CLI Não-Interativo

ixf <comando> [args...]

# Comando único
ixf stats

# Comandos encadeados (processados sequencialmente)
ixf use scanners/ics/modbus_detect set target 192.168.1.100 run

# Múltiplos comandos independentes
ixf search siemens
ixf stats
ixf vendors siemens

ixf search modbus

ixf search CVE-2021-22681

ixf search default_creds

ixf use scanners/ics/modbus_detect set target 192.168.1.100 run

ixf stats

ixf use cve/malware/frostygoop_modbus_heating info

ixf mitre-coverage

ixf mitre-list --tactic initial-access

ixf mitre T0836

ixf ttp T0812 192.168.1.0/24

ixf vendors
ixf vendors siemens
ixf vendors brazil
ixf protocols

ixf mitre-report json
ixf report json
ixf report csv

# 1. Indexar e listar todos os módulos
ixf list

# 2. Buscar por vendor específico
ixf search schneider

# 3. Executar scanner Modbus em uma sub-rede
ixf use scanners/ics/modbus_detect set target 10.0.0.0/24 run

# 4. Executar scanner S7comm
ixf use scanners/ics/s7_enumerate set target 192.168.1.50 run

# 5. Verificar cobertura MITRE
ixf mitre-coverage

# 6. Consultar técnica específica
ixf mitre T0843

# 7. Listar TTPs de Initial Access
ixf ttp-list initial-access

# 8. Executar TTP de Default Credentials
ixf ttp T0812 192.168.1.100

# 9. Verificar módulo específico
ixf use cve/siemens/cve_2021_22681_s7_1200_hardcoded_key set target 192.168.1.50 check

# 10. Ver informações de módulo CVE
ixf use cve/malware/frostygoop_modbus_heating info

# 11. Varredura de tática Discovery completa
ixf mitre-scan discovery 192.168.1.0/24

# 12. Relatório MITRE JSON
ixf mitre-report json

# 13. Verificar status do LLM
ixf llm-status

# 14. Executar SAST em arquivo PLC
ixf sast /opt/plc/reactor.st --mode sast

# 15. Estatísticas gerais
ixf stats

# 16. Listar vendors japoneses
ixf vendors japan

# 17. Buscar por protocolo específico
ixf protocols

# 18. Executar assessment IEC 62443
ixf assess iec62443/zone_conduit_audit

# 19. Executar assessment NIST 800-82
ixf assess nist_sp800_82/control_checklist

# 20. Relatório de cobertura completo
ixf mitre-all 192.168.1.100

# Varredura completa de um alvo específico
ixf \
  use scanners/ics/modbus_detect set target 192.168.1.100 run \
  use scanners/ics/s7_enumerate set target 192.168.1.100 run \
  use scanners/ics/opcua_discovery set target 192.168.1.100 run

# Verificar credenciais padrão em múltiplos protocolos
ixf \
  use creds/siemens/s7_default_creds set target 192.168.1.50 run \
  use creds/generic/ssh_default_creds set target 192.168.1.50 run \
  use creds/generic/web_default_creds set target 192.168.1.50 run

# Definir opção global antes de encadear módulos
ixf setg simulate true use scanners/ics/modbus_detect set target 192.168.1.0/24 run

# Forçar modo ao vivo (APENAS EM AMBIENTE AUTORIZADO)
ixf setg simulate false setg destructive true use exploits/protocols/modbus/modbus_write_coil set target 192.168.1.100 run

# Executar todos os módulos de uma técnica em modo simulate
ixf ttp T0836 192.168.1.100

# Executar com module específico
ixf ttp T0836 192.168.1.100 --module exploits/protocols/modbus/modbus_write_holding_register

# Verificação somente leitura (apenas check())
ixf ttp-check T0846 192.168.1.0/24

# Exibir simulação sem executar módulos
ixf ttp-simulate T0836 192.168.1.100

# Listar TTPs disponíveis
ixf ttp-list
ixf ttp-list initial-access
ixf ttp-list discovery
ixf ttp-list impair
ixf ttp-list inhibit
ixf ttp-list impact
ixf ttp-list execution
ixf ttp-list persistence
ixf ttp-list collection

