Исследуйте IP-адреса, домены, хеши и CVE через 6 бесплатных API киберразведки — без переключения между вкладками браузера.

Быстрый старт · Использование · Архитектура · API-ключи · Скриншоты · Участие в разработке

🚀 С гордостью представлен в официальном репозитории Awesome OSINT.

📖 Обзор

ThreatLens — это единый инструмент командной строки, который объединяет поиск данных киберразведки по наиболее авторитетным бесплатным источникам OSINT. Вместо того чтобы вставлять IP-адрес на пяти разных сайтах, ThreatLens опрашивает их все параллельно, нормализует результаты и выдаёт чёткий вердикт — прямо в терминале или в аккуратном цветном отчёте Excel/JSON/CSV.

Создан для SOC-аналитиков, специалистов по реагированию на инциденты, охотников за угрозами и всех, кому нужно быстрое и надёжное обогащение IOC без выхода из командной оболочки.

Почему ThreatLens

Одна команда вместо пяти вкладок браузера
Автоматически извлекает IOC прямо из сырых логов
Один сбойный или ограниченный по частоте API никогда не блокирует остальные
Полностью работает на бесплатных тарифах API
Локальный кэш SQLite — повторные запросы мгновенны
Ограничение бюджета запросов предотвращает неконтролируемые расходы на API

Не предназначен для

Потоковых конвейеров обнаружения в реальном времени
Платных/корпоративных источников разведки
Замены полноценной платформы SIEM или SOAR

✨ Возможности

Функция	Подробности
🎯 Типы IOC	IP, домен, URL, хеш файла (MD5 / SHA1 / SHA256), CVE
🔌 Интегрированные API	AbuseIPDB, VirusTotal, AlienVault OTX, Shodan, URLScan.io, NVD, CISA KEV, EPSS
📄 Разбор логов	Автоматическое извлечение IOC из обычного текста/файлов логов, а также нативная поддержка Zeek, Suricata `eve.json`, Sysmon (JSON) и универсального JSONL
🧭 Карточки решений по CVE	Детерминированная, объяснимая рекомендация Patch / Isolate / Monitor / Not affected для каждой CVE на основе CISA KEV, EPSS, CVSS и коррелированной подверженности активов
🗂️ Инвентаризация активов	Импорт CSV с хостами/IP с указанием критичности и статуса доступа из интернета; сопоставляется с результатами по CVE
📤 Экспорт в SIEM	Опциональный экспорт в Splunk HEC, Elastic `_bulk` и Microsoft Sentinel (современный Logs Ingestion API)
🧾 Пакеты доказательств	Экспорт расследования в ZIP с манифестом SHA-256 для базовой цепочки сохранности
📊 Отчёты	Excel (с цветовой кодировкой), JSON, CSV
💾 Локальный кеш	Кеш SQLite с настраиваемым TTL — пропуск повторных запросов по известным IOC, а также кешированный фид CISA KEV (TTL 24 ч)
🛡️ Безопасность	Блокировка редиректов, белый список хостов, маскирование API-ключей в логах, нейтрализация формул в электронных таблицах, ограничения DoS для CSV/логов
🔒 Lockfile	`requirements.lock` с хешами SHA-256 для воспроизводимых установок
💻 Работа с CLI	Наглядные индикаторы прогресса, цветные таблицы и понятная сводка вердиктов
🧩 Архитектура	Модульные обогатители/парсеры/экспортёры, типизированные модели, строгое разделение ответственности
✅ Протестировано	155 модульных и интеграционных тестов с `pytest`; CI через GitHub Actions
⚡ Устойчивость	Один сбойный API или получатель SIEM никогда не блокирует остальные — ошибки изолируются и логируются

🚀 Быстрый старт

# 1. Clone & install
git clone https://github.com/AbdaullahAG/threatlens.git
cd threatlens
pip install -r requirements.txt

# 2. Configure your API keys
cp config/keys.env.example config/keys.env
# → edit config/keys.env and fill in your keys

# 3. Run your first scan
python main.py -i 45.33.32.156

💡 NVD (поиск CVE) работает из коробки без API-ключа. Каждый другой API предлагает бесплатный тариф, регистрация на который занимает менее 2 минут — см. API Keys ниже.

Воспроизводимая установка (с зафиксированными зависимостями)

pip install --require-hashes -r requirements.lock

🧰 Использование

`# Investigate a single IP python main.py -i 45.33.32.156`	Базовый поиск по одному IOC
`# Investigate multiple IOC types at once python main.py -i 45.33.32.156 -d malware.example.com \ -s d41d8cd98f00b204e9800998ecf8427e -c CVE-2021-44228`	Смешивайте и комбинируйте типы IOC в одном запуске
`# Parse a log file — all IOCs auto-extracted python main.py --file /var/log/apache2/access.log`	Массовое исследование прямо из необработанных журналов
`# Output JSON instead of Excel python main.py -i 8.8.8.8 --format json`	Машиночитаемый вывод для конвейеров
`# Use only specific APIs python main.py -i 8.8.8.8 --apis abuseipdb virustotal`	Ограничить обогащение выбранными источниками
`# Generate every report format at once python main.py --file access.log --format all`	Excel + JSON + CSV за один запуск
`# Lookup a CVE — no API key needed python main.py -c CVE-2021-44228 --apis nvd --format json`	Обогащение CVE через NIST NVD (бесплатно, без ключа)
`# Verbose / debug mode python main.py -i 8.8.8.8 -v`	Полное журналирование запросов и ответов для устранения неполадок
`# Check a CVE against CISA KEV + EPSS, with an asset-aware decision python main.py -c CVE-2021-44228 --apis nvd cisa_kev epss \ --import-assets assets.csv --decision-cards`	Патч / Изоляция / Мониторинг / Рекомендация «Не затронуто»
`# Parse a Suricata eve.json and export to Splunk python main.py --file eve.json --log-format suricata \ --export splunk`	Приём журналов SOC → экспорт в SIEM
`# Build a hash-manifested evidence pack for the investigation python main.py -i 45.33.32.156 --evidence-pack`	ZIP-архив с манифестом SHA-256 для обеспечения целостности цепочки хранения

Просмотреть все флаги CLI

Популярное

ThreatLens

📖 Обзор

✨ Возможности

🚀 Быстрый старт

Воспроизводимая установка (с зафиксированными зависимостями)

🧰 Использование