ioc-triage: пакетная проверка IOC по VirusTotal, AbuseIPDB, Kaspersky OpenTIP и abuse.ch
ForensicsЧто это и зачем
ioc-triage это CLI на Python для пакетной проверки индикаторов компрометации: IP, доменов, URL и хешей MD5, SHA1, SHA256.
Инструмент берет список из файла, CSV или stdin, сам определяет тип каждого индикатора и опрашивает подходящие источники репутации через их официальные API: VirusTotal, AbuseIPDB, Kaspersky OpenTIP, MalwareBazaar, URLhaus и ThreatFox. Скрейпинга веб-интерфейсов нет.
На каждую пару «индикатор + источник» выводится одна строка: детекты, дата первого обнаружения, контекст и вердикт. Формат вывода: таблица в терминале, CSV или JSON.
Ключи API бесплатные, у каждого источника свой. Если ключа нет, источник помечается как пропущенный, а проверка продолжается. Внутренние адреса (RFC1918, CGNAT, link-local, loopback) наружу не отправляются. Источники опрашиваются параллельно, у каждого своя пауза под лимит, повторные проверки берутся из локального кэша.
Работает на Python 3.10+ без сторонних зависимостей.
Инструмент берет список из файла, CSV или stdin, сам определяет тип каждого индикатора и опрашивает подходящие источники репутации через их официальные API: VirusTotal, AbuseIPDB, Kaspersky OpenTIP, MalwareBazaar, URLhaus и ThreatFox. Скрейпинга веб-интерфейсов нет.
На каждую пару «индикатор + источник» выводится одна строка: детекты, дата первого обнаружения, контекст и вердикт. Формат вывода: таблица в терминале, CSV или JSON.
Ключи API бесплатные, у каждого источника свой. Если ключа нет, источник помечается как пропущенный, а проверка продолжается. Внутренние адреса (RFC1918, CGNAT, link-local, loopback) наружу не отправляются. Источники опрашиваются параллельно, у каждого своя пауза под лимит, повторные проверки берутся из локального кэша.
Работает на Python 3.10+ без сторонних зависимостей.
Установка
$
pip install ioc-triageКогда применять
- Проверить индикаторы из алерта SIEM или EDR одним запуском
- Прогнать уникальные IP из лога файрвола через stdin: grep ... | sort -u | ioc-triage
- Проверить хеши и домены из отчета threat intel
- Добавить вердикты к выгрузке CSV и сохранить результат в JSON для отчета
Обсуждение · 0
сначала полезные · скороВопросы по запуску, флагам и тонкостям использования — здесь, на странице инструмента. Темы-сравнения и траблшут выносите в форум.
Разборы с инструментомскоро
Связанные статьи-разборы появятся с ингестом контента.
Где востребованскоро
Вакансии, где ждут владение инструментом.
Скоро · в планах
Запуск без установки
Готовые окружения с инструментом в облачной лаборатории HackerLab.
Ещё по теме
3
СтатьяThreat intelligence feeds сравнение: бесплатные и коммерческие IOC-фиды для SOC
0
972
26.06.2026
СтатьяThreat Intelligence платформы 2025-2026: полный обзор TIP, IOC-менеджмента и инструментов киберразведки для security-инженера
0
1 тыс.
21.07.2026
СтатьяThreat Intelligence для SOC на практике: сбор, обработка и применение TI в малой команде
0
1 тыс.
30.06.2026