Tutorial de SpiderFoot: montar en local un escáner OSINT y de inteligencia de superficie de ataque

smicallef/spiderfoot es una herramienta OSINT automatizada para inteligencia de amenazas, mapeo de superficie de ataque y recopilación de información pública. Tiene interfaz web y también puede usarse desde la línea de comandos.

Repositorio del proyecto:

https://github.com/smicallef/spiderfoot

Sitio oficial:

http://www.spiderfoot.net

Instalar la versión estable

El README da este método de instalación estable:

1
2
3
4
5


wget https://github.com/smicallef/spiderfoot/archive/v4.0.tar.gz
tar zxvf v4.0.tar.gz
cd spiderfoot-4.0
pip3 install -r requirements.txt
python3 ./sf.py -l 127.0.0.1:5001

Después de iniciar, abre 127.0.0.1:5001 en tu máquina local.

Instalar la versión de desarrollo

Si quieres seguir el código más reciente:

1
2
3
4


git clone https://github.com/smicallef/spiderfoot.git
cd spiderfoot
pip3 install -r requirements.txt
python3 ./sf.py -l 127.0.0.1:5001

La versión de desarrollo puede traer funciones nuevas, pero también cambios inestables. Para uso formal, suele ser mejor empezar por la versión estable.

Tareas adecuadas

SpiderFoot encaja para:

Enumerar información pública de dominios propios.
Mapear una superficie de ataque externa.
Recopilar pistas como correos, dominios, IPs e información filtrada.
Hacer una primera criba de inteligencia de amenazas.
Aprendizaje de seguridad y ejercicios de laboratorio.

Sugerencias de uso

No escanees un alcance muy grande en el primer uso. Empieza con un dominio de prueba propio y observa la salida de los módulos y los falsos positivos. Las herramientas OSINT conectan con muchas fuentes externas, y los resultados requieren criterio humano. No trates la salida del escaneo como hechos sin verificación.

Límite de cumplimiento

Escanea solo objetivos que posees o para los que tienes autorización explícita. SpiderFoot recopila información pública, pero muchas solicitudes, correlación entre fuentes y enumeración automatizada aún pueden activar controles de riesgo o causar malentendidos. En entornos empresariales, conviene documentar antes el alcance y la ventana horaria del escaneo.