AI Class

Automasi Tanggap Phishing dengan n8n + AI: Enrichment, Triage, dan Remediasi Otomatis

· 4 menit baca

Automasi Tanggap Phishing dengan n8n + AI: Enrichment, Triage, dan Remediasi Otomatis

Phishing tetap menjadi ancaman utama bagi perusahaan dari segala ukuran. Di artikel ini, kita akan membahas langkah-langkah praktis untuk membangun workflow automasi respons phishing menggunakan n8n dan komponen AI — mulai dari ingest email hingga remediase otomatis dan human-in-the-loop review.

Mengapa Automasi Phishing itu Penting?

Serangan phishing seringkali berskala besar, cepat menyebar, dan memerlukan korelasi banyak sumber data untuk menentukan tingkat ancaman. Dengan automasi, tim security dapat:

  • Mempercepat triage sehingga ancaman berbahaya ditangani lebih cepat.
  • Mengurangi false positive lewat enrichment dan scoring otomatis.
  • Menghemat waktu tim SOC dengan tindakan remediase otomatis untuk kasus rendah risiko.

Arsitektur Tingkat Tinggi

Arsitektur umum untuk workflow phishing otomatis:

  1. Ingest: Email masuk, report phishing (user report), atau webhook dari provider email.
  2. Pre-processing: Extract headers, URLs, attachments, sender, DKIM/SPF/DMARC status.
  3. Enrichment: WHOIS, VirusTotal, Safe Browsing, sandboxing attachment, IP reputation.
  4. AI Triage & Scoring: NLP untuk ekstraksi entitas, classification model/LLM scoring.
  5. Decisioning: Auto-block, ticketing, notify, atau escalate ke analyst.
  6. Feedback loop: Hasil verifikasi analyst mengupdate model/rules.

Contoh Workflow n8n — Step-by-step

Berikut contoh node flow sederhana yang bisa di-implement di n8n:

  • Webhook - menerima payload pelaporan phishing dari form in-app atau mailbox.
  • Function - parse dan ekstrak: sender, subject, from_header, received_headers, semua URL, nama file attachment.
  • HTTP Request - cek SPF/DKIM/DMARC via API (atau library internal).
  • HTTP Request - panggil VirusTotal / Google Safe Browsing untuk setiap URL/attachment.
  • Run Python (n8n Function/Execute Command) - kirim file ke sandbox (detonation) bila attachment dicurigai.
  • AI Node (OpenAI/Hugging Face) - summarization + classification: "Is this phishing?" + extract entities (company, product, call-to-action, financial request).
  • Decision Node - jika score > threshold_critical -> create ticket di SIEM/SOAR, block sender IP, notify security channel (Slack/Teams).
  • Manual Review - untuk score medium: kirim ke queue analyst dengan context lengkap.
  • Feedback Collector - simpan verdict analyst di DB untuk retraining.

Contoh Prompt AI untuk Triage

Prompt:
"Berikan penilaian singkat apakah email berikut adalah phishing. Ringkas alasan utama (3 poin) dan ekstrak: sender, semua URL, tujuan (credential theft, malware, financial fraud), dan skor risiko 0-100."

Input: {subject, from, body, urls, attachments, dkim_spf_dmarc}

Teknik Enrichment yang Direkomendasikan

Enrichment meningkatkan akurasi triage AI. Beberapa sumber penting:

  • WHOIS & Passive DNS — identifikasi umur domain, registrar, dan pola perubahan DNS.
  • VirusTotal / URLHaus — cek reputasi URL dan file hash.
  • Google Safe Browsing / PhishTank — cek daftar phish yang diketahui.
  • SPF/DKIM/DMARC — indikasi spoofing pada headers.
  • Attachment sandboxing — jalankan file di lingkungan terisolasi untuk deteksi perilaku berbahaya.
  • IP Reputation — source IP untuk email atau hosting URL.

Strategi Scoring dan Threshold

Skor kombinasi memberikan aksi otomatis yang aman:

  • 0-30: Low — auto-archive / no action.
  • 31-60: Medium — kirim ke analyst queue, attachment sandbox.
  • 61-85: High — create ticket, notify, dan isolate link via proxy/blocklist sementara.
  • 86-100: Critical — auto-block sender IP/domain, remove email dari mailbox penerima, jalankan remediase cepat.

