Realizando Análise de Reputação de IP com Shodan

Visão Geral

Shodan é o primeiro motor de busca do mundo para dispositivos conectados à internet, escaneando continuamente o espaço de endereços IPv4 e IPv6 para catalogar portas abertas, serviços em execução, certificados SSL e vulnerabilidades conhecidas. Esta habilidade abrange o uso da API Shodan e da API gratuita InternetDB para enriquecer endereços IP de alertas de segurança, avaliar níveis de ameaça com base em serviços expostos e vulnerabilidades, identificar padrões de infraestrutura de hospedagem e integrar dados de reputação de IP em fluxos de trabalho de triagem de SOC e inteligência de ameaças.

Quando Usar

• Ao realizar avaliações de segurança que envolvem a análise de reputação de IP com Shodan
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança ou atividades de auditoria agendadas
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Python 3.9+ com a biblioteca shodan (pip install shodan)
• Chave de API Shodan (nível gratuito: consultas limitadas; planos pagos para limites mais altos e streaming)
• Compreensão de portas TCP/UDP, serviços comuns e identificadores CVE
• Familiaridade com conceitos de ASN, notação CIDR e geolocalização de IP
• Conhecimento de segurança de rede para interpretar resultados de varredura

Conceitos Chave

Modelo de Dados Shodan

Cada registro de IP no Shodan contém: portas e protocolos abertos, dados de banner (respostas de serviço), detalhes do certificado SSL/TLS, vulnerabilidades CVE conhecidas, nome(s) do host e DNS reverso, informações de ASN e ISP, localização geográfica, impressão digital do sistema operacional e dados históricos de varredura mostrando mudanças ao longo do tempo.

API InternetDB

A API gratuita InternetDB do Shodan (internetdb.shodan.io) fornece consultas rápidas de IP sem autenticação, retornando portas abertas, nomes de host, tags, CPEs e vulnerabilidades conhecidas. Isso é útil para enriquecimento de alto volume onde a API Shodan completa atingiria limites de taxa.

Pontuação de Reputação

A reputação de IP é avaliada combinando: número e tipo de portas abertas (portas incomuns indicam comprometimento), serviços vulneráveis (software sem patches com CVEs conhecidos), tipo de hospedagem (residencial, nuvem, VPN/proxy, hospedagem à prova de balas), atividade histórica (associações passadas com malware, varredura, spam) e contexto geográfico (países conhecidos por atividades de ameaça específicas).

Fluxo de Trabalho

Etapa 1: Enriquecimento Básico de IP com a API Shodan

import shodan
import json
from datetime import datetime

class ShodanEnricher:
    def __init__(self, api_key):
        self.api = shodan.Shodan(api_key)
        self.info = self.api.info()
        print(f"[+] API Shodan inicializada. Créditos: {self.info.get('scan_credits', 0)}")

    def enrich_ip(self, ip_address):
        """Enriquecimento completo de um endereço IP via Shodan."""
        try:
            host = self.api.host(ip_address)
            enrichment = {
                "ip": ip_address,
                "organization": host.get("org", ""),
                "asn": host.get("asn", ""),
                "isp": host.get("isp", ""),
                "country": host.get("country_name", ""),
                "country_code": host.get("country_code", ""),
                "city": host.get("city", ""),
                "latitude": host.get("latitude"),
                "longitude": host.get("longitude"),
                "os": host.get("os", ""),
                "ports": host.get("ports", []),
                "hostnames": host.get("hostnames", []),
                "domains": host.get("domains", []),
                "vulns": host.get("vulns", []),
                "tags": host.get("tags", []),
                "last_update": host.get("last_update", ""),
                "services": [],
            }

            for service in host.get("data", []):
                svc = {
                    "port": service.get("port", 0),
                    "transport": service.get("transport", "tcp"),
                    "product": service.get("product", ""),
                    "version": service.get("version", ""),
                    "module": service.get("_shodan", {}).get("module", ""),
                    "banner": service.get("data", "")[:200],
                }
                if "ssl" in service:
                    svc["ssl_subject"] = service["ssl"].get("cert", {}).get("subject", {})
                    svc["ssl_issuer"] = service["ssl"].get("cert", {}).get("issuer", {})
                    svc["ssl_expires"] = service["ssl"].get("cert", {}).get("expires", "")
                enrichment["services"].append(svc)


…