ReconHound

1. Introdução

O ReconHound é uma engine de External Attack Surface Management (EASM) e Threat Intelligence construída para analistas, Red Teams e pesquisadores. Ele automatiza o reconhecimento e unifica os resultados em uma interface gráfica em tempo real.

O que é "EASM & Threat Intelligence Engine"?

Gerenciamento da Superfície de Ataque Externa (EASM) é o processo de descobrir, monitorar e avaliar ativos expostos na internet, identificando vetores de ataque antes que os adversários o façam. O ReconHound atua como uma engine que enriquece esses dados com inteligência de ameaças, valida ativamente os achados e qualifica o risco real de exploração. Ele transforma terabytes de telemetria de internet bruta e ruidosa em inteligência priorizada e acionável, permitindo que as equipes de segurança se concentrem no que realmente importa.

2. Arquitetura & Pipeline de Correlação

A arquitetura do ReconHound opera através de um pipeline assíncrono modular de 5 estágios encadeados, projetado para transformar dados brutos de OSINT e varreduras ativas em um modelo relacional correlacionado de alta fidelidade:

Entendendo a Topologia Relacional (Host-Centric & Target-Driven)

A estrutura de dados sintetizada no Grafo orienta os nós através de uma arquitetura Host-Centric ágil e focada diretamente na cadeia de ataque técnico:

Target Query Root (Âncora com Inventário Completo: all_domains & all_subdomains)
  ├── CONTAINS_TARGET ──► Hosts / IPs do Alvo (com badge de metadados 🌐 N FQDNs)
  │     └── EXPOSES ──► Serviços / Portas (Instâncias Locais 1:N por Host)
  │           └── HAS_VULN ──► CVEs (Entidades Globais Deduplicadas N:M)
  │                 ├── ENRICHED_WITH ──► FIRST EPSS + CISA KEV
  │                 └── WEAPONIZED_BY ──► ExploitDB + GitHub PoCs
  └── CONTAINS_TARGET ──► FQDN Targets Explícitos (Alvos de Varredura Marcados sob Demanda)
        └── RESOLVES_TO ──► Hosts / IPs Resolvidos

Motor de Descoberta Recursiva Retroativa & Fusão Incremental (Smart Upsert)

O grande diferencial do ReconHound em relação a ferramentas tradicionais de varredura estática reside no seu Ciclo de Expansão Recursiva de Superfície. Em vez de se limitar estritamente aos blocos de rede iniciais de uma consulta (como ASN, Org ou CIDR), o motor dispara uma cadeia heurística em múltiplos níveis que correlaciona certificados, identidades DNS e infraestruturas satélites em tempo real:

Target Query (ex: org:'ACME Corp')
  │
  ├─► [1. Recon Primário] ──────► Host Profiling + TLS / HTTP Banners
  │                                     │
  │                                     ▼ Extração Heurística de Domínios
  ├─► [2. Enumeração Cascata] ──► crt.sh + Reverse WHOIS (Domínios & Subdomínios)
  │                                     │
  │                                     ▼ Resolução DNS Concorrente (A/AAAA)
  ├─► [3. Expansão de Rede] ────► Descoberta de Novos Blocos de IPs Satélites
  │                                     │
  │                                     ▼ Profiling Passivo Retroativo
  └─► [4. Fusão Incremental] ───► SQLite Upsert: Preservação de Histórico + Fontes Mescladas

3. Guia de Instalação (Quickstart)

O ReconHound suporta execução nativa em Linux, macOS e Windows (via WSL2). Siga os passos abaixo para preparar o ambiente:

Passo 1: Instalação Automática via PyPI

A ferramenta é empacotada e distribuída oficialmente via PyPI, permitindo que você a instale em qualquer máquina Linux, Windows ou macOS com um simples comando pip.

