Untersuchen Sie IPs, Domains, Hashes und CVEs über 6 kostenlose Threat-Intel-APIs — ohne zwischen Browser-Tabs wechseln zu müssen.

Schnellstart · Verwendung · Architektur · API-Schlüssel · Screenshots · Mitwirken

🚀 Stolz vertreten im offiziellen Repository Awesome OSINT.

📖 Überblick

ThreatLens ist ein einziges Kommandozeilen-Tool, das Threat-Intelligence-Abfragen über die vertrauenswürdigsten kostenlosen OSINT-Quellen vereint. Anstatt eine IP in fünf verschiedene Websites einzufügen, fragt ThreatLens sie alle parallel ab, normalisiert die Ergebnisse und liefert Ihnen ein klares Urteil — im Terminal oder in einem ausgearbeiteten, farbcodierten Excel/JSON/CSV-Bericht.

Entwickelt für SOC-Analysten, Incident Responder, Threat Hunter und alle, die eine schnelle, zuverlässige IOC-Anreicherung wünschen, ohne die Shell zu verlassen.

Warum ThreatLens

Ein Befehl statt fünf Browser-Tabs
Extrahiert IOCs automatisch direkt aus Rohlogs
Eine einzelne fehlschlagende oder ratenbegrenzte API blockiert nie die übrigen
Funktioniert vollständig mit kostenlosen API-Tarifen
Lokaler SQLite-Cache — wiederholte Abfragen sind sofort
Obergrenze für das Anfragebudget verhindert unkontrollierte API-Kosten

Nicht geeignet für

Echtzeit-/Streaming-Erkennungspipelines
Kostenpflichtige/Enterprise-only-Intel-Feeds
Das Ersetzen einer vollständigen SIEM- oder SOAR-Plattform

✨ Funktionen

Funktion	Details
🎯 IOC-Typen	IP, Domain, URL, Datei-Hash (MD5 / SHA1 / SHA256), CVE
🔌 Integrierte APIs	AbuseIPDB, VirusTotal, AlienVault OTX, Shodan, URLScan.io, NVD, CISA KEV, EPSS
📄 Log-Parsing	Automatische Extraktion von IOCs aus Klartext-/Logdateien, plus native Unterstützung für Zeek, Suricata `eve.json`, Sysmon (JSON) und generisches JSONL
🧭 CVE-Entscheidungskarten	Deterministische, nachvollziehbare Empfehlung Patch / Isolate / Monitor / Not affected pro CVE, gesteuert durch CISA KEV, EPSS, CVSS und korrelierte Asset-Exposition
🗂️ Asset-Inventar	Import einer CSV mit Hosts/IPs inklusive Kritikalität und Internet-Exponiertheit; korreliert mit CVE-Ergebnissen
📤 SIEM-Export	Optionaler Export nach Splunk HEC, Elastic `_bulk` und Microsoft Sentinel (moderne Logs Ingestion API)
🧾 Evidence Packs	ZIP-Export einer Untersuchung mit SHA-256-Manifest für eine grundlegende Chain-of-Custody
📊 Berichte	Excel (farbcodiert), JSON, CSV
💾 Lokaler Cache	SQLite-Cache mit konfigurierbarer TTL — vermeidet erneute Abfragen bekannter IOCs, plus gecachter CISA KEV-Feed (24h TTL)
🛡️ Sicherheit	Redirect-Blockierung, Host-Allow-Listing, API-Key-Redaktion in Logs, Neutralisierung von Tabellenkalkulationsformeln, CSV-/Log-DoS-Limits
🔒 Lockfile	`requirements.lock` mit SHA-256-Hashes für reproduzierbare Installationen
💻 CLI-Erlebnis	Rich-Fortschrittsbalken, farbige Tabellen und eine übersichtliche Verdict-Zusammenfassung
🧩 Architektur	Modulare Enricher/Parser/Exporter, typisierte Modelle, strikte Trennung der Belange
✅ Getestet	155 Unit- & Integrationstests mit `pytest`; CI via GitHub Actions
⚡ Resilient	Eine fehlschlagende API oder ein fehlschlagendes SIEM-Ziel blockiert nie die anderen — Fehler werden isoliert und protokolliert

🚀 Schnellstart

# 1. Clone & install
git clone https://github.com/AbdaullahAG/threatlens.git
cd threatlens
pip install -r requirements.txt

# 2. Configure your API keys
cp config/keys.env.example config/keys.env
# → edit config/keys.env and fill in your keys

# 3. Run your first scan
python main.py -i 45.33.32.156

💡 NVD (CVE-Abfragen) funktioniert sofort ohne API-Schlüssel. Jede andere API bietet einen kostenlosen Tarif, für den die Anmeldung weniger als 2 Minuten dauert — siehe API-Schlüssel unten.

Reproduzierbare Installation (mit gesperrten Abhängigkeiten)

pip install --require-hashes -r requirements.lock

🧰 Verwendung

`# Investigate a single IP python main.py -i 45.33.32.156`	Einfache Single-IOC-Abfrage
`# Investigate multiple IOC types at once python main.py -i 45.33.32.156 -d malware.example.com \ -s d41d8cd98f00b204e9800998ecf8427e -c CVE-2021-44228`	IOC-Typen in einem Durchlauf kombinieren
`# Parse a log file — all IOCs auto-extracted python main.py --file /var/log/apache2/access.log`	Massenuntersuchung direkt aus Rohlogs
`# Output JSON instead of Excel python main.py -i 8.8.8.8 --format json`	Maschinenlesbare Ausgabe für Pipelines
`# Use only specific APIs python main.py -i 8.8.8.8 --apis abuseipdb virustotal`	Anreicherung auf ausgewählte Quellen beschränken
`# Generate every report format at once python main.py --file access.log --format all`	Excel + JSON + CSV in einem einzigen Durchlauf
`# Lookup a CVE — no API key needed python main.py -c CVE-2021-44228 --apis nvd --format json`	CVE-Anreicherung über NIST NVD (kostenlos, kein Schlüssel erforderlich)
`# Verbose / debug mode python main.py -i 8.8.8.8 -v`	Vollständige Protokollierung von Anfragen und Antworten zur Fehlerbehebung
`# Check a CVE against CISA KEV + EPSS, with an asset-aware decision python main.py -c CVE-2021-44228 --apis nvd cisa_kev epss \ --import-assets assets.csv --decision-cards`	Patch / Isolieren / Überwachen / Empfehlung „nicht betroffen“
`# Parse a Suricata eve.json and export to Splunk python main.py --file eve.json --log-format suricata \ --export splunk`	SOC-Log-Aufnahme → SIEM-Export
`# Build a hash-manifested evidence pack for the investigation python main.py -i 45.33.32.156 --evidence-pack`	ZIP mit einem SHA-256-Manifest für die Nachweiskette

Alle CLI-Flags anzeigen

Beliebteste

ThreatLens

📖 Überblick

✨ Funktionen

🚀 Schnellstart

Reproduzierbare Installation (mit gesperrten Abhängigkeiten)

🧰 Verwendung