Investigue IPs, domínios, hashes e CVEs em 6 APIs gratuitas de inteligência de ameaças — sem alternar entre abas do navegador.

Início Rápido · Uso · Arquitetura · Chaves de API · Capturas de Tela · Contribuindo

🚀 Orgulhosamente destacado no repositório oficial Awesome OSINT.

📖 Visão Geral

ThreatLens é uma ferramenta de linha de comando única que unifica consultas de inteligência de ameaças nas fontes OSINT gratuitas mais confiáveis. Em vez de colar um IP em cinco sites diferentes, o ThreatLens consulta todos em paralelo, normaliza os resultados e fornece um veredito claro — no terminal, ou em um relatório refinado e com código de cores em Excel/JSON/CSV.

Criado para analistas de SOC, respondedores de incidentes, caçadores de ameaças e qualquer pessoa que queira enriquecimento rápido e confiável de IOCs sem sair do shell.

Por que ThreatLens

Um comando em vez de cinco abas do navegador
Extrai IOCs automaticamente direto de logs brutos
Uma única API com falha/limite de taxa nunca bloqueia as demais
Funciona inteiramente em camadas gratuitas de API
Cache SQLite local — consultas repetidas são instantâneas
Limite de orçamento de requisições evita gastos descontrolados com API

Não indicado para

Pipelines de detecção em tempo real/streaming
Feeds de inteligência pagos/exclusivos para empresas
Substituir uma plataforma SIEM ou SOAR completa

✨ Recursos

Recurso	Detalhes
🎯 Tipos de IOC	IP, Domínio, URL, Hash de Ficheiro (MD5 / SHA1 / SHA256), CVE
🔌 APIs Integradas	AbuseIPDB, VirusTotal, AlienVault OTX, Shodan, URLScan.io, NVD, CISA KEV, EPSS
📄 Análise de Logs	Extração automática de IOCs a partir de texto simples/ficheiros de log, além de suporte nativo para Zeek, Suricata `eve.json`, Sysmon (JSON) e JSONL genérico
🧭 Cartões de Decisão de CVE	Recomendação determinística e explicável de Patch / Isolate / Monitor / Not affected por CVE, baseada em CISA KEV, EPSS, CVSS e exposição correlacionada de ativos
🗂️ Inventário de Ativos	Importação de um CSV de hosts/IPs com criticidade e estado de exposição à internet; correlacionado com os resultados de CVE
📤 Exportação para SIEM	Exportação opcional para Splunk HEC, Elastic `_bulk` e Microsoft Sentinel (API moderna de Ingestão de Logs)
🧾 Pacotes de Evidências	Exportação em ZIP de uma investigação com um manifesto SHA-256 para cadeia de custódia básica
📊 Relatórios	Excel (com código de cores), JSON, CSV
💾 Cache Local	Cache SQLite com TTL configurável — evita reconsultar IOCs conhecidos, além de um feed CISA KEV em cache (TTL de 24h)
🛡️ Segurança	Bloqueio de redirecionamentos, lista de permissões de hosts, ocultação de chaves de API nos logs, neutralização de fórmulas de folhas de cálculo, limites de DoS para CSV/logs
🔒 Lockfile	`requirements.lock` com hashes SHA-256 para instalações reproduzíveis
💻 Experiência CLI	Barras de progresso Rich, tabelas coloridas e um resumo de veredicto claro
🧩 Arquitetura	Enrichers/parsers/exporters modulares, modelos tipados, separação estrita de responsabilidades
✅ Testado	155 testes unitários e de integração com `pytest`; CI via GitHub Actions
⚡ Resiliente	Uma API ou destino SIEM com falha nunca bloqueia os restantes — os erros são isolados e registados

🚀 Início Rápido

# 1. Clone & install
git clone https://github.com/AbdaullahAG/threatlens.git
cd threatlens
pip install -r requirements.txt

# 2. Configure your API keys
cp config/keys.env.example config/keys.env
# → edit config/keys.env and fill in your keys

# 3. Run your first scan
python main.py -i 45.33.32.156

💡 O NVD (consultas de CVE) funciona imediatamente, sem necessidade de chave de API. Todas as outras APIs oferecem um nível gratuito cujo registo demora menos de 2 minutos — consulte Chaves de API abaixo.

Instalação reproduzível (com dependências bloqueadas)

pip install --require-hashes -r requirements.lock

🧰 Uso

`# Investigate a single IP python main.py -i 45.33.32.156`	Consulta básica de IOC único
`# Investigate multiple IOC types at once python main.py -i 45.33.32.156 -d malware.example.com \ -s d41d8cd98f00b204e9800998ecf8427e -c CVE-2021-44228`	Combine e alterne tipos de IOC em uma única execução
`# Parse a log file — all IOCs auto-extracted python main.py --file /var/log/apache2/access.log`	Investigue em massa diretamente a partir de logs brutos
`# Output JSON instead of Excel python main.py -i 8.8.8.8 --format json`	Saída legível por máquina para pipelines
`# Use only specific APIs python main.py -i 8.8.8.8 --apis abuseipdb virustotal`	Restringir o enriquecimento a fontes selecionadas
`# Generate every report format at once python main.py --file access.log --format all`	Excel + JSON + CSV em uma única execução
`# Lookup a CVE — no API key needed python main.py -c CVE-2021-44228 --apis nvd --format json`	Enriquecimento de CVE via NIST NVD (gratuito, sem chave)
`# Verbose / debug mode python main.py -i 8.8.8.8 -v`	Registro completo de requisição/resposta para solução de problemas
`# Check a CVE against CISA KEV + EPSS, with an asset-aware decision python main.py -c CVE-2021-44228 --apis nvd cisa_kev epss \ --import-assets assets.csv --decision-cards`	Recomendação de aplicar patch / isolar / monitorar / não afetado
`# Parse a Suricata eve.json and export to Splunk python main.py --file eve.json --log-format suricata \ --export splunk`	Ingestão de logs do SOC → exportação para SIEM
`# Build a hash-manifested evidence pack for the investigation python main.py -i 45.33.32.156 --evidence-pack`	ZIP com um manifesto SHA-256 para cadeia de custódia

Ver todas as flags da CLI

Mais Populares

ThreatLens

📖 Visão Geral

✨ Recursos

🚀 Início Rápido

Instalação reproduzível (com dependências bloqueadas)

🧰 Uso