# 1. Baixar e instalar o pacote globalmente
pip install reconhound

# 2. Executar a autoconfiguração automatizada 
# (Setup de banco de dados, credenciais seguras da Dashboard e dependências).
reconx config setup

Passo 2: Binários de Varredura Ativa (Masscan & Nuclei)

A rotina reconx config setup verifica e configura automaticamente permissões de rede (setcap) e templates. Caso prefira instalar os binários do sistema manualmente:

# Instalação do Masscan (Ubuntu / Debian / Kali)
sudo apt update && sudo apt install -y masscan

# Conceder Linux capabilities para execução do Masscan sem root na WebUI:
sudo setcap cap_net_raw,cap_net_admin,cap_net_bind_service+eip $(which masscan)

# Instalação do Nuclei (via Go ou Release Binary)
go install -v github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest

sudo setcap cap_net_raw,cap_net_admin,cap_net_bind_service+eip $(which masscan)

Passo 3: Banco Local de Exploits (ExploitDB)

O catálogo local de exploits é inicializado automaticamente pelo setup. Para atualizá-lo sob demanda:

reconx config update

4. Configuração de Chaves & APIs

O ReconHound foi construído com design tolerante a falhas. Caso nenhuma chave seja fornecida, a ferramenta utiliza automaticamente fontes e fallbacks públicos gratuitos (crt.sh, HackerTarget, FIRST EPSS API, CISA KEV Catalog e GitHub PoC API). No entanto, para capacidade de varredura profunda de infraestrutura e bypass de rate-limits, recomendamos a configuração de variáveis de ambiente.

O arquivo .env é criado automaticamente a partir de .env.example durante o setup. Configure as chaves desejadas:

# ==============================================================================
# ReconHound - External Attack Surface Management & Threat Intelligence Engine
# Copy this file to .env and insert your API keys as needed.
# ==============================================================================

# [Required for Shodan Queries, Subnets, DNS & Banner Reconnaissance]
SHODAN_API_KEY=

# [Required for V3: AlienVault OTX Threat Actors & Malware extraction]
ALIENVAULT_API_KEY=

# [Required for V3: SecurityTrails Subdomain & Passive IP Enumeration]
SECURITYTRAILS_API_KEY=

# [Optional: Censys Platform API v3 Personal Access Token & Org ID]
CENSYS_PAT_TOKEN=
CENSYS_ORG_ID=

# [Optional: Censys Legacy API ID & Secret]
CENSYS_API_ID=
CENSYS_API_SECRET=

# [Optional: NVD API Key for Accelerated CVSS & CWE Enrichment]
NVD_API_KEY=

# [Optional: WhoisFreaks API Key for Structured Reverse WHOIS Domain Mapping]
WHOISFREAKS_API_KEY=

# [Optional: GitHub Personal Access Token for Public Exploit & PoC Hunting]
GITHUB_TOKEN=

Diagnóstico e Autoconfiguração de Pré-requisitos

Verifique a integridade do ambiente, pacotes Python, diretórios operacionais, permissões e status das APIs ao vivo:

# Exibir tabela completa de diagnóstico do sistema e APIs
reconx config check

# Diagnosticar e aplicar correções/configurações ausentes automaticamente
reconx config setup

5. ReconExec

A interface de linha de comando é gerenciada via Typer e estilizada com Rich, fornecendo formatação limpa, indicadores de progresso assíncronos e tabelas de risco coloridas.

Usage: reconexec [OPTIONS] COMMAND [ARGS]...                                   
                                                                                
╭─ Global Recon Scans ─────────────────────────────────────────────────────────╮
│ all         Execute passive attack surface mapping using ALL modules.        │
╰──────────────────────────────────────────────────────────────────────────────╯
╭─ Targeted Recon Modules ─────────────────────────────────────────────────────╮
│ shodan      Execute passive scan using the 'Shodan' module.                  │
│ censys      Execute passive scan using the 'Censys' module.                  │
│ crtsh       Execute passive scan using the 'crt.sh' module.                  │
│ whois       Execute passive scan using the 'Reverse WHOIS' module.           │
│ sectrails   Execute passive scan using the 'SecurityTrails' module.          │
│ axfr        Execute passive scan using the 'Zone Transfer' module.           │
│ otx         Execute passive scan using the 'AlienVault OTX' module.          │
╰──────────────────────────────────────────────────────────────────────────────╯
╭─ Utility & Intelligence ─────────────────────────────────────────────────────╮
│ intel       Execute advanced threat intelligence lookups.                    │
╰──────────────────────────────────────────────────────────────────────────────╯
╭─ System & Configuration ─────────────────────────────────────────────────────╮
│ version     Show ReconExec version and maintainer information.               │
│ config      Manage configuration, setup, and system updates                  │
╰──────────────────────────────────────────────────────────────────────────────╯

Modos de Varredura por Alvo

Flags Principais & Módulos

Persistência Centralizada SQLite (EASM)