# Consultar técnica específica
ixf mitre T0819
ixf mitre T0836
ixf mitre T0843
ixf mitre T0878

# Listar todas as técnicas
ixf mitre-list

# Filtrar por tática
ixf mitre-list --tactic initial-access
ixf mitre-list --tactic discovery
ixf mitre-list --tactic inhibit
ixf mitre-list --tactic impair
ixf mitre-list --tactic impact
ixf mitre-list --tactic execution
ixf mitre-list --tactic persistence
ixf mitre-list --tactic collection
ixf mitre-list --tactic lateral-movement
ixf mitre-list --tactic c2

# Varredura de tática
ixf mitre-scan discovery 192.168.1.0/24
ixf mitre-scan impair 192.168.10.5
ixf mitre-scan inhibit 10.0.0.1

# Varredura completa
ixf mitre-all 192.168.1.100

# Relatório de cobertura
ixf mitre-coverage

# Exportar relatórios
ixf mitre-report json
ixf mitre-report csv
ixf mitre-report navigator

# 1. Extrair apenas caminhos de módulo dos resultados de busca
ixf search modbus | grep "use " | awk '{print $2}'

# 2. Contar módulos por nível de impacto
ixf list | grep "\[CRITICAL\]" | wc -l

# 3. Salvar saída de mitre-coverage em arquivo
ixf mitre-coverage > relatorio_mitre_$(date +%Y%m%d).txt

# 4. Extrair técnicas MITRE de resultados de busca
ixf mitre-list | grep "T0" | awk '{print $1, $2}' | sort

# 5. Filtrar apenas módulos de alto impacto do search
ixf search siemens | grep -E "\[CRITICAL\]|\[HIGH\]"

# 6. Salvar relatório JSON MITRE formatado
ixf mitre-report json && cat .tmp/ixf_mitre_report_*.json | python3 -m json.tool > mitre_formatado.json

# 7. Executar varredura e extrair IPs que responderam
ixf use scanners/ics/modbus_detect set target 192.168.1.0/24 run | grep "\[+\]" | awk '{print $NF}'

# 8. Buscar e executar módulo específico em pipeline
ixf search "frostygoop" | head -1 | awk '{print $2}' | xargs -I {} ixf use {} set target 192.168.1.100 run

# 9. Extrair CVEs listados
ixf list | grep "CVE-" | grep -oE "CVE-[0-9]+-[0-9]+" | sort -u

# 10. Enviar saída de simulação para log SIEM
ixf use cve/malware/frostygoop_modbus_heating set target 192.168.1.100 run 2>&1 | \
  logger -t "IXF-SIMULATE" -p local0.info

# 11. Comparar cobertura MITRE entre builds
ixf mitre-coverage | grep "TOTAL" | awk '{print $3}'

# 12. Executar múltiplos scanners e salvar resultados
for scanner in modbus_detect s7_enumerate bacnet_discovery opcua_discovery; do
  ixf use scanners/ics/$scanner set target 192.168.1.0/24 run >> scan_results.txt 2>&1
done

# 13. Extrair todos os módulos CATASTROPHIC
ixf list | grep "\[CATASTROPHIC\]" | awk '{print $2}'

# 14. Verificar conectividade antes de executar
ixf use scanners/ics/modbus_detect set target 192.168.1.100 check && \
  echo "Alvo acessível" || echo "Alvo inacessível"

# 15. Pipeline de assessment completo com saída JSON
ixf mitre-report json && \
  ixf report json && \
  jq '.modules | length' .tmp/ixf_report_*.json

#!/usr/bin/env bash
# assessment_ot.sh — Script de assessment de segurança OT completo
# Uso: ./assessment_ot.sh <ip_alvo_ou_cidr> [prefixo_relatorio]
#
# Requer: ixf instalado e configurado

set -euo pipefail

# ─── Configuração ────────────────────────────────────────────────────────────
TARGET="${1:-192.168.1.0/24}"
REPORT_PREFIX="${2:-assessment_ot}"
TIMESTAMP=$(date +%Y%m%d_%H%M%S)
REPORT_DIR="./relatorios/${TIMESTAMP}"
LOG_FILE="${REPORT_DIR}/assessment.log"

