Investiga IPs, dominios, hashes y CVE en 6 API gratuitas de inteligencia de amenazas — sin cambiar entre pestañas del navegador.

Inicio rápido · Uso · Arquitectura · Claves de API · Capturas de pantalla · Contribuir

🚀 Con orgullo incluido en el repositorio oficial Awesome OSINT.

📖 Descripción general

ThreatLens es una única herramienta de línea de comandos que unifica las consultas de inteligencia de amenazas a través de las fuentes OSINT gratuitas más confiables. En lugar de pegar una IP en cinco sitios web diferentes, ThreatLens las consulta todas en paralelo, normaliza los resultados y te ofrece un veredicto claro — en la terminal, o en un informe pulido y codificado por colores en Excel/JSON/CSV.

Diseñado para analistas de SOC, respondedores de incidentes, cazadores de amenazas y cualquiera que quiera un enriquecimiento de IOC rápido y confiable sin salir del shell.

Por qué ThreatLens

Un solo comando en lugar de cinco pestañas del navegador
Extrae IOCs automáticamente directamente de registros sin procesar
Una única API que falla o está limitada por tasa nunca bloquea al resto
Funciona completamente con niveles gratuitos de API
Caché SQLite local — las consultas repetidas son instantáneas
Límite de presupuesto de solicitudes que evita gastos descontrolados en API

No es para

Pipelines de detección en tiempo real/streaming
Fuentes de inteligencia exclusivamente de pago/empresariales
Reemplazar una plataforma SIEM o SOAR completa

✨ Características

Característica	Detalles
🎯 Tipos de IOC	IP, Dominio, URL, Hash de archivo (MD5 / SHA1 / SHA256), CVE
🔌 APIs integradas	AbuseIPDB, VirusTotal, AlienVault OTX, Shodan, URLScan.io, NVD, CISA KEV, EPSS
📄 Análisis de logs	Extracción automática de IOCs desde texto plano/archivos de log, además de soporte nativo para Zeek, Suricata `eve.json`, Sysmon (JSON) y JSONL genérico
🧭 Tarjetas de decisión de CVE	Recomendación determinista y explicable de Parchear / Aislar / Monitorizar / No afectado por CVE, basada en CISA KEV, EPSS, CVSS y la exposición correlacionada de activos
🗂️ Inventario de activos	Importa un CSV de hosts/IPs con criticidad y estado de exposición a internet; correlacionado con los resultados de CVE
📤 Exportación a SIEM	Exportación opcional a Splunk HEC, Elastic `_bulk` y Microsoft Sentinel (API moderna de ingesta de logs)
🧾 Paquetes de evidencia	Exportación ZIP de una investigación con un manifiesto SHA-256 para una cadena de custodia básica
📊 Informes	Excel (con código de colores), JSON, CSV
💾 Caché local	Caché SQLite con TTL configurable — evita reconsultar IOCs conocidos, además de un feed CISA KEV en caché (TTL de 24h)
🛡️ Seguridad	Bloqueo de redirecciones, lista de hosts permitidos, redacción de claves de API en logs, neutralización de fórmulas de hoja de cálculo, límites anti-DoS en CSV/logs
🔒 Lockfile	`requirements.lock` con hashes SHA-256 para instalaciones reproducibles
💻 Experiencia CLI	Barras de progreso Rich, tablas con colores y un resumen de veredicto claro
🧩 Arquitectura	Enriquecedores/analizadores/exportadores modulares, modelos tipados, separación estricta de responsabilidades
✅ Probado	155 pruebas unitarias y de integración con `pytest`; CI mediante GitHub Actions
⚡ Resiliente	Una API o destino SIEM que falle nunca bloquea a los demás — los errores se aíslan y se registran

🚀 Inicio rápido

# 1. Clone & install
git clone https://github.com/AbdaullahAG/threatlens.git
cd threatlens
pip install -r requirements.txt

# 2. Configure your API keys
cp config/keys.env.example config/keys.env
# → edit config/keys.env and fill in your keys

# 3. Run your first scan
python main.py -i 45.33.32.156

💡 NVD (consultas de CVE) funciona sin configuración adicional y sin clave de API. Todas las demás API ofrecen un nivel gratuito cuyo registro lleva menos de 2 minutos — consulta Claves de API más abajo.

Instalación reproducible (con dependencias bloqueadas)

pip install --require-hashes -r requirements.lock

🧰 Uso

`# Investigate a single IP python main.py -i 45.33.32.156`	Consulta básica de un único IOC
`# Investigate multiple IOC types at once python main.py -i 45.33.32.156 -d malware.example.com \ -s d41d8cd98f00b204e9800998ecf8427e -c CVE-2021-44228`	Combinar y emparejar tipos de IOC en una sola ejecución
`# Parse a log file — all IOCs auto-extracted python main.py --file /var/log/apache2/access.log`	Investigar de forma masiva directamente desde registros sin procesar
`# Output JSON instead of Excel python main.py -i 8.8.8.8 --format json`	Salida legible por máquina para pipelines
`# Use only specific APIs python main.py -i 8.8.8.8 --apis abuseipdb virustotal`	Restringir el enriquecimiento a las fuentes seleccionadas
`# Generate every report format at once python main.py --file access.log --format all`	Excel + JSON + CSV en una sola ejecución
`# Lookup a CVE — no API key needed python main.py -c CVE-2021-44228 --apis nvd --format json`	Enriquecimiento de CVE mediante NIST NVD (gratuito, sin clave)
`# Verbose / debug mode python main.py -i 8.8.8.8 -v`	Registro completo de solicitud/respuesta para la resolución de problemas
`# Check a CVE against CISA KEV + EPSS, with an asset-aware decision python main.py -c CVE-2021-44228 --apis nvd cisa_kev epss \ --import-assets assets.csv --decision-cards`	Recomendación de parchear / aislar / monitorear / no afectado
`# Parse a Suricata eve.json and export to Splunk python main.py --file eve.json --log-format suricata \ --export splunk`	Ingesta de registros del SOC → exportación al SIEM
`# Build a hash-manifested evidence pack for the investigation python main.py -i 45.33.32.156 --evidence-pack`	ZIP con un manifiesto SHA-256 para la cadena de custodia

Ver todos los flags de CLI

Más Populares

ThreatLens

📖 Descripción general

✨ Características

🚀 Inicio rápido

Instalación reproducible (con dependencias bloqueadas)

🧰 Uso