Para persistir os dados para consulta histórica ou carregar no ReconHound Web Dashboard, utilize a flag --create-db:

# Mapeia empresa e salva em ./data/dbs/alvo_empresa.sqlite
reconx all empresa.com.br --create-db alvo_empresa

# Mapeia sub-rede e salva em ./data/dbs/datacenter_sp.sqlite
reconx all 198.51.100.0/24 --create-db datacenter_sp

Exportação de Relatórios Oficiais

# 1. Relatório Executivo em Markdown
reconx all empresa.com.br -o markdown -f relatorio_executivo.md

# 2. Relatório HTML Standalone (Formatado e Pronto para Print/PDF)
reconx all empresa.com.br -o html -f relatorio_easm.html

# 3. Dados Estruturados em JSON para SIEM/SOAR/Data Lake
reconx all empresa.com.br -o json -f surface_data.json

# 4. Tabela Estruturada em CSV para Análise em Planilhas
reconx all empresa.com.br -o csv -f vulnerabilidades.csv

# 5. Exportação simultânea de todos os formatos para pasta
reconx all empresa.com.br -o all -d ./exports/empresa/

6. ReconHound Dashboard

O ReconHound é a interface gráfica web interativa inspirada na experiência analítica de grafos do SpecterOps BloodHound. Ele opera através de um servidor FastAPI de alta performance que lê os bancos de dados SQLite gerados e renderiza o grafo interativo utilizando Cytoscape.js.

⠀⠀⠀⠀⡀⠀⠀⠀⡀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀
⠀⠀⠀⠀⣷⠀⠀⢰⣷⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀
⠀⠀⠀⠀⣿⣧⠀⣼⣿⣇⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀
⠀⠀⠀⢸⣿⣿⡆⠘⣿⣿⣆⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀
⠀⠀⠀⣸⣿⣿⣿⡄⠙⠛⠋⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀
⠀⠀⠀⣿⣿⣿⣿⣷⡀⣿⣿⣿⣿⠿⠿⢿⣄⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀   RECONHOUND DAEMON
⠀⠀⢰⣿⣿⣿⣿⣿⣿⣿⣿⣿⣿⣶⣄⡀⢻⣿⣿⣿⠟⢿⣿⠛⣦⡀⢻⣿⡇⠀   ==================================
⠀⠀⢸⣿⣿⣿⣿⣿⣿⣿⣿⣿⣿⣿⣿⣿⣿⣿⣿⠛⣶⡞⠻⣶⠛⢻⡄⠹⠀⠀   [✓] Attack Surface Dashboard UI
⠀⠀⣿⣿⣿⣿⣿⣿⣿⣿⣿⣿⣿⣿⣿⣿⣿⣿⣿⣷⣿⣷⣾⣿⣶⣿⣿⠆⠀⠀   [✓] Threat Tracking Engine
⠀⢠⣿⣿⣿⡄⢹⣿⣿⣿⣿⣿⣿⣿⣿⣿⣏⣉⣉⣉⣉⣉⣉⣉⣉⣉⡉⠀⠀⠀   Usage: reconexec hound start
⠀⢸⣿⣿⣿⣷⡀⠻⠿⠿⠿⠿⠿⠿⠿⠿⠿⠿⠿⠿⠿⠿⠿⠿⠿⠿⠃⠀⠀⠀
⠀⣿⣿⣿⣿⣿⣷⣶⣶⣶⣶⣶⡄⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀
⠀⣿⣿⣿⣿⣿⣿⣿⣿⣿⣿⣿⡇⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀
⠀⣿⣿⣿⣿⣿⣿⣿⣿⣿⣿⣿⣿⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀
⠀⠛⠛⠛⠛⠛⠛⠛⠛⠛⠛⠛⠛⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀⠀

Gerenciamento do Servidor ReconHound (Daemon)

O gerenciamento do ciclo de vida do servidor web é realizado através do subcomando hound:

UX Graph-First e Gestão Flutuante de Leads

O ReconHound adota um modelo de interação Graph-First. Em vez de depender de barras laterais poluídas, você gerencia sua superfície de ataque passiva diretamente no próprio canvas.