Remediasi Otomatis yang Aman

Untuk menghindari down-time atau false positive berbahaya, kombinasikan remediase otomatis dengan gardasan:

  • Soft actions (untuk skor medium): Quarantine email, tag header, notify user & analyst.
  • Hard actions (untuk skor tinggi/critical): Block domain/IP di firewall, remove email from all inboxes, revoke compromised credentials via identity provider API.
  • Throttled rollouts: buat canary rule — block hanya untuk 10% mailbox dulu, pantau false positive, lalu rollout penuh.

Human-in-the-Loop & Feedback Loop

Meskipun automasi menghemat banyak waktu, classification errors tetap mungkin. Pastikan:

  • Analyst bisa dengan mudah override keputusan lewat UI (Slack message dengan action buttons atau tiket di SOAR).
  • Hasil verifikasi disimpan untuk retraining model (labelled dataset).
  • Periodic review untuk threshold dan prompt engineering.

Contoh Implementasi di n8n – Tips Praktis

Beberapa tips implementasi langsung di n8n:

  • Gunakan splitInBatches saat melakukan banyak enrichment API untuk menghindari rate limit.
  • Cache hasil enrichment populer (domain, IP) di Redis untuk mengurangi biaya API.
  • Gunakan credentials dan environment variables untuk menyimpan API keys dan secrets dengan aman.
  • Manfaatkan n8n webhooks untuk integrasi in-app report dan email gateway (via sendgrid/postmark).
  • Buat template email notifikasi yang jelas dan tambahkan context (why flagged, recommended action) untuk pengguna.

Contoh JSON Ringkas Workflow (Snippet)

[{
  "name": "phishing-ingest",
  "nodes": [
    {"type":"Webhook", "params":{...}},
    {"type":"Function","params":{...}},
    {"type":"HTTP Request","params":{"url":"https://www.virustotal.com/api/v3/urls"}},
    {"type":"OpenAI","params":{"prompt":"..."}},
    {"type":"IF","params":{"condition":"score>80"}},
    {"type":"HTTP Request","params":{"url":"https://firewall/api/block"}}
  ]
}]

Privacy, Compliance & Logging

Perlakukan data email sebagai data sensitif. Rekomendasi:

  • Mask PII saat menyimpan logs.
  • Patuh pada regulasi (GDPR/UU PDP) saat mengirim data ke vendor luar negeri—pertimbangkan redaction atau on-premise sandboxing.
  • Simpan audit trail di storage yang immutable untuk keperluan forensik.

Case Study Singkat

Sebuah perusahaan ritel online mengimplementasikan workflow serupa dengan n8n. Hasil dalam 3 bulan:

  • Waktu rata-rata triage menurun dari 45 menit ke 6 menit.
  • False positive turun 28% berkat enrichment dan human feedback loop.
  • Insiden yang memerlukan revocation kredensial dapat diatasi 4x lebih cepat.

Checklist Implementasi

  1. Pilih sumber ingest (mail gateway, user-report form, SIEM).
  2. Implement parsing headers & ekstraksi artefak.
  3. Rancang lapisan enrichment dan caching.
  4. Buat model scoring / promt LLM + threshold.
  5. Implement decisioning & remediase aman (canary + rollback).
  6. Bangun feedback loop untuk retraining.
  7. Audit, logging, dan kebijakan privasi.

Kesimpulan

Dengan n8n sebagai orchestrator dan kekuatan AI untuk analisis teks & keputusan cerdas, organisasi dapat membangun pipeline tanggap phishing yang efisien, aman, dan mudah diadaptasi. Penting untuk menyeimbangkan automasi dengan kontrol manusia untuk meminimalkan gangguan produksi dan mengoptimalkan akurasi seiring waktu.

Ingin contoh workflow n8n yang bisa langsung di-import? Tinggalkan komentar atau gabung ke JIPRAKS Classroom untuk mendapatkan template lengkap dan konsultasi implementasi.

Artikel terkait