例。找到Configuration配置节点，确认只有techStack、lookbackDays、epssHighThreshold三项需要改，与作者描述一致。

2. 填入你的技术栈与阈值

   把techStack改成你环境真实使用的厂商/产品关键词数组（练习时先用下方合成配置），lookbackDays先设为7方便测试能看到数据，epssHighThreshold先设0.5。保存节点。

3. 配置OpenAI与Slack凭据

   在OpenAI Chat Model节点绑定OpenAI API凭据；在Post Digest to Slack节点绑定Slack凭据并从下拉选择目标频道（练习建议建一个#sec-test私有频道，避免打扰他人）。把下方材料中的摘要提示词粘贴到OpenAI节点的系统提示位，若原模板已有提示词先备份再对照合并。

4. 用合成数据手动演练

   为避免依赖当天KEV是否真有更新，先临时在过滤节点后接一个Code节点，输出下方材料中的两条合成CVE+EPSS数据，断开真实下载分支，手动执行一次，观察排序结果和Slack消息格式。

5. 恢复真实链路并激活

   移除临时Code节点、恢复KEV下载与EPSS查询链路，再手动执行一次确认无报错（当天无匹配新CVE时Slack可能不发消息，属正常），然后激活定时触发器。

可直接复制的材料

{
  "techStack": ["Microsoft", "Apache", "Cisco", "Ivanti"],
  "lookbackDays": 7,
  "epssHighThreshold": 0.5
}

你是安全运营分析师。输入是按优先级排序后的CVE列表，每条包含cve_id、vendor、product、vulnerability_name、due_date、epss_score、known_ransomware_use、priority（Critical/High/Medium）。
请输出一段可直接发到Slack的摘要：第一行用emoji标注最高优先级和CVE总数；随后每个CVE一行，格式为 [优先级] cve_id（厂商/产品）：一句话风险描述，EPSS=分数，勒索软件关联=是/否；最后一行给出今天建议优先处理的一个CVE及理由。
要求：只使用输入中的事实，不编造CVSS分数或补丁链接；没有CVE时只回复一行“今日无匹配新增KEV条目”。

[
  {"cve_id":"CVE-2026-1001","vendor":"Ivanti","product":"Connect Secure","vulnerability_name":"Ivanti Connect Secure Authentication Bypass","date_added":"2026-10-02","due_date":"2026-10-23","epss_score":0.71,"known_ransomware_use":"Known","priority":"Critical"},
  {"cve_id":"CVE-2026-1002","vendor":"Apache","product":"HTTP Server","vulnerability_name":"Apache HTTP Server Path Traversal","date_added":"2026-10-01","due_date":"2026-10-22","epss_score":0.34,"known_ransomware_use":"Unknown","priority":"Medium"}
]

输入与输出示例

本站虚构演示，与输入数据一一对应，未实际调用OpenAI或发到Slack。

输入

上方合成数据两条：CVE-2026-1001（Ivanti，EPSS 0.71，勒索软件关联Known，Critical）与CVE-2026-1002（Apache，EPSS 0.34，Medium），lookbackDays=7、阈值0.5。

对应输出

🔴 今日KEV告警：2条新增，最高优先级Critical
[Critical] CVE-2026-1001（Ivanti/Connect Secure）：认证绕过漏洞，EPSS=0.71，勒索软件关联=是
[Medium] CVE-2026-1002（Apache/HTTP Server）：路径遍历漏洞，EPSS=0.34，勒索软件关联=否
建议今日优先处理CVE-2026-1001：EPSS超过阈值0.5且已被勒索软件活动利用。

做完检查这些

• Configuration节点只改techStack、lookbackDays、epssHighThreshold三处即可运行
• 合成数据中EPSS 0.71的CVE排在0.34之前且优先级标注为Critical
• 连续两次执行同一批数据时第二次不重复告警同一CVE
• Slack消息出现在指定测试频道且每条CVE含EPSS分数与勒索软件关联标注

容易卡住的地方

• techStack关键词与KEV的vendorProject字段拼写不一致会过滤为空，先拿一条历史KEV条目核对拼写
• 当天无匹配新增时Slack不发消息属正常，不要误判为流程失败
• 跨执行去重依赖n8n的持久化数据，自托管实例重建或清库后旧CVE可能再次告警
• EPSS分数每日更新，同一CVE分数会变，优先级可能随阈值浮动
• 免费模板需在n8n.io页面获取，本站不提供原工作流文件