# ─── Cores para saída ────────────────────────────────────────────────────────
RED='\033[0;31m'
GREEN='\033[0;32m'
YELLOW='\033[1;33m'
BLUE='\033[0;34m'
NC='\033[0m' # Sem cor

# ─── Funções auxiliares ───────────────────────────────────────────────────────
log() { echo -e "${BLUE}[$(date +%H:%M:%S)]${NC} $*" | tee -a "$LOG_FILE"; }
success() { echo -e "${GREEN}[OK]${NC} $*" | tee -a "$LOG_FILE"; }
warn() { echo -e "${YELLOW}[AVISO]${NC} $*" | tee -a "$LOG_FILE"; }
error() { echo -e "${RED}[ERRO]${NC} $*" | tee -a "$LOG_FILE"; }

# ─── Inicialização ────────────────────────────────────────────────────────────
mkdir -p "$REPORT_DIR"
log "Iniciando assessment OT — Alvo: $TARGET"
log "Relatórios em: $REPORT_DIR"
log "Log: $LOG_FILE"

# Verificar que IXF está instalado
if ! command -v ixf &>/dev/null; then
    error "IXF não encontrado. Instale com: 
        $extras = $args[0].Groups[1].Value
        "pip install industrialxpl-forge$extras"
    "
    exit 1
fi

# Forçar modo simulate para segurança
export IXF_FORCE_SIMULATE=true
log "Modo simulate forçado (IXF_FORCE_SIMULATE=true)"

# ─── Fase 1: Descoberta de Protocolos ────────────────────────────────────────
log "═══════════════════════════════════════════════════════════"
log "FASE 1: Descoberta de Protocolos Industriais"
log "═══════════════════════════════════════════════════════════"

SCAN_RESULTS="${REPORT_DIR}/fase1_descoberta.txt"

for protocolo in \
  "scanners/ics/modbus_detect:502:Modbus TCP" \
  "scanners/ics/s7_enumerate:102:Siemens S7comm" \
  "scanners/ics/enip_scanner:44818:EtherNet/IP" \
  "scanners/ics/bacnet_discovery:47808:BACnet/IP" \
  "scanners/ics/dnp3_data_link_scan:20000:DNP3" \
  "scanners/ics/iec104_scan:2404:IEC 60870-5-104" \
  "scanners/ics/opcua_discovery:4840:OPC UA"; do

  modulo=$(echo "$protocolo" | cut -d: -f1)
  porta=$(echo "$protocolo" | cut -d: -f2)
  nome=$(echo "$protocolo" | cut -d: -f3)

  log "Varrendo $nome (porta $porta) em $TARGET..."
  ixf use "$modulo" set target "$TARGET" run >> "$SCAN_RESULTS" 2>&1 || true
  sleep 1
done

# Contar dispositivos descobertos
DISPOSITIVOS=$(grep -c "\[+\]" "$SCAN_RESULTS" 2>/dev/null || echo 0)
success "Fase 1 completa: $DISPOSITIVOS dispositivos encontrados"

# ─── Fase 2: Descoberta MITRE ─────────────────────────────────────────────────
log "═══════════════════════════════════════════════════════════"
log "FASE 2: Varredura MITRE ATT&CK for ICS — Discovery"
log "═══════════════════════════════════════════════════════════"

MITRE_RESULTS="${REPORT_DIR}/fase2_mitre_discovery.txt"
ixf mitre-scan discovery "$TARGET" >> "$MITRE_RESULTS" 2>&1 || true
success "Fase 2 completa: varredura Discovery MITRE finalizada"

# ─── Fase 3: Verificação de Credenciais Padrão ───────────────────────────────
log "═══════════════════════════════════════════════════════════"
log "FASE 3: Verificação de Credenciais Padrão (simulate=True)"
log "═══════════════════════════════════════════════════════════"

CREDS_RESULTS="${REPORT_DIR}/fase3_credenciais.txt"
ixf ttp T0812 "$TARGET" >> "$CREDS_RESULTS" 2>&1 || true
success "Fase 3 completa: verificação de credenciais padrão finalizada"

