SpiderFoot na pratica: automacao de reconhecimento OSINT

Quando a investigacao cresce, consultar cada fonte na mao vira gargalo. O SpiderFoot resolve isso automatizando a coleta: voce da um alvo (dominio, IP, e-mail, nome) e ele dispara dezenas de modulos que varrem fontes abertas em paralelo, correlacionam os achados e entregam tudo organizado. Este tutorial cobre instalacao, selecao de modulos, o motor de correlacao e a exportacao dos resultados.

O que e o SpiderFoot?

O SpiderFoot e um framework de automacao de OSINT de codigo aberto que integra mais de 200 modulos para coletar dominios, IPs, subdominios, vazamentos, e-mails e muito mais a partir de dezenas de fontes de dados. A ideia central e a automacao do reconhecimento: em vez de voce consultar manualmente WHOIS, DNS, bases de vazamento e redes sociais, o SpiderFoot orquestra tudo e cruza os resultados.

Ele tem uma interface web (mais amigavel) e uma interface de linha de comando (melhor para scripts e integracao).

Requisitos e instalacao

O SpiderFoot roda em um ambiente Python suportado e usa um navegador para a interface grafica. Voce precisa de Python 3, pip, acesso de rede as fontes de dados dos modulos habilitados e espaco em disco para o historico de scans.

Instalacao em Linux ou macOS a partir do repositorio oficial:

git clone https://github.com/smicallef/spiderfoot.git
cd spiderfoot
python3 -m venv venv
source venv/bin/activate
pip install -r requirements.txt
python3 ./sf.py -l 127.0.0.1:5001

A ultima linha sobe a interface web escutando em 127.0.0.1:5001. Abra o navegador nesse endereco e voce chega ao painel. No Kali Linux o SpiderFoot costuma estar disponivel via gerenciador de pacotes, o que dispensa o clone manual.

Dica de seguranca: por padrao ele escuta so no localhost. Nao exponha a porta na internet sem autenticacao e sem necessidade.

Entendendo os modulos

O SpiderFoot oferece mais de 200 modulos que coletam dados de varias fontes de OSINT, incluindo detalhes de dominio, informacoes de IP, e-mails, credenciais, dados de servidores, registros de vazamento e pegadas em redes sociais.

Cada modulo:

• consome certos tipos de dado de entrada (por exemplo, um dominio);
• consulta uma fonte especifica;
• produz novos tipos de dado (por exemplo, subdominios, e-mails, IPs);
• que por sua vez podem alimentar outros modulos, em cascata.

Alguns modulos usam apenas fontes passivas (sem tocar no alvo), outros fazem consultas ativas. Muitos modulos avancados exigem chaves de API gratuitas ou pagas, configuradas nas opcoes.

Modos de scan por caso de uso

Ao criar um scan, o SpiderFoot deixa voce escolher a abordagem. As opcoes tipicas sao:

Objetivo	Caracteristica	Quando usar
All	roda todos os modulos	levantamento exaustivo
Footprint	mapeia a pegada externa via rede	reconhecimento de infraestrutura
Investigate	foca em reputacao e malicia	checar se um alvo e suspeito
Passive	nao toca no alvo	discrecao maxima

Voce tambem pode selecionar modulos ou tipos de dado individualmente, o que e util para scans cirurgicos e mais rapidos.

Na pratica: seu primeiro scan

Passo 1: criar o scan. No painel web, va em New Scan. Defina um nome, informe o alvo (por exemplo exemplo.com.br) e escolha o modo (comece por Passive para ser discreto).

Passo 2: rodar. Ao iniciar, o SpiderFoot dispara os modulos. Durante o scan ele correlaciona os resultados com um motor embutido e os armazena em um backend SQLite, classificando os achados por tipo: IP, hostname, e-mail, vazamento de credencial, geolocalizacao e outros.

Passo 3: acompanhar. Os resultados aparecem em abas. As principais sao Summary, Browse, Correlations e Graph. Voce ve a contagem por tipo de dado e pode abrir cada categoria.

Pela linha de comando, um scan equivalente para coletar e-mails e nomes de host de um dominio seria:

# -s define o alvo, -t os tipos de dado desejados, -q silencia logs
python3 ./sf.py -s exemplo.com.br -t EMAILADDR,INTERNET_NAME -q

Para listar todos os modulos disponiveis:

python3 ./sf.py -M

O motor de correlacao

Um diferencial do SpiderFoot e correlacionar automaticamente o que coletou. Ele traz um motor de correlacao configuravel por YAML, com um conjunto de regras pre-definidas. Essas regras destacam, por exemplo, hosts com portas sensiveis expostas, credenciais vazadas associadas ao alvo ou enderecos que aparecem em mais de uma fonte suspeita.

Na aba Correlations voce ve esses alertas ja interpretados, o que acelera muito a triagem: em vez de ler milhares de linhas cruas, voce comeca pelos pontos que o motor sinalizou como relevantes.

Exportando resultados

Terminado o scan, exporte para alimentar relatorios ou outras ferramentas. O SpiderFoot oferece exportacao em CSV, JSON e GEXF. Na pratica:

• CSV: ideal para abrir em planilha e filtrar.
• JSON: melhor para processar com scripts (por exemplo em Python).
• GEXF: formato de grafo, para visualizar as relacoes em ferramentas como o Gephi.

Na interface web, cada aba de resultados tem o botao de exportacao. Pela CLI, voce pode redirecionar a saida em JSON para um arquivo e processa-la depois.

Armadilhas comuns

• Rodar All sem necessidade: gera ruido, demora e pode disparar muitas requisicoes ativas. Prefira o modo adequado ao objetivo.
• Esquecer as chaves de API: sem elas, varios modulos ficam limitados ou inativos. Configure as que forem relevantes.
• Modulos ativos em alvos de terceiros: consultas ativas tocam a infraestrutura alvo. So faca isso com autorizacao.
• Ignorar as correlacoes: pular a aba Correlations e desperdicar o maior diferencial da ferramenta.

Etica e legalidade

O SpiderFoot facilita coletar muita informacao rapidamente, e isso exige responsabilidade. Prefira modulos passivos quando nao tiver autorizacao sobre o alvo, pois consultas ativas podem configurar varredura nao autorizada. No Brasil, dados de pessoas naturais coletados em fontes abertas continuam sob a LGPD: use com finalidade legitima, minimize a coleta e proteja o que armazenar. O Marco Civil reforca o respeito a privacidade. Automacao nao e desculpa para abuso.

Conclusao

O SpiderFoot transforma horas de consultas manuais em um scan automatizado, correlacionado e exportavel. Dominar a selecao de modulos e a leitura das correlacoes faz toda a diferenca entre afogar em dados e extrair inteligencia. Montou seu primeiro scan? Compartilhe aprendizados e configuracoes de modulos na comunidade OsintHunters Brasil.