Siber güvenlik sahnesinde, “insan gücü” ile “otomasyon” arasındaki çizgi giderek bulanıklaşıyor. Hem saldırganlar hem de savunma ekipleri, işleri hızlandırmak, insan hatalarını azaltmak, ölçeklenebilir sistemler kurmak için otomasyon araçlarına yöneliyor. n8n de bu araçlar arasında öne çıkıyor: Esnek yapısıyla hem kötü niyetli senaryolarda hem de koruma tarafında kullanılabilecek bir “çeşitlenmiş araç” vazifesi görüyor.

Saldırı Tarafında n8n

1. Phishing & Veri Yakalama Akışı

Klasik phishing saldırılarında hedef kullanıcıları kandırıp bilgilerini almaya çalışırsın. Ama bunu birkaç cihaz ve birkaç mesajla yapmak uzun süreçtir. n8n ile şöyle bir akış kurgulanabilir:

1. Bir tetikleyici (örneğin belirli saatlerde çalışacak zamanlanmış node) devreye girer.
2. Hazırlanmış e-posta şablonları, hedef listesiyle birleştirilir.
3. Her e-posta içindeki zararlı link, “URL kısaltma + URL izleme” servisi üzerinden hazırlanır.
4. Kullanıcı linke tıkladığında, webhook node’una gelinir. Elde edilen veriler (form girdisi, IP, user-agent) yakalanır.
5. Bu veriler API çağrısıyla analiz edilir (örneğin VirusTotal / güvenilirlik kontrolü).
6. Sonuç başarılıysa, otomatik başka adım tetiklenir (örneğin komut gönderme, hedef sisteme post isteği vb.).

2. Keşif + Zafiyet Taraması Otomasyonu

Düşünün bir saldırgan büyük bir işletmeyi hedef alıyor. Ama onlarca subdomain, onlarca IP… Bunları tek tek elle taramak çok zaman ister. İşte burada n8n:

• Domain listesi alınır (OpenAPI, DNS kayıtları, subdomain enumeration servisleri).
• Her domain için çözümleme yapılır, IP adresleri çıkarılır.
• IP’lere HTTP / port taraması (örneğin 80, 443, 8080 gibi yaygın portlar) yapılır.
• Bulunan servislere tanınmış zafiyet kontrol API’leri (örneğin exploit DB, CVE bazlı) çağrılır.
• Zafiyetli sistemler filtrelenir, rapor halinde toplanır.
• Hedef syslog ya da C2 altyapısına gönderilir.

Bu senaryo, özellikle “red team” faaliyetlerinde ideal hale gelir. Otomasyon sayesinde geniş yüzeyli taramaları hızlıca yapmak mümkün olur.

Savunma Tarafında n8n

Ama saldırı tarafı kadar ilginç olan, savunma tarafında n8n’in nasıl kullanılabileceği. Çünkü otomasyon savunucuların iş yükünü hafifletir, analistleri yoğunluktan kurtarır.

1. Security Onion ile Tehdit İstihbarat Otomasyonu

İtalya merkezli danışmanlık firması, Security Onion adlı açık kaynak SOC platformuyla birlikte n8n’i entegre etmiş durumda. Ama ne yapıyorlar?

• Gelen uyarılar Security Onion’dan alınıyor (IP’ler, domain’ler, hash değerleri).
• Her bir değer için reputasyon kontrolü yapılıyor (IP reputasyonu, domain geçmişi, hash analizi)
• Elde edilen bilgiler normalize ediliyor ve analistlere özet raporlarla birlikte sunuluyor.
• Böylece, analistlerin her alarm için sıfırdan (IP’ye bak → CVE’ye bak → geçmişe bak) gitmesini engelliyorlar.

2. NixGuard Triage Workflow

n8n topluluğunda yer alan bir workflow: “Automate Security Alert Triage with NixGuard AI and Route to Slack or Jira”

Bu akış şöyle işliyor:

1. n8n, SIEM / Wazuh gibi güvenlik aracından gelen ham uyarıları (alerts) toplar.
2. AI katmanı (NixGuard) bu uyarıları analiz eder, önem derecesi atar (Critical, High, Info gibi).
3. Bu derecelendirmeye göre Slack kanalı, Jira bileti gibi uygun yere yönlendirir.
4. Böylece analistlerin eline sadece önemli ve öne çıkan olaylar gelir; gürültü azalır, odak artar.

Bu senaryo, “insan + otomasyon” birleşiminde savunmanın geleceğine dair örnek bir ufuk çiziyor.

Peki siz ne düşünüyorsunuz?
n8n gibi açık kaynak otomasyon araçlarının siber güvenlikte hem kalkan hem kılıç olarak kullanılabilmesi sizce sektörü nasıl etkiler? Böyle bir aracın sağladığı hız ve ölçek, savunmayı mı güçlendirir yoksa saldırıları mı daha tehlikeli hâle getirir?