# ─── Fase 4: Assessment de Conformidade ──────────────────────────────────────
log "═══════════════════════════════════════════════════════════"
log "FASE 4: Assessment de Conformidade"
log "═══════════════════════════════════════════════════════════"

COMPLIANCE_RESULTS="${REPORT_DIR}/fase4_conformidade.txt"

for assessment in \
  "iec62443/zone_conduit_audit" \
  "nist_sp800_82/control_checklist" \
  "risk/ics_risk_scorer" \
  "threat_intel/ics_kill_chain" \
  "ir/iacs_ir_playbook" \
  "network/ics_firewall_audit"; do

  log "Executando assessment: $assessment..."
  ixf assess "$assessment" >> "$COMPLIANCE_RESULTS" 2>&1 || true
done

success "Fase 4 completa: assessments de conformidade finalizados"

# ─── Fase 5: Relatório MITRE ─────────────────────────────────────────────────
log "═══════════════════════════════════════════════════════════"
log "FASE 5: Gerando Relatórios MITRE"
log "═══════════════════════════════════════════════════════════"

ixf mitre-coverage >> "${REPORT_DIR}/fase5_mitre_coverage.txt" 2>&1 || true
ixf mitre-report json >> /dev/null 2>&1 || true
ixf mitre-report navigator >> /dev/null 2>&1 || true

# Copiar arquivos gerados
cp .tmp/ixf_mitre_*.json "${REPORT_DIR}/" 2>/dev/null || true
success "Fase 5 completa: relatórios MITRE gerados"

# ─── Resumo Final ─────────────────────────────────────────────────────────────
log "═══════════════════════════════════════════════════════════"
log "RESUMO DO ASSESSMENT"
log "═══════════════════════════════════════════════════════════"

TOTAL_FINDINGS=$(grep -hc "\[+\]\|\[!\]" "${REPORT_DIR}"/*.txt 2>/dev/null || echo 0)
CRITICAL_FINDINGS=$(grep -hc "CRITICAL\|CATASTROPHIC" "${REPORT_DIR}"/*.txt 2>/dev/null || echo 0)

success "Assessment completo!"
log "  Alvo:               $TARGET"
log "  Relatório em:       $REPORT_DIR"
log "  Dispositivos:       $DISPOSITIVOS"
log "  Achados totais:     $TOTAL_FINDINGS"
log "  Achados críticos:   $CRITICAL_FINDINGS"
log ""
log "Arquivos gerados:"
ls -lh "${REPORT_DIR}/" | tee -a "$LOG_FILE"
log ""
log "Próximos passos:"
log "  1. Revisar ${REPORT_DIR}/fase1_descoberta.txt para dispositivos encontrados"
log "  2. Abrir ${REPORT_DIR}/ixf_mitre_layer_*.json em attack.mitre.org/attack-navigator"
log "  3. Compartilhar ${REPORT_DIR}/fase4_conformidade.txt com equipe de conformidade"
log "  4. Verificar ${REPORT_DIR}/fase3_credenciais.txt para exposição de credenciais"

ixf use cve/malware/frostygoop_modbus_heating set target 192.168.1.100 check
EXIT_CODE=$?

case $EXIT_CODE in
  0) echo "Módulo executou com sucesso" ;;
  3) echo "Módulo não encontrado" ;;
  5) echo "Alvo não acessível" ;;
  *) echo "Código de saída: $EXIT_CODE" ;;
esac

# Gerar relatório JSON e processar com jq
ixf mitre-report json
cat .tmp/ixf_mitre_report_*.json | jq '.techniques | length'

# Extrair técnicas com mais de 10 módulos
cat .tmp/ixf_mitre_report_*.json | jq '[.techniques[] | select(.module_count > 10) | {id: .technique_id, nome: .name, modulos: .module_count}]'

# Obter cobertura por tática
cat .tmp/ixf_mitre_report_*.json | jq '.tactics | to_entries[] | {tática: .key, cobertura: .value.coverage_pct}'

# Filtrar módulos CATASTROPHIC
ixf report json
cat .tmp/ixf_report_*.json | jq '[.modules[] | select(.impact == "CATASTROPHIC") | {caminho: .path, nome: .name}]'