• Persistência do Target Root: O nó central (target_root) atua como a âncora do seu escopo. Mesmo se você desmarcar todos os leads ou clicar em "Collapse All", este nó nunca desaparecerá do canvas.
• Auto-Centralização Cinemática: Caso o target_root se torne o único nó visível na tela, a câmera fará um deslizamento e zoom automático focado nele.
• Modal Flutuante de Leads (Context Menu): Clique com o botão direito no nó target_root e selecione "Explore Leads..." para abrir um modal interativo e translúcido bem no centro do grafo, que conta com uma barra de pesquisa em tempo real. A partir dele, você seleciona, pesquisa e filtra quais IPs, Domínios e Subdomínios passivos deseja projetar visualmente. (Pode ser fechado rapidamente clicando em qualquer lugar vazio do canvas ou apertando ESC).
• Auto-Select Inteligente & Hidratação: Se a varredura inicial encontrar um escopo pequeno (50 leads ou menos), a ferramenta fará o auto-selecionamento preventivo. Além disso, alvos informados explicitamente via Engine são sanitizados em FQDNs puros (removendo http/https) para prevenir duplicações, sendo persistentemente auto-renderizados através das sessões do dashboard.
• Busca via HUD: A barra de pesquisa de nós agora é um HUD fixado no canto superior esquerdo do próprio canvas, ampliando sua área de visão tática.
• Canvas Clean (BloodHound-style): O grafo inicia totalmente limpo, exibindo apenas o nó raiz. Expandir ativos não força atualizações de alvos no banco de dados, promovendo uma exploração passiva e fluída.
• Comando CLI reconx hound restart: Permite o reinício instantâneo e contínuo do backend WebGUI sem precisar derrubar dependências durante o desenvolvimento.

Semântica de Cores e Formas do Grafo

Cada entidade do ecossistema EASM possui uma representação visual clara para facilitar a rápida identificação durante triagens de Red/Blue Team:

Semântica de Arestas e Conexões Relacionais

As arestas direcionadas representam o fluxo de resolução e exposição de ativos no grafo:

Destaques da Interface & Engine Ativa

A interface do ReconHound foi desenhada para ser altamente intuitiva (no estilo BloodHound), permitindo que você navegue, filtre e defina alvos de ataque com cliques simples.

• Navegação Direta: Clique com o botão esquerdo em qualquer nó para abrir o Asset Inspector (detalhes técnicos, geolocalização e vulnerabilidades) e use o botão direito para o Menu de Contexto (ações rápidas de alvo e visualização).
• Targeting Inteligente (Bypass de WAF/CDN): Ao definir um FQDN (Domínio/Subdomínio) como alvo, o motor ataca preservando o Server Name Indication (SNI), contornando bloqueios do Cloudflare e AWS. Já para IPs diretos, ocorre reconciliação e validação dinâmica de topologia.
• Smart Scanning (Masscan & Nuclei): Feito para operações silenciosas e eficientes. O Masscan descarta portas já verificadas e o Nuclei só ataca portas marcadas como "Confirmed Active". Ambos preservam 100% do estado em banco se o scan for cancelado.
• Isolamento Estrito de Rota de Ataque: Ao ligar filtros críticos na barra lateral (como CISA KEV ou Critical CVSS), o grafo poda automaticamente toda a rede paralela, isolando na tela apenas a cadeia direta de ataque (Root ──► IP ──► Porta ──► CVE), eliminando todo o ruído visual.

7. Threat Intelligence & Matriz Tridimensional de Risco EASM

O modelo tradicional de priorização baseado puramente em notas CVSS estáticas está obsoleto. Em um cenário real de Gestão de Superfície de Ataque Externa (EASM), uma vulnerabilidade CVSS 9.8 puramente teórica em um host inativo ou sem exploit conhecido representa menos risco operacional imediato do que uma falha CVSS 7.5 em porta exposta ativamente explorada por operadores de ransomware.

Para eliminar o ruído de milhares de alertas irrelevantes e orientar o time de segurança diretamente nas ameaças iminentes, o ReconExec e o ReconHound implementam a Matriz Tridimensional de Risco EASM.

As 3 Dimensões Fundamentais

Os 3 Pilares da Dimensão 3 (Ameaça no Mundo Real)

A Dimensão 3 não exige 100% de coincidência de todas as fontes para evitar pontos cegos perigosos. Ela é ativada se a vulnerabilidade atender a qualquer um dos seguintes pilares:

Cenário Comparativo Prático

Imagine duas vulnerabilidades identificadas pelo pipeline no perímetro da organização: