Referencia Shell

André Henrique edited this page Jun 30, 2026 · 6 revisions

Referência do Shell

Referência completa de todos os 36 comandos do shell interativo do IXF.

Prompts do shell:

ixf > — contexto global, nenhum módulo carregado
ixf (Nome do Módulo) > — módulo carregado e ativo

Comandos com hifens (ex.: mitre-scan) funcionam com ou sem hifens; mapeiam internamente para command_mitre_scan. Comandos com sublinhados também são aceitos (mitre_scan).

Índice

Navegação — help, exit, use, back
Opções de Módulo — set, setg, unsetg
Inspeção de Módulo — show
Execução — run, check
Descoberta — search, exec, discover
CVE — cve, cve-scan
Relatórios — report
MITRE ATT&CK para ICS — mitre, mitre-list, mitre-scan, mitre-all, mitre-coverage, mitre-report, mitre-tactic
Execução TTP — ttp, ttp-check, ttp-simulate, ttp-list
Assessment — assess
Estatísticas e Inventário — stats, vendors, protocols, coverage
LLM / SAST — llm-key, llm-status, sast
Scripts NSE — nse

Navegação

`help`

Exibe o menu de ajuda global ou a ajuda específica do módulo carregado.

Sintaxe: help

Contexto: global ou módulo

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
(nenhum)	—	—	—	—

Exemplo 1 — ajuda global:

ixf > help
 IndustrialXPL-Forge v1.0.13 — IXF Shell Commands
 ─────────────────────────────────────────────────────────────
 use <module> Carrega um módulo
 back Descarrega o módulo atual
 search <term> Busca módulos por palavra-chave/CVE/vendor
 set <opt> <val> Define opção do módulo
 setg <opt> <val> Define opção global (todos os módulos)
 show [info|options] Exibe detalhes do módulo
 run Executa o módulo carregado
 check Verificação de conectividade/vulnerabilidade
 discover <CIDR> Varredura de descoberta de dispositivos OT
 cve <CVE-ID> Carrega módulo por ID de CVE
 ttp <TID> <target> Executa técnica MITRE ATT&CK
 mitre-scan <t> <ip> Varredura de tática/técnica MITRE
 mitre-coverage Porcentagem de cobertura por tática
 sast <path> Análise estática de código PLC (LLM)
 stats Estatísticas de módulos
 vendors [filtro] Lista vendors cobertos
 protocols Lista protocolos cobertos
 report [formato] Gera relatório de assessment
 nse <subcmd> Gerencia scripts NSE do Nmap
 help Esta ajuda
 exit Encerra o IXF

Exemplo 2 — ajuda dentro de módulo:

ixf (Modbus TCP Device Detect) > help
 IndustrialXPL-Forge v1.0.13 — Módulo: Modbus TCP Device Detect
 ─────────────────────────────────────────────────────────────
 show options Exibe opções do módulo
 show info Exibe metadados completos do módulo
 set <opt> <val> Define uma opção
 run Executa o módulo
 check Verifica conectividade (sem exploit)
 back Retorna ao contexto global
 help Esta ajuda

Exemplo 3 — verificação de versão via help:

ixf > help
 IndustrialXPL-Forge v1.0.13 — ...
 [i] PyPI: pip install industrialxpl-forge
 [i] Documentação: docs/pt-br/

Cenário de erro:

ixf (Módulo Ativo) > helpp
[-] Comando não reconhecido: 'helpp'. Digite 'help' para ver os comandos disponíveis.

Comandos relacionados: exit, stats, show

`exit`

Encerra o shell IXF e retorna ao terminal do sistema.

Sintaxe: exit

Contexto: global ou módulo

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
(nenhum)	—	—	—	—

Exemplo 1 — saída a partir do contexto global:

ixf > exit
[*] Encerrando IndustrialXPL-Forge. Fique seguro.

Exemplo 2 — saída a partir de um módulo carregado:

ixf (CVE-2021-22681 Siemens S7-1200) > exit
[*] Encerrando IndustrialXPL-Forge. Fique seguro.

Exemplo 3 — uso com Ctrl+D (EOF):

ixf > ^D
[*] Encerrando IndustrialXPL-Forge. Fique seguro.

Cenário de erro: O comando exit não produz erros. Ctrl+C na linha de prompt não encerra o IXF — usa-se exit ou quit para sair.

Comandos relacionados: help

`use <caminho_modulo>`

Carrega um módulo pelo seu caminho. Aceita notação com barras (scanners/ics/modbus_detect) ou com pontos (scanners.ics.modbus_detect).

Sintaxe: use <caminho_modulo>

Contexto: global

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
caminho_modulo	string	Sim	—	Caminho relativo a `modules/` em notação barra ou ponto

Exemplo 1 — carregar módulo scanner:

ixf > use scanners/ics/modbus_detect
[*] Módulo carregado: Modbus TCP Device Detect
[*] CVE: N/A | CVSS: N/A | Impacto: LOW
ixf (Modbus TCP Device Detect) >

Exemplo 2 — carregar módulo CVE crítico:

ixf > use cve/siemens/cve_2021_22681_s7_1200_hardcoded_key
[*] Módulo carregado: CVE-2021-22681 Siemens S7-1200/1500 PLC
[*] CVE: CVE-2021-22681 | CVSS: 9.8 | Impacto: CRITICAL

Exemplo 3 — carregar usando notação com pontos:

ixf > use cve.rockwell.cve_2022_1161_controllogix_modified_fw
[*] Módulo carregado: CVE-2022-1161 Rockwell ControlLogix Modified FW
[*] CVE: CVE-2022-1161 | CVSS: 8.8 | Impacto: CRITICAL

Quando o runtime necessário está ausente (Tier 3):

ixf > use cve/malware/frostygoop_modbus_heating
[!] Módulo requer runtime 'go'. Fallback Python disponível.
 Instale Go: https://go.dev/dl/
[*] Módulo carregado com fallback Python: FrostyGoop Modbus Heating Attack
[*] CVE: N/A | CVSS: N/A | Impacto: CATASTROPHIC

Cenário de erro — módulo não encontrado:

ixf > use cve/siemens/nao_existe
[-] Módulo não encontrado: 'cve/siemens/nao_existe'
[i] Tente: search siemens

Cenário de erro — erro de sintaxe no módulo:

ixf > use cve/siemens/modulo_com_erro
[-] Falha ao importar 'cve/siemens/modulo_com_erro': SyntaxError on line 42

Comandos relacionados: back, search, cve, show

`back`

Descarrega o módulo atual e retorna ao contexto global.

Sintaxe: back

Contexto: apenas módulo

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
(nenhum)	—	—	—	—

Exemplo 1 — retornar ao contexto global:

ixf (Modbus TCP Device Detect) > back
ixf >

Exemplo 2 — back após configurar opções (opções são descartadas):

ixf (CVE-2021-22681 S7-1200) > set target 192.168.1.100
[*] target => 192.168.1.100
ixf (CVE-2021-22681 S7-1200) > back
ixf >

Exemplo 3 — tentativa de back no contexto global:

ixf > back
[-] Nenhum módulo carregado. Use 'use <módulo>' para carregar um módulo.

Cenário de erro — sem módulo carregado:

ixf > back
[-] Nenhum módulo carregado. Use 'use <módulo>' para carregar um módulo.

Comandos relacionados: use, exit

Opções de Módulo

`set <opção> <valor>`

Define uma opção no módulo carregado. As opções são específicas do módulo e são perdidas ao executar back.

Sintaxe: set <opção> <valor>

Contexto: apenas módulo (exige módulo carregado)

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
opção	string	Sim	—	Nome da opção (case-insensitive)
valor	variável	Sim	—	Valor adequado ao tipo da opção (ver Sistema de Módulos)

Exemplo 1 — definir alvo e porta:

ixf (Modbus TCP Device Detect) > set target 192.168.1.100
[*] target => 192.168.1.100
ixf (Modbus TCP Device Detect) > set port 5020
[*] port => 5020

Exemplo 2 — definir opções booleanas (todas as formas aceitas):

ixf (CVE-2021-22681 S7-1200) > set simulate false
[*] simulate => False
ixf (CVE-2021-22681 S7-1200) > set destructive true
[*] destructive => True
ixf (CVE-2021-22681 S7-1200) > set verbose yes
[*] verbose => True
ixf (CVE-2021-22681 S7-1200) > set ssl on
[*] ssl => True

Exemplo 3 — definir wordlist e timeout:

ixf (S7 Default Creds) > set wordlist ics_common_passwords.txt
[*] wordlist => ics_common_passwords.txt
ixf (S7 Default Creds) > set timeout 10
[*] timeout => 10
ixf (S7 Default Creds) > set threads 5
[*] threads => 5

Cenário de erro — porta fora do intervalo válido:

ixf (Modbus TCP Device Detect) > set port 99999
[-] Erro de validação para 'port': Port must be in range 1-65535, got: 99999

Cenário de erro — IP inválido:

ixf (CVE-2021-22681 S7-1200) > set target 300.300.300.300
[-] Erro de validação para 'target': '300.300.300.300' is not a valid IP address or hostname.

Cenário de erro — opção inexistente:

ixf (Modbus TCP Device Detect) > set opcao_invalida 123
[-] Opção não encontrada: 'opcao_invalida'. Use 'show options' para ver as opções disponíveis.

Cenário de erro — booleano inválido:

ixf (CVE-2021-22681 S7-1200) > set simulate talvez
[-] Erro de validação para 'simulate': Expected boolean (true/false/yes/no), got: 'talvez'

Comandos relacionados: setg, unsetg, show options

`setg <opção> <valor>`

Define uma opção global que persiste em todos os módulos durante a sessão atual.

Sintaxe: setg <opção> <valor>

Contexto: global ou módulo

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
opção	string	Sim	—	Nome da opção
valor	variável	Sim	—	Valor (mesmos tipos de `set`)

Exemplo 1 — definir alvo global e verificar em módulo:

ixf > setg target 10.0.0.100
[*] Global: target => 10.0.0.100
ixf > use scanners/ics/modbus_detect
[*] Módulo carregado: Modbus TCP Device Detect
[*] target já definido globalmente: 10.0.0.100
ixf (Modbus TCP Device Detect) > show options
 Opções — Modbus TCP Device Detect
 +------------+-----------+----------+------------------------------------------+
 | Opção | Valor | Obrig. | Descrição |
 |------------+-----------+----------+------------------------------------------|
 | target | 10.0.0.100| sim | IP ou hostname do dispositivo alvo |
 | port | 502 | não | Porta Modbus TCP |
 | simulate | True | não | Modo de simulação (padrão: True) |
 | destructive| False | não | Modo destrutivo — pode causar danos |
 +------------+-----------+----------+------------------------------------------+

Exemplo 2 — forçar modo seguro globalmente (recomendado no início da sessão):

ixf > setg simulate true
[*] Global: simulate => True
ixf > setg timeout 15
[*] Global: timeout => 15

Exemplo 3 — definir global dentro de módulo (persiste ao trocar de módulo):

ixf (CVE-2021-22681 S7-1200) > setg target 192.168.10.50
[*] Global: target => 192.168.10.50
ixf (CVE-2021-22681 S7-1200) > back
ixf > use scanners/ics/s7_enumerate
[*] Módulo carregado: S7 CPU Enumerate
[*] target já definido globalmente: 192.168.10.50

Opções globais comuns: target, timeout, simulate, destructive

Cenário de erro:

ixf > setg port abc
[-] Erro de validação para 'port': Port must be an integer, got: 'abc'

Comandos relacionados: set, unsetg

`unsetg <opção>`

Remove uma opção global, fazendo os módulos usarem seus valores padrão.

Sintaxe: unsetg <opção>

Contexto: global ou módulo

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
opção	string	Sim	—	Nome da opção global a remover

Exemplo 1 — remover opção global de alvo:

ixf > unsetg target
[*] Global 'target' removido.

Exemplo 2 — remover opção e verificar:

ixf > setg simulate true
[*] Global: simulate => True
ixf > unsetg simulate
[*] Global 'simulate' removido.
ixf > use scanners/ics/modbus_detect
[*] Módulo carregado: Modbus TCP Device Detect

Exemplo 3 — tentar remover opção inexistente:

ixf > unsetg opcao_que_nao_existe
[!] Global 'opcao_que_nao_existe' não estava definido.

Cenário de erro:

ixf > unsetg
[-] Uso: unsetg <opção>

Comandos relacionados: setg, set

Inspeção de Módulo

`show [subcomando]`

Exibe informações sobre o módulo carregado. Diferentes subcomandos revelam diferentes aspectos.

Sintaxe: show [info|options|advanced|devices|all]

Contexto: apenas módulo

Parâmetros:

Subcomando	Obrigatório	Descrição
`options`	Não (padrão)	Opções padrão do módulo
`info`	Não	Metadados completos (`__info__`)
`advanced`	Não	Apenas opções avançadas
`devices`	Não	Tipos de dispositivos alvo
`all`	Não	`info` + `options` juntos

Exemplo 1 — show options (subcomando padrão):

ixf (CVE-2021-22681 Siemens S7-1200/1500 PLC) > show options
 Opções — CVE-2021-22681 Siemens S7-1200/1500 PLC
 +------------+-----------+----------+----------------------------------------------+
 | Opção | Valor | Obrig. | Descrição |
 |------------+-----------+----------+----------------------------------------------|
 | target | | sim | IP do Siemens S7-1200 alvo |
 | port | 102 | não | Porta S7comm (padrão: 102) |
 | slot | 2 | não | Número do slot do PLC |
 | timeout | 5 | não | Timeout de conexão (segundos) |
 | simulate | True | não | Modo de simulação (padrão: True) |
 | destructive| False | não | Exploração ao vivo — pode causar danos irrev.|
 +------------+-----------+----------+----------------------------------------------+

Exemplo 2 — show info:

ixf (CVE-2021-22681 Siemens S7-1200/1500 PLC) > show info
 Informações do Módulo
 ─────────────────────────────────────────────────────
 name : CVE-2021-22681 Siemens S7-1200/1500 PLC
 description : Os PLCs S7-1200/1500 usam uma chave simétrica estática...
 authors : ('Andre Henrique (@mrhenrike) | Uniao Geek',)
 references : ('https://www.cisa.gov/ics-advisories/icsa-21-131-03',
 'https://nvd.nist.gov/vuln/detail/CVE-2021-22681')
 devices : ('Siemens SIMATIC S7-1200 firmware < 4.4.0',
 'Siemens SIMATIC S7-1500 firmware < 2.9.7')
 impact : CRITICAL
 exploit_type : Cryptographic Key Disclosure / PLC Logic Overwrite
 cve : CVE-2021-22681
 cvss : 9.8
 severity : CRITICAL
 mitre_techniques: ['T0821', 'T0866']
 mitre_tactics : ['Lateral Movement', 'Inhibit Response Function']

Exemplo 3 — show advanced:

ixf (Ignition RCE) > show advanced
 Opções Avançadas
 ─────────────────────────────────────────────────────────────────
 Nome Atual Descrição
 ──── ───── ─────────
 verbose False Habilita saída de debug detalhada
 timeout 5 Timeout de conexão (override)
 verify_cert True Verifica certificado TLS/SSL
 jitter 0.0 Jitter aleatório adicionado aos delays (s)

Cenário de erro — show sem módulo carregado:

ixf > show options
[-] Nenhum módulo carregado. Use 'use <módulo>' primeiro.

Cenário de erro — subcomando inválido:

ixf (Módulo) > show xyz
[-] Subcomando desconhecido: 'xyz'. Use: show [info|options|advanced|devices|all]

Comandos relacionados: use, set, run

Execução

`run`

Executa o módulo carregado. O comportamento depende das opções simulate e destructive.

Sintaxe: run

Contexto: apenas módulo

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
(nenhum)	—	—	—	—

Matriz de comportamento:

simulate	destructive	Comportamento
`True` (padrão)	qualquer	Imprime saída de simulação; nenhum pacote enviado
`False`	`False`	Executa apenas `check()` (sonda segura sem exploit)
`False`	`True`	Exploit completo com confirmação DestructiveGate para impacto HIGH/CRITICAL/CATASTROPHIC

Exemplo 1 — modo simulação (padrão):

ixf (FrostyGoop Modbus Heating Attack) > run
 [SIMULATE MODE — no packets sent]
 ─────────────────────────────────────────────────────────────
 [i] O que aconteceria:
 FrostyGoop TTP (2024) — Sandworm/GRU (Rússia)
 Fase 1 [Descoberta]: Varredura de porta Modbus TCP 502 no alvo 192.168.1.100
 Fase 2 [FC16 Write]: Escrita de 0x0000 nos registradores de aquecimento
 Fase 3 [Loop]: Repetição a cada 30s para impedir recuperação manual
 Impacto Físico: Controladores de aquecimento offline — 600 apartamentos
 em Lviv (Ucrânia) perderam calefação por 2 dias (jan/2024)
 [i] Payload (hex): 00 01 00 00 00 0B 01 10 00 00 00 02 04 00 00 00 00
 [i] MITRE ATT&CK para ICS: T0836 (Modify Parameter), T0814 (Denial of Control)
 [i] Para executar ao vivo: set simulate false

Exemplo 2 — execução ao vivo (simulate=false, destructive=false) — apenas check():

ixf (Modbus FC90 DoS) > set simulate false
[*] simulate => False
ixf (Modbus FC90 DoS) > set target 192.168.1.100
ixf (Modbus FC90 DoS) > run
[*] simulate=False, destructive=False — executando apenas check()...
[+] VULNERÁVEL — Dispositivo Modbus detectado em 192.168.1.100:502
[i] Para executar o exploit: set destructive true

Exemplo 3 — execução destrutiva com confirmação CATASTROPHIC:

ixf (FrostyGoop Modbus Heating Attack) > set simulate false
[*] simulate => False
ixf (FrostyGoop Modbus Heating Attack) > set destructive true
[*] destructive => True
ixf (FrostyGoop Modbus Heating Attack) > run
 ██████████████████████████████████████████████████████████████████████
 ██ MODO DESTRUTIVO — IMPACTO CATASTRÓFICO ██
 ██ ESTA AÇÃO É IRREVERSÍVEL ██
 ██████████████████████████████████████████████████████████████████████
 Módulo: FrostyGoop Modbus Heating Attack (Go) — Extended
 Alvo: 192.168.1.100:502
 Impacto: CATASTROPHIC — Physical equipment damage / safety system disabling. IRREVERSIBLE.
 [!] AGUARDANDO 10 SEGUNDOS ANTES DO PROMPT — pressione Ctrl+C para abortar
 Digite a seguinte string EXATAMENTE para confirmar (case-sensitive):
 I ACCEPT FULL RESPONSIBILITY FOR THIS DESTRUCTIVE OPERATION
 Confirmação>

Cenário de erro — alvo não definido:

ixf (CVE-2021-22681 S7-1200) > run
[-] Defina a opção 'target' primeiro. Exemplo: set target 192.168.1.100

Comandos relacionados: check, set simulate, set destructive

`check`

Executa uma sonda de conectividade e verificação de vulnerabilidade somente-leitura. Não envia exploits.

Sintaxe: check

Contexto: apenas módulo

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
(nenhum)	—	—	—	—

Exemplo 1 — check em dispositivo Modbus:

ixf (Modbus TCP Device Detect) > set target 192.168.1.100
[*] target => 192.168.1.100
ixf (Modbus TCP Device Detect) > check
[*] Verificando 192.168.1.100:502...
[+] VULNERÁVEL — Dispositivo Modbus detectado

Exemplo 2 — check em dispositivo não vulnerável:

ixf (CVE-2021-22681 Siemens S7-1200/1500 PLC) > set target 192.168.1.50
ixf (CVE-2021-22681 Siemens S7-1200/1500 PLC) > check
[*] Verificando 192.168.1.50:102...
[-] NÃO VULNERÁVEL — Porta 102 inacessível ou S7comm+ não detectado

Exemplo 3 — check com timeout:

ixf (Modbus TCP Device Detect) > set target 10.10.10.99
ixf (Modbus TCP Device Detect) > set timeout 3
ixf (Modbus TCP Device Detect) > check
[*] Verificando 10.10.10.99:502 (timeout: 3s)...
[-] SEM RESPOSTA — Timeout após 3s

Cenário de erro — sem alvo:

ixf (Modbus TCP Device Detect) > check
[-] Defina 'target' antes de executar check. Exemplo: set target 192.168.1.100

Comandos relacionados: run, set target

Descoberta

`search <termo>`

Busca módulos indexados por palavra-chave, ID de CVE, nome de vendor ou protocolo.

Sintaxe: search <termo>

Contexto: global

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
termo	string	Sim	—	Substring para corresponder contra caminhos e nomes de módulos

Exemplo 1 — buscar por CVE específico:

ixf > search CVE-2022-29965
[*] Resultados da busca para: CVE-2022-29965
 use cve/emerson/cve_2022_29965_roc800_hardcoded_creds

Exemplo 2 — buscar por funcionalidade:

ixf > search default_creds
[*] Resultados da busca para: default_creds (exibindo 50 de 184)
 use creds/siemens/ssh_default_creds
 use creds/siemens/telnet_default_creds
 use creds/rockwell/logix_default_creds
 use creds/schneider/modicon_default_creds
 use creds/ge/ge_rx3i_default_creds
 use creds/mitsubishi/melsec_default_creds
 ...

Exemplo 3 — buscar por protocolo:

ixf > search dnp3
[*] Resultados da busca para: dnp3
 use exploits/protocols/dnp3/dnp3_data_spoofing
 use exploits/protocols/dnp3/dnp3_replay_command
 use exploits/protocols/dnp3/dnp3_unauthorized_control
 use scanners/ics/dnp3_scanner

Cenário de erro — sem resultados:

ixf > search protocolo_inexistente_xyz
[*] Resultados da busca para: protocolo_inexistente_xyz
[!] Nenhum módulo encontrado. Tente: search modbus, search siemens, search cve

Comandos relacionados: use, cve, stats

`exec <comando_shell>`

Executa um comando arbitrário do sistema operacional e exibe a saída. Timeout: 30 segundos.

Sintaxe: exec <comando>

Contexto: global ou módulo

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
comando	string	Sim	—	Qualquer comando de shell válido

Exemplo 1 — ping de um alvo:

ixf > exec ping -c 3 192.168.1.1
PING 192.168.1.1 (192.168.1.1) 56(84) bytes of data.
64 bytes from 192.168.1.1: icmp_seq=1 ttl=64 time=0.431 ms
64 bytes from 192.168.1.1: icmp_seq=2 ttl=64 time=0.389 ms
64 bytes from 192.168.1.1: icmp_seq=3 ttl=64 time=0.412 ms
--- 192.168.1.1 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss

Exemplo 2 — executar ferramenta auxiliar:

ixf > exec python tools/env_doctor.py
[env_doctor] Python: 3.12.3
[env_doctor] pymodbus: OK (3.8.0)
[env_doctor] snap7: OK
[env_doctor] nmap: OK (7.94)
[env_doctor] go: não instalado (Tier 3 indisponível)

Exemplo 3 — listar arquivos de projeto:

ixf > exec ls -la /opt/plc_projects/
total 48
drwxr-xr-x 4 user user 4096 jun 1 10:00 .
drwxr-xr-x 12 user user 4096 mai 30 08:15 ..
-rw-r--r-- 1 user user 2048 jun 1 09:30 water_treatment.st
-rw-r--r-- 1 user user 1536 mai 28 14:22 reactor_batch.sfc

Cenário de erro — comando com timeout:

ixf > exec sleep 60
[-] Timeout: o comando excedeu 30 segundos e foi encerrado.

Comandos relacionados: sast, nse

`discover <CIDR>`

Lança uma varredura de descoberta de dispositivos OT em uma sub-rede. Carrega o módulo scanner adequado e inicia a varredura.

Sintaxe: discover <CIDR>

Contexto: global

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
CIDR	string	Sim	—	Faixa de rede no formato CIDR (ex.: `192.168.1.0/24`)

Exemplo 1 — descoberta básica de sub-rede:

ixf > discover 192.168.1.0/24
[*] Carregando scanners/ics/modbus_detect para varredura OT...
[i] Para descoberta OT completa, execute: ttp T0846.001 192.168.1.0/24
[i] Para scan específico de protocolo: use scanners/ics/modbus_detect

Exemplo 2 — descoberta com sub-rede menor:

ixf > discover 10.0.0.0/28
[*] Carregando scanners/ics/modbus_detect para varredura OT (16 hosts)...
[*] Varrendo 10.0.0.1 - 10.0.0.14...
[+] 10.0.0.5 — Modbus TCP porta 502 aberta (unit ID 1)
[+] 10.0.0.8 — Modbus TCP porta 502 aberta (unit ID 255)
[-] 10.0.0.10 — sem resposta Modbus
[i] Para varredura ICS completa use: mitre-scan discovery 10.0.0.0/28

Exemplo 3 — varredura multi-protocolo após discover:

ixf > discover 172.16.0.0/24
[*] Iniciando varredura OT básica em 172.16.0.0/24...
[i] Para descoberta MITRE completa: ttp T0846 172.16.0.0/24
[i] Para varredura por protocolo:
 use scanners/ics/modbus_detect
 use scanners/ics/s7_enumerate
 use scanners/ics/enip_list_identity
 use scanners/ics/bacnet_device_id
 use scanners/ics/dnp3_link_status

Cenário de erro — CIDR inválido:

ixf > discover 999.999.999.0/24
[-] Faixa CIDR inválida: '999.999.999.0/24'. Exemplo: 192.168.1.0/24

Comandos relacionados: ttp T0846, mitre-scan discovery, search scanner

CVE

`cve <CVE-ID>`

Localiza e carrega um módulo pelo seu identificador CVE.

Sintaxe: cve <CVE-ID>

Contexto: global

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
CVE-ID	string	Sim	—	CVE, CNVD ou outro identificador (ex.: `CVE-2022-29965`)

Exemplo 1 — carregar módulo por CVE único:

ixf > cve CVE-2021-22681
[*] Módulo carregado: CVE-2021-22681 Siemens S7-1200/1500 PLC
[*] CVSS: 9.8 | Impacto: CRITICAL
ixf (CVE-2021-22681 Siemens S7-1200/1500 PLC) >

Exemplo 2 — CVE de vendor diferente:

ixf > cve CVE-2023-6448
[*] Módulo carregado: CVE-2023-6448 Unitronics Unistream PLC
[*] CVSS: 9.8 | Impacto: CRITICAL
ixf (CVE-2023-6448 Unitronics Unistream PLC) >

Exemplo 3 — CVE com múltiplos módulos (seleção interativa):

ixf > cve CVE-2022-3232
[*] Múltiplos módulos encontrados para CVE-2022-3232:
 1. use cve/ls_electric/cve_2022_3232_xgk_modbus_dos
 2. use cve/scanners/ls_electric/ls_electric_xgk_scanner
 Selecione o módulo (número ou caminho): 1
[*] Módulo carregado: CVE-2022-3232 LS Electric XGK Modbus DoS

Cenário de erro — CVE não encontrado:

ixf > cve CVE-2099-99999
[-] Nenhum módulo encontrado para 'CVE-2099-99999'.
[i] Tente: search CVE-2099 ou consulte cisa.gov/known-exploited-vulnerabilities

Comandos relacionados: use, search, cve-scan

`cve-scan <CIDR>`

Esboço: descobre ativos e sugere o fluxo de trabalho para teste de CVE. Orienta a sequência mitre-scan → cve → run.

Sintaxe: cve-scan <CIDR>

Contexto: global

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
CIDR	string	Sim	—	Faixa de rede no formato CIDR

Exemplo 1 — orientação de fluxo CVE:

ixf > cve-scan 192.168.1.0/24
[i] CVE scan: descubra ativos primeiro com mitre-scan discovery 192.168.1.0/24
[i] Em seguida carregue módulos CVE específicos com: cve <CVE-ID>
[i] Fluxo recomendado:
 1. discover 192.168.1.0/24
 2. mitre-scan discovery 192.168.1.0/24
 3. cve CVE-2021-22681 (para Siemens encontrados)
 4. set target <ip>
 5. check
 6. run

Exemplo 2 — com sub-rede de rede industrial:

ixf > cve-scan 10.0.1.0/24
[i] CVE scan para rede OT 10.0.1.0/24
[i] Recomendado: descubra com discover 10.0.1.0/24 primeiro
[i] Vendors comuns em ambientes OT:
 - Siemens: cve CVE-2021-22681, CVE-2019-13945
 - Rockwell: cve CVE-2022-1161, CVE-2023-3595
 - Schneider: cve CVE-2018-7789, CVE-2022-45789

Exemplo 3 — ver CVEs mais críticos por vendor:

ixf > cve-scan 172.16.0.0/24
[i] Use 'vendors' para ver todos os vendors cobertos e seus CVEs
[i] Use 'search <vendor>' para módulos de vendor específico
[i] CVEs CISA KEV prioritários para ICS/OT: search CISA

Cenário de erro:

ixf > cve-scan
[-] Uso: cve-scan <CIDR>. Exemplo: cve-scan 192.168.1.0/24

Comandos relacionados: cve, discover, mitre-scan

Relatórios

`report [formato]`

Gera um relatório de assessment a partir da sessão atual.

Sintaxe: report [json|html|markdown]

Contexto: global

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
formato	string	Não	`json`	`json`, `html`, `markdown`

Exemplo 1 — relatório JSON (padrão):

ixf > report json
[*] Gerando relatório...
[+] Relatório salvo: ixf_report_20260601_153045.json
{
 "session_id": "abc123",
 "generated_at": "2026-06-01T15:30:45Z",
 "targets_tested": ["192.168.1.100", "192.168.1.200"],
 "modules_executed": 15,
 "findings": [
 {
 "module": "cve/siemens/cve_2021_22681_s7_1200_hardcoded_key",
 "target": "192.168.1.100",
 "result": "VULNERABLE",
 "cvss": "9.8",
 "impact": "CRITICAL"
 }
 ]
}

Exemplo 2 — relatório HTML:

ixf > report html
[*] Gerando relatório HTML...
[+] Relatório salvo: ixf_report_20260601_153112.html
[i] Abra no navegador: file:///path/to/ixf_report_20260601_153112.html

Exemplo 3 — relatório Markdown:

ixf > report markdown
[*] Gerando relatório Markdown...
[+] Relatório salvo: ixf_report_20260601_153201.md
[i] Adequado para inclusão em documentos de pentest

Cenário de erro — formato inválido:

ixf > report pdf
[-] Formato inválido: 'pdf'. Formatos disponíveis: json, html, markdown

Comandos relacionados: mitre-report, assess, stats

MITRE ATT&CK para ICS

`mitre <TID>`

Lista todos os módulos que cobrem uma técnica MITRE específica, com descrição da técnica e notas de remediação.

Sintaxe: mitre <TID>

Contexto: global

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
TID	string	Sim	—	ID de técnica MITRE ATT&CK para ICS (ex.: `T0843`)

Exemplo 1 — consultar T0843 (Program Download):

ixf > mitre T0843
 ╔══════════════════════════════════════════════════════════════════╗
 ║ MITRE ATT&CK para ICS — Detalhe da Técnica ║
 ╚══════════════════════════════════════════════════════════════════╝
 ID: T0843
 Nome: Program Download
 Tática: Lateral Movement (TA0109)
 Módulos IXF: 12 módulos
 Descrição:
 Adversários podem fazer upload ou download de programas de/para
 controladores industriais. Isso pode incluir modificação de lógica
 de controle, firmware ou arquivos de configuração, podendo alterar
 o processo físico controlado.
 Módulos IXF:
 cve.siemens.cve_2021_22681_s7_1200_hardcoded_key
 cve.rockwell.cve_2022_1161_controllogix_modified_fw
 exploits.protocols.s7comm.s7_unauthorized_cpu_control
 assessment.mitre_ics.t0843_program_upload
 cve.malware.crashoverride_industroyer
 ... (8 módulos adicionais)
 Remediação:
 - Implementar autenticação forte para upload/download de programas
 - Monitorar comunicação S7comm na porta 102
 - Usar recursos de proteção de acesso do PLC (senha, nível de proteção)
 - Habilitar auditoria de mudanças de programa

Exemplo 2 — consultar T0878 (Alarm Suppression):

ixf > mitre T0878
 ID: T0878
 Nome: Alarm Suppression
 Tática: Inhibit Response Function (TA0107)
 Módulos IXF: 8 módulos
 Módulos IXF:
 assessment.mitre_ics.t0878_alarm_suppression
 cve.malware.crashoverride_industroyer
 exploits.protocols.modbus.modbus_alarm_disable
 ...

Exemplo 3 — consultar técnica de descoberta:

ixf > mitre T0846
 ID: T0846
 Nome: Remote System Discovery
 Tática: Discovery (TA0102)
 Módulos IXF: 8 módulos
 Módulos IXF:
 scanners.ics.modbus_detect
 scanners.ics.s7_enumerate
 scanners.ics.enip_list_identity
 scanners.ics.bacnet_device_id
 assessment.mitre_ics.t0846_remote_discovery
 ...

Cenário de erro — TID inválido:

ixf > mitre T9999
[-] Técnica 'T9999' não encontrada no MITRE ATT&CK para ICS.
[i] Use 'mitre-list' para ver todas as técnicas mapeadas.

Comandos relacionados: mitre-list, ttp, mitre-scan

`mitre-list [tática]`

Lista todas as técnicas MITRE mapeadas com contagens de módulos. Filtro opcional por tática.

Sintaxe: mitre-list [nome_tática_ou_alias]

Contexto: global

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
tática	string	Não	—	Nome de tática, alias ou TA-ID (ex.: `discovery`, `initial-access`, `TA0108`)

Exemplo 1 — listar todas as técnicas mapeadas:

ixf > mitre-list
 MITRE ATT&CK para ICS — Índice de Técnicas
 ─────────────────────────────────────────────────────────────────
 T0817 Drive-by Compromise 3 módulos
 T0819 Exploit Public-Facing Application 47 módulos
 T0822 External Remote Services 12 módulos
 T0859 Valid Accounts 8 módulos
 T0862 Supply Chain Compromise 2 módulos
 T0863 User Execution 3 módulos
 T0864 Transient Cyber Asset 1 módulo
 T0865 Spearphishing Attachment 4 módulos
 T0883 Internet Accessible Device 7 módulos
 ...
 [Total: 74 técnicas mapeadas, 1190+ módulos]

Exemplo 2 — filtrar por tática Discovery:

ixf > mitre-list discovery
 MITRE ATT&CK para ICS — Técnicas de Discovery (TA0102)
 ─────────────────────────────────────────────────────────────────
 T0840 Network Connection Enumeration 2 módulos
 T0842 Network Sniffing 3 módulos
 T0846 Remote System Discovery 8 módulos
 T0861 Point and Tag Identification 4 módulos
 T0868 Detect Program State 2 módulos
 T0869 Standard Application Layer Protocol 5 módulos
 T0877 I/O Module Discovery 3 módulos
 T0882 Theft of Operational Information 3 módulos
 T0888 Remote System Information Discovery 6 módulos
 T0887 Wireless Sniffing 1 módulo
 T0854 Serial Connection Enumeration 1 módulo

Exemplo 3 — filtrar por tática Impact:

ixf > mitre-list impact
 MITRE ATT&CK para ICS — Técnicas de Impact (TA0105)
 ─────────────────────────────────────────────────────────────────
 T0809 Data Destruction 3 módulos
 T0813 Denial of Control 8 módulos
 T0815 Denial of View 4 módulos
 T0826 Loss of Availability 5 módulos
 T0827 Loss of Control 7 módulos
 T0828 Loss of Productivity and Revenue 2 módulos
 T0829 Loss of Safety 6 módulos
 T0879 Damage to Property 4 módulos

Cenário de erro — tática inválida:

ixf > mitre-list tatica_inexistente
[-] Tática não reconhecida: 'tatica_inexistente'.
[i] Táticas válidas: initial-access, execution, persistence, privilege-escalation,
 evasion, discovery, lateral-movement, collection, command-and-control,
 inhibit, impair, impact

Comandos relacionados: mitre, ttp-list, mitre-coverage

`mitre-scan <tática_ou_TID> <alvo> [--destructive]`

Executa uma varredura de tática MITRE ou técnica única contra um alvo.

Sintaxe: mitre-scan <tática|TID> <alvo> [--destructive]

Contexto: global

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
tática ou TID	string	Sim	—	Nome de tática/alias ou ID de técnica (ex.: `discovery`, `T0843`)
alvo	string	Sim	—	IP, hostname ou faixa CIDR alvo
`--destructive`	flag	Não	—	Desabilita modo simulação (apenas labs autorizados)

Exemplo 1 — varredura de tática Discovery em sub-rede:

ixf > mitre-scan discovery 192.168.1.0/24
[*] Varrendo tática: Discovery (TA0102) em 192.168.1.0/24
[*] simulate=True (modo seguro)
[*] Técnica T0840 — Network Connection Enumeration...
[*] Técnica T0842 — Network Sniffing...
[*] Técnica T0846 — Remote System Discovery...
[+] T0846: 3 dispositivos Modbus encontrados
[*] Técnica T0861 — Point and Tag Identification...
...
[+] Varredura de tática concluída: 11 técnicas, 37 módulos executados
[+] Dispositivos encontrados: 192.168.1.5, 192.168.1.12, 192.168.1.100

Exemplo 2 — varredura de técnica única:

ixf > mitre-scan T0843 192.168.1.100
[*] Varrendo T0843 (Program Download) em 192.168.1.100...
[*] simulate=True | Módulos: 12
[*] Executando cve/siemens/cve_2021_22681_s7_1200_hardcoded_key...
 [SIMULATE] Conexão S7comm para 192.168.1.100:102...
[*] Executando cve/rockwell/cve_2022_1161_controllogix_modified_fw...
 [SIMULATE] Tentativa de modificação de firmware ControlLogix...
[+] T0843 concluído: 12 módulos, 3 correspondências em simulação

Exemplo 3 — varredura de Initial Access:

ixf > mitre-scan initial-access 10.0.0.0/24
[*] Varrendo tática: Initial Access (TA0108) em 10.0.0.0/24
[*] simulate=True (modo seguro)
[*] Técnica T0817 — Drive-by Compromise...
[*] Técnica T0819 — Exploit Public-Facing Application...
[*] Técnica T0822 — External Remote Services...
...
[+] Varredura concluída: 9 técnicas, 93 módulos executados

Cenário de erro — tática inválida:

ixf > mitre-scan tatica_invalida 192.168.1.100
[-] Tática ou técnica não reconhecida: 'tatica_invalida'
[i] Use 'mitre-list' para ver táticas e técnicas disponíveis.

Comandos relacionados: mitre-all, ttp, ttp-list

`mitre-all <alvo>`

Varre todas as 74+ técnicas MITRE ATT&CK para ICS mapeadas (sempre em modo simulação).

Sintaxe: mitre-all <alvo>

Contexto: global

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
alvo	string	Sim	—	IP, hostname ou faixa CIDR alvo

Exemplo 1 — varredura completa em IP único:

ixf > mitre-all 192.168.1.100
[*] Varredura MITRE ATT&CK para ICS completa em 192.168.1.100 (simulate=True)
[*] Executando 74 técnicas em 12 táticas...
[*] ── Initial Access (9 técnicas) ──────────────────────────────
[*] T0817 Drive-by Compromise... [simulate] 3 módulos
[*] T0819 Exploit Public-Facing App... [simulate] 47 módulos
[*] T0822 External Remote Services... [simulate] 12 módulos
...
[*] ── Impact (8 técnicas) ─────────────────────────────────────
[*] T0813 Denial of Control... [simulate] 8 módulos
...
[+] Varredura MITRE completa concluída: 74 técnicas, 1193 módulos
[+] Relatório: ixf_mitre_all_192.168.1.100_20260601.json

Exemplo 2 — varredura em sub-rede:

ixf > mitre-all 10.0.0.0/28
[*] Varredura MITRE completa em 10.0.0.0/28 (16 hosts)
[*] simulate=True (forçado — mitre-all nunca executa ao vivo)
[*] Isso pode levar vários minutos para sub-redes grandes...

Exemplo 3 — combinado com report:

ixf > mitre-all 192.168.1.100
[+] Varredura concluída.
ixf > report html
[+] Relatório salvo: ixf_report_20260601_165000.html

Cenário de erro:

ixf > mitre-all
[-] Uso: mitre-all <alvo>. Exemplo: mitre-all 192.168.1.100

Comandos relacionados: mitre-scan, mitre-coverage, report

`mitre-coverage`

Exibe porcentagem de cobertura por tática.

Sintaxe: mitre-coverage

Contexto: global

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
(nenhum)	—	—	—	—

Exemplo 1 — cobertura completa:

ixf > mitre-coverage
 Cobertura MITRE ATT&CK para ICS
 ──────────────────────────────────────────────────────────────
 Initial Access (TA0108) : 9/9 (100%) ████████████
 Execution (TA0104) : 8/9 ( 88%) ██████████▒
 Persistence (TA0110) : 6/8 ( 75%) █████████▒▒▒
 Privilege Escalation (TA0111) : 2/2 (100%) ████████████
 Evasion (TA0103) : 4/5 ( 80%) █████████▒▒
 Discovery (TA0102) : 11/13 ( 84%) ██████████▒▒
 Lateral Movement (TA0109) : 3/3 (100%) ████████████
 Collection (TA0100) : 8/9 ( 88%) ██████████▒
 Command and Control (TA0101) : 3/3 (100%) ████████████
 Inhibit Response Function (TA0107) : 14/18 ( 77%) █████████▒▒▒
 Impair Process Control (TA0106) : 9/11 ( 81%) █████████▒▒
 Impact (TA0105) : 8/11 ( 72%) █████████▒▒▒
 ──────────────────────────────────────────────────────────────
 TOTAL : 96/103 ( 93%) ██████████▒▒

Exemplo 2 — combinado com mitre-report:

ixf > mitre-coverage
[...saída acima...]
ixf > mitre-report layer
[+] Layer ATT&CK Navigator salvo: ixf_mitre_layer_20260601.json

Exemplo 3 — verificar técnicas sem cobertura:

ixf > mitre-coverage
[i] Técnicas sem cobertura IXF:
 T0890 Exploitation for Privilege Escalation
 T0875 Change Program State
 T0823 Graphical User Interface
 T0808 Replication via Removable Media
 T0863 User Execution (via physical access)
 T0816 Device Restart/Shutdown (manual)
 T0829 Loss of Safety (non-technical)
 T0828 Loss of Productivity and Revenue
 T0827 Loss of Control (physical sabotage)
 T0826 Loss of Availability (network-level)
 T0833 Modify Alarm Settings
 T0807 Remote Services (generic)
 T0855 Unauthorized Command Message (custom)
 T0885 Commonly Used Port (C2)
 T0884 Connection Proxy
 T0872 Indicator Removal on Host (PLC)

Cenário de erro: Este comando não produz erros. Se o índice ainda estiver sendo carregado, exibe um spinner.

Comandos relacionados: mitre-report, mitre-list, mitre-all

`mitre-report [formato]`

Gera um layer ATT&CK Navigator compatível ou relatório de cobertura.

Sintaxe: mitre-report [json|html|layer]

Contexto: global

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
formato	string	Não	`layer`	`layer` = JSON ATT&CK Navigator; `json` = dados brutos; `html` = relatório HTML

Exemplo 1 — gerar layer Navigator:

ixf > mitre-report layer
[+] Layer ATT&CK Navigator salvo: ixf_mitre_layer_20260601.json
[i] Abra em: https://mitre-attack.github.io/attack-navigator/
[i] Importe via: "Open Existing Layer" → selecione o arquivo JSON

Exemplo 2 — relatório HTML:

ixf > mitre-report html
[+] Relatório de cobertura MITRE ICS salvo: ixf_mitre_report_20260601.html
[i] Inclui: tabela de cobertura, técnicas por tática, módulos mapeados

Exemplo 3 — dados brutos JSON:

ixf > mitre-report json
[+] Relatório MITRE raw JSON salvo: ixf_mitre_data_20260601.json
[i] Inclui: todos os mapeamentos técnica-módulo, metadados de cobertura

Cenário de erro:

ixf > mitre-report csv
[-] Formato inválido: 'csv'. Formatos disponíveis: json, html, layer

Comandos relacionados: mitre-coverage, report

`mitre-tactic <tática> <alvo>`

Alias para mitre-scan. Aceita os mesmos parâmetros.

Sintaxe: mitre-tactic <tática|TID> <alvo> [--destructive]

Exemplo:

ixf > mitre-tactic inhibit 192.168.1.100
[*] (alias para mitre-scan inhibit 192.168.1.100)
[*] Varrendo tática: Inhibit Response Function (TA0107) em 192.168.1.100...

Comandos relacionados: mitre-scan

Execução TTP

`ttp <TID> <alvo> [flags]`

Executa todos os módulos mapeados a uma técnica MITRE específica contra um alvo.

Sintaxe: ttp <TID> <alvo> [--destructive] [--stop-on-first] [--output <arquivo>] [--rate-limit <ms>]

Contexto: global

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
TID	string	Sim	—	ID de técnica MITRE (ex.: `T0843`, `T0843.001`)
alvo	string	Sim	—	IP, hostname ou faixa CIDR alvo
`--destructive`	flag	Não	—	Desabilita modo simulação
`--stop-on-first`	flag	Não	—	Para após o primeiro hit confirmado
`--output <arquivo>`	string	Não	—	Salva resultados no arquivo especificado
`--rate-limit <ms>`	int	Não	`0`	Milissegundos entre módulos

Exemplo 1 — varredura TTP básica em modo simulação:

ixf > ttp T0843 192.168.1.100
[*] TTP T0843 (Program Download) — 12 módulos — simulate=True
[*] Executando cve/siemens/cve_2021_22681_s7_1200_hardcoded_key...
 [SIMULATE] Conexão S7comm — chave hardcoded identificada como vector
[*] Executando cve/rockwell/cve_2022_1161_controllogix_modified_fw...
 [SIMULATE] Modificação de firmware ControlLogix — vetor plausível
[*] Executando exploits/protocols/s7comm/s7_unauthorized_cpu_control...
 [SIMULATE] Stop CPU via S7comm — porta 102 potencialmente aberta
...
[+] T0843 concluído: 12 módulos, 3 correspondências em simulação
[i] Para executar ao vivo: ttp T0843 192.168.1.100 --destructive

Exemplo 2 — com rate-limit e saída em arquivo:

ixf > ttp T0878 10.0.0.0/24 --rate-limit 500
[*] TTP T0878 (Alarm Suppression) — sub-rede 10.0.0.0/24 — 500ms entre módulos
[*] simulate=True | 8 módulos por host
[*] [1/256] Varrendo 10.0.0.1...
[*] [2/256] Varrendo 10.0.0.2...
...
ixf > ttp T0859 192.168.1.1 --stop-on-first --output resultados.json
[*] TTP T0859 (Valid Accounts) — para no primeiro hit
[*] Módulo 1: creds/siemens/s7_default_creds... [simulate] credenciais padrão detectadas
[!] Hit encontrado — parando (--stop-on-first)
[+] Resultado salvo: resultados.json

Exemplo 3 — técnica com sub-técnica:

ixf > ttp T0846.001 192.168.1.0/24
[*] TTP T0846.001 (Remote System Discovery — OT Network Scan)
[*] 4 módulos mapeados à sub-técnica T0846.001
[*] simulate=True
...

Cenário de erro — TID não mapeado:

ixf > ttp T0999 192.168.1.100
[-] Técnica 'T0999' não mapeada no IXF.
[i] Use 'ttp-list' para ver técnicas disponíveis.

Comandos relacionados: ttp-check, ttp-simulate, ttp-list, mitre-scan

`ttp-check <TID> <alvo>`

Executa apenas a sonda check() para todos os módulos de uma técnica (somente leitura, sem exploits).

Sintaxe: ttp-check <TID> <alvo>

Contexto: global

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
TID	string	Sim	—	ID de técnica MITRE
alvo	string	Sim	—	IP ou hostname alvo

Exemplo 1 — check de T0843:

ixf > ttp-check T0843 192.168.1.100
[*] T0843 check-only em 192.168.1.100...
[+] POTENCIAL: cve/siemens/cve_2022_38465_s7_global_key — porta 102 aberta
[-] NÃO VULNERÁVEL: cve/rockwell/cve_2023_3595_controllogix_rce — porta 44818 fechada
[+] POTENCIAL: exploits/protocols/s7comm/s7_stop_cpu — serviço S7comm respondeu
[-] NÃO VULNERÁVEL: cve/schneider/cve_2022_45789_modicon — porta 502 fechada
[i] 2 potenciais identificados de 12 módulos checados

Exemplo 2 — check de T0859 (Valid Accounts):

ixf > ttp-check T0859 10.0.0.50
[*] T0859 check-only em 10.0.0.50...
[+] POTENCIAL: creds/siemens/s7_default_creds — SSH porta 22 aberta
[+] POTENCIAL: creds/siemens/telnet_default_creds — Telnet porta 23 aberta
[-] NÃO VULNERÁVEL: creds/rockwell/logix_default_creds — EIP porta 44818 fechada
[i] 2 potenciais identificados de 8 módulos checados

Exemplo 3 — check de T0800 (Firmware Update):

ixf > ttp-check T0800 192.168.1.200
[*] T0800 check-only em 192.168.1.200...
[+] POTENCIAL: cve/siemens/cve_2021_22681_s7_1200_hardcoded_key — porta 102 aberta
[+] POTENCIAL: cve/mitsubishi/cve_2022_33139_melsec_fw — porta 5007 aberta

Cenário de erro:

ixf > ttp-check
[-] Uso: ttp-check <TID> <alvo>. Exemplo: ttp-check T0843 192.168.1.100

Comandos relacionados: ttp, ttp-simulate, check

`ttp-simulate <TID> <alvo>`

Força modo simulação para todos os módulos de uma técnica (seguro, sem pacotes além do check).

Sintaxe: ttp-simulate <TID> <alvo>

Contexto: global

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
TID	string	Sim	—	ID de técnica MITRE
alvo	string	Sim	—	IP, hostname ou CIDR alvo

Exemplo 1 — simulação de T0866:

ixf > ttp-simulate T0866 192.168.1.100
[*] T0866 simulação em 192.168.1.100 (simulate forçado)
[*] Técnica: Exploitation of Remote Services (Lateral Movement)
[*] 5 módulos mapeados
[SIMULATE] exploits/scada/ignition/ignition_rce — porta 8088 HTTP
 Conexão para 192.168.1.100:8088; envio de payload RCE (simulado)
 Impacto potencial: Remote Code Execution no servidor Ignition
[SIMULATE] exploits/protocols/opcua/opcua_browse_leak
 Enumeração anônima de nós OPC UA na porta 4840 (simulado)
...

Exemplo 2 — comparando ttp vs ttp-simulate:

ixf > ttp T0836 192.168.1.100
[*] TTP T0836 — simulate=True (padrão — equivale a ttp-simulate)
ixf > ttp-simulate T0836 192.168.1.100
[*] TTP T0836 — simulate FORÇADO (ignora setg simulate false)

Exemplo 3 — uso em ambiente de teste SIEM:

ixf > ttp-simulate T0878 10.0.1.100
[*] T0878 simulação em 10.0.1.100 — use para testar detecção SIEM
[*] Gera payload típico de supressão de alarme nos logs

Cenário de erro:

ixf > ttp-simulate T0843
[-] Uso: ttp-simulate <TID> <alvo>. Exemplo: ttp-simulate T0843 192.168.1.100

Comandos relacionados: ttp, ttp-check, ttp-list

`ttp-list [--tactic <nome>]`

Lista todos os TTP-IDs com contagens de módulos. Filtro opcional por tática.

Sintaxe: ttp-list [--tactic <nome_tática>]

Contexto: global

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
`--tactic`	string	Não	—	Filtra por nome de tática ou alias

Exemplo 1 — listar todas as técnicas:

ixf > ttp-list
 Índice TTP — todas as técnicas
 ─────────────────────────────────────────────────────────────
 T0800 Activate Firmware Update Mode 2 módulos [Execution]
 T0801 Monitor Process State 2 módulos [Collection]
 T0802 Automated Collection 5 módulos [Collection]
 T0803 Block Command Message 4 módulos [Inhibit Response]
 T0804 Block Reporting Message 3 módulos [Inhibit Response]
 T0805 Block Serial COM 1 módulo [Inhibit Response]
 T0806 Brute Force I/O 1 módulo [Impair Process]
 T0807 Remote Services 6 módulos [Initial Access]
 T0808 Replication via Removable Media 0 módulos [Initial Access]
 T0809 Data Destruction 3 módulos [Impact]
 T0810 Data Exfil over C2 Channel 2 módulos [Collection]
 T0811 Data from Info Repositories 4 módulos [Collection]
 T0812 Default Credentials 34 módulos [Initial Access]
 T0813 Denial of Control 8 módulos [Impact]
 T0814 Denial of Service 7 módulos [Inhibit Response]
 T0815 Denial of View 4 módulos [Impact]
 T0816 Device Restart/Shutdown 5 módulos [Inhibit Response]
 T0817 Drive-by Compromise 3 módulos [Initial Access]
 T0819 Exploit Public-Facing App 47 módulos [Initial Access]
 ...
 [74 técnicas listadas]

Exemplo 2 — filtrar por Evasion:

ixf > ttp-list --tactic evasion
 Índice TTP — Evasion (TA0103)
 ─────────────────────────────────────────────────────────────
 T0820 Exploitation of Remote Services 3 módulos
 T0849 Masquerading 1 módulo
 T0856 Spoof Reporting Message 2 módulos
 T0858 Change Credential 4 módulos
 T0874 Hooking 1 módulo
 T0872 Indicator Removal on Host 3 módulos

Exemplo 3 — filtrar por Impair Process Control:

ixf > ttp-list --tactic impair
 Índice TTP — Impair Process Control (TA0106)
 ─────────────────────────────────────────────────────────────
 T0806 Brute Force I/O 1 módulo
 T0821 Modify Controller Tasking 8 módulos
 T0831 Manipulation of Control 6 módulos
 T0833 Modify Alarm Settings 3 módulos
 T0835 Detect Operating Mode 2 módulos
 T0836 Modify Parameter 15 módulos
 T0838 Modify Program 9 módulos
 T0843 Program Download 12 módulos
 T0845 Program Organization Units 4 módulos

Cenário de erro:

ixf > ttp-list --tactic tática_invalida
[-] Tática não reconhecida: 'tática_invalida'.
[i] Táticas válidas: initial-access, execution, persistence, privilege-escalation,
 evasion, discovery, lateral-movement, collection, command-and-control,
 inhibit, impair, impact

Comandos relacionados: ttp, mitre-list, mitre-coverage

Assessment

`assess <caminho_modulo>`

Carrega e executa imediatamente um módulo de assessment.

Sintaxe: assess <caminho_modulo>

Contexto: global

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
caminho_modulo	string	Sim	—	Caminho relativo ao diretório `assessment/`

Exemplo 1 — auditoria IEC 62443 de zona e conduto:

ixf > assess iec62443/zone_conduit_audit
[*] Carregando assessment/iec62443/zone_conduit_audit...
[*] Executando IEC 62443 Zone and Conduit Audit...
 ═══════════════════════════════════════════════════════════════
 AUDITORIA DE ZONA E CONDUTO — IEC 62443-3-2
 ═══════════════════════════════════════════════════════════════
 [?] A rede OT está segmentada da rede IT? (s/n): s
 [?] Existe firewall industrial entre zonas? (s/n): n
 RESULTADO: GAP CRÍTICO — Ausência de firewall entre zonas OT e IT
 Referência: IEC 62443-3-2 cláusula 5.4.1 — Separação de Zonas
 Remediação: Implementar IDMZ (Industrial DMZ) ou firewall unidirecional

Exemplo 2 — scoring de risco ICS:

ixf > assess risk/ics_risk_scorer
[*] Carregando assessment/risk/ics_risk_scorer...
[*] Calculando score de risco ICS...
 Score de Risco ICS: 78/100 (ALTO)
 - Exposição de protocolos sem autenticação: 35/35
 - Dispositivos com CVEs críticos: 25/30
 - Segmentação de rede: 10/20
 - Controles de acesso: 8/15

Exemplo 3 — checklist NIST SP 800-82:

ixf > assess nist_sp800_82/control_checklist
[*] Executando NIST SP 800-82r3 Control Checklist...
[i] 18 domínios de controle a verificar...

Cenário de erro:

ixf > assess iec62443/modulo_inexistente
[-] Módulo de assessment não encontrado: 'iec62443/modulo_inexistente'
[i] Use 'search assessment' para ver módulos disponíveis.

Comandos relacionados: run, use, report

Estatísticas e Inventário

`stats`

Exibe estatísticas de módulos e resumo de cobertura.

Sintaxe: stats

Contexto: global

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
(nenhum)	—	—	—	—

Exemplo 1 — saída completa de stats:

ixf > stats
[i] Estatísticas de Módulos IXF
 Total: 1193 módulos
 ──────────────────────────────────────
 Categoria Qtd %
 cve 486 49%
 exploits 159 16%
 creds 34 3%
 scanners 31 3%
 assessment 18 1%
 malware ttps 26 2%
 outros 222 22%
 ──────────────────────────────────────
[i] Vendors cobertos: 150 | TTPs de malware: 26
[i] MITRE ATT&CK para ICS: 12 táticas, 96/103 técnicas mapeadas (93%)
[i] Protocolos cobertos: 50
[i] PyPI: pip install industrialxpl-forge
[i] Versão: 1.0.13

Exemplo 2 — stats após executar módulos:

ixf > stats
[i] Estatísticas de Módulos IXF
[i] Módulos executados nesta sessão: 15
[i] Módulos com resultados (simulate): 15
[i] Módulos com hits confirmados (check): 3

Exemplo 3 — comparação de versões:

ixf > stats
[i] Versão: 1.0.13
[i] Última atualização: 2026年05月30日
[i] Para atualizar: pip install --upgrade industrialxpl-forge

Cenário de erro: Não produz erros. Se o índice ainda estiver carregando, exibe um spinner.

Comandos relacionados: vendors, protocols, mitre-coverage

`vendors [filtro]`

Lista todos os vendors OT/ICS cobertos com contagens de módulos CVE.

Sintaxe: vendors [filtro_substring]

Contexto: global

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
filtro	string	Não	—	Filtro de substring case-insensitive

Exemplo 1 — listar todos os vendors (top 20):

ixf > vendors
 Vendors (150 cobertos)
 ─────────────────────────────────────────
 Vendor Módulos
 Schneider Electric 39
 Rockwell Automation 38
 Siemens 27
 GE Digital / Emerson 24
 Honeywell 21
 Mitsubishi Electric 18
 ABB 15
 Omron 13
 Yokogawa 12
 Phoenix Contact 11
 Beckhoff 10
 Moxa 9
 Advantech 8
 Inductive Automation 7
 Kepware Technologies 6
 Wago 5
 COPA-DATA 4
 Unitronics 4
 Emerson (Fisher/ROC) 4
 Delta Electronics 3
 ...
 [130 vendors adicionais]

Exemplo 2 — filtrar por Siemens:

ixf > vendors siemens
 Vendors (1 coberto)
 ─────────────────────────────────────────
 Siemens 27

Exemplo 3 — filtrar por país/região:

ixf > vendors germany
 Vendors (12 cobertos — Alemanha)
 ─────────────────────────────────────────
 Siemens 27
 Beckhoff 10
 Phoenix Contact 11
 Wago 5
 COPA-DATA 4
 Belden/Hirschmann 2
 ...

Cenário de erro — nenhum resultado:

ixf > vendors vendorinexistentexyz
[!] Nenhum vendor encontrado com filtro 'vendorinexistentexyz'.
[i] Use 'vendors' sem filtro para ver todos os vendors cobertos.

Comandos relacionados: protocols, stats, search

`protocols`

Lista todos os protocolos OT/ICS cobertos com contagens de módulos de exploit.

Sintaxe: protocols

Contexto: global

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
(nenhum)	—	—	—	—

Exemplo 1 — saída completa de protocols:

ixf > protocols
 Cobertura de Protocolos (50 protocolos)
 ─────────────────────────────────────────
 Protocolo Módulos Exploit Porta Padrão
 MODBUS/TCP 18 502/TCP
 EtherNet/IP (ENIP) 14 44818/TCP
 S7COMM (Siemens) 8 102/TCP
 DNP3 4 20000/TCP
 IEC 60870-5-104 6 2404/TCP
 OPC UA 5 4840/TCP
 BACnet/IP 4 47808/UDP
 PROFINET DCP 3 —/UDP
 Modbus RTU (serial) 3 —/RS485
 IEC 61850 MMS 4 102/TCP
 GE SRTP 3 18245/TCP
 Mitsubishi MELSEC 4 5006/TCP
 Omron FINS 3 9600/UDP
 Siemens WinCC 5 —
 Honeywell Experion DCS 2 —
 Yokogawa CENTUM CS3000 2 —
 ABB 800xA 2 —
 Emerson DeltaV 3 —
 HTTP/HTTPS (SCADA web) 8 80/443
 SSH / Telnet (legacy OT) 6 22/23
 SNMP (OT devices) 3 161/UDP
 FTP/TFTP (firmware) 2 21/69
 ...
 [50 protocolos listados]

Exemplo 2 — verificar após busca de protocolo:

ixf > protocols
[...saída acima...]
ixf > search modbus
[*] Resultados: 43 módulos Modbus encontrados

Cenário de erro: Não produz erros.

Comandos relacionados: vendors, stats, search

`coverage`

Alias para mitre-coverage. Ver documentação de mitre-coverage acima.

Sintaxe: coverage

Exemplo:

ixf > coverage
[*] (alias para mitre-coverage)
 Cobertura MITRE ATT&CK para ICS
 ...

LLM / SAST

`llm-key <provider> <api_key>`

Configura uma chave de API de provedor LLM para análise SAST. Chaves são armazenadas apenas na sessão (nunca escritas em disco por este comando).

Sintaxe: llm-key <provider> <api_key>

Contexto: global ou módulo

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
provider	string	Sim	—	`openai`, `anthropic`, `gemini`, `deepseek` ou `grok`
api_key	string	Sim	—	String da chave de API

Exemplo 1 — configurar Google Gemini:

ixf > llm-key gemini AIzaSyXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
[+] Chave LLM configurada: provider=gemini len=39

Exemplo 2 — configurar OpenAI:

ixf > llm-key openai sk-svcacct-AbCdEfGhIjKlMnOpQrStUvWxYz...
[+] Chave LLM configurada: provider=openai len=82

Exemplo 3 — configurar Anthropic Claude:

ixf > llm-key anthropic sk-ant-api03-...
[+] Chave LLM configurada: provider=anthropic len=67

Alternativa via variável de ambiente (recomendada — chave nunca entra no IXF):

export GOOGLE_AI_STUDIO_API_KEY=AIzaSy...
export OPENAI_API_KEY=sk-...
export ANTHROPIC_API_KEY=sk-ant-api03-...
export DEEPSEEK_API_KEY=sk-deepseek-...
export XAI_API_KEY=xai-...
ixf

Cenário de erro — provider inválido:

ixf > llm-key mistral sk-key-123
[-] Provider inválido: 'mistral'. Providers disponíveis: openai, anthropic, gemini, deepseek, grok

Cenário de erro — chave vazia:

ixf > llm-key openai
[-] Uso: llm-key <provider> <api_key>

Comandos relacionados: llm-status, sast

`llm-status`

Exibe o status de todos os providers LLM configurados.

Sintaxe: llm-status

Contexto: global

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
(nenhum)	—	—	—	—

Exemplo 1 — apenas Gemini configurado:

ixf > llm-status
 Providers LLM
 ─────────────────────────────────────
 Provider Status
 openai não configurado
 anthropic não configurado
 gemini configurado ✓
 deepseek não configurado
 grok não configurado
 ─────────────────────────────────────
 Ativo: gemini (gemini-2.5-flash)

Exemplo 2 — múltiplos providers configurados:

ixf > llm-status
 Providers LLM
 ─────────────────────────────────────
 Provider Status
 openai configurado ✓
 anthropic configurado ✓
 gemini configurado ✓
 deepseek não configurado
 grok não configurado
 ─────────────────────────────────────
 Ativo: openai (gpt-4o)
 [i] OpenAI tem prioridade quando múltiplos providers estão configurados

Exemplo 3 — nenhum provider configurado:

ixf > llm-status
 Providers LLM
 ─────────────────────────────────────
 Provider Status
 openai não configurado
 anthropic não configurado
 gemini não configurado
 deepseek não configurado
 grok não configurado
 ─────────────────────────────────────
 Ativo: nenhum
 [!] Configure um provider para usar SAST: llm-key <provider> <api_key>
 [i] Ou defina a variável de ambiente antes de iniciar o IXF:
 export GOOGLE_AI_STUDIO_API_KEY=...

Cenário de erro: Não produz erros.

Comandos relacionados: llm-key, sast

`sast <caminho> [--mode <modo>] [--diff <outro_arquivo>]`

Executa análise SAST com LLM em arquivo de código-fonte PLC/RTU ou diretório.

Sintaxe: sast <caminho> [--mode sast|reverse|diff|exploit-gen] [--diff <outro_arquivo>]

Contexto: global

Parâmetros:

Argumento	Tipo	Obrigatório	Padrão	Valores Válidos
caminho	string	Sim	—	Caminho para arquivo PLC ou diretório de projeto
`--mode`	string	Não	`sast`	`sast`, `reverse`, `diff`, `exploit-gen`
`--diff`	string	Não	—	Segundo arquivo para modo `diff`

Modos disponíveis:

Modo	Descrição
`sast`	Análise completa de vulnerabilidades (setpoints, segurança, autenticação, rede, lógica)
`reverse`	Engenharia reversa de firmware/binário PLC compilado
`diff`	Comparação de duas versões de código PLC para mudanças não autorizadas
`exploit-gen`	Geração de PoC de exploit baseado nas descobertas

Exemplo 1 — análise SAST em diretório de projeto:

ixf > sast /opt/plc_projects/water_treatment/ --mode sast
[*] Analisando: water_treatment/ (5 arquivos, 245 linhas)
[*] Linguagens: ST (3), FBD (1), IL (1)
[*] Provider: gemini | Sanitizado: 2 credenciais, 1 IP público
[*] Enviando 9.7 KB para o LLM (sanitizado)...
 RELATÓRIO DE ANÁLISE SAST — water_treatment/
 ─────────────────────────────────────────────────────────────
 DESCOBERTA [SEVERIDADE: CRITICAL]: Setpoint de Dosagem de Cloro Não Validado
 Localização: water_treatment.st, linha 48
 Tipo: Falha de Validação de Entrada / Setpoint Inseguro
 Descrição: SP_CHLORINE_HIGH := 4000.0 — 2000x o limite seguro da OMS
 Vetor de Ataque: Escrita Modbus FC16 em HR[200] (DOSE_FACTOR)
 Impacto Físico: 4000 mg/L de cloro — dose letal para crianças
 MITRE: T0836 (Modify Parameter), T0880 (Loss of Safety)
 Remediação: Validar DOSE_FACTOR <= 2.0; adicionar interlock de hardware
 DESCOBERTA [SEVERIDADE: HIGH]: Condição de Corrida em Dosagem de pH
 Localização: water_treatment.st, linhas 65-71
 Descrição: Loop de controle de pH sem mutex — escrita simultânea possível
 Impacto Físico: pH instável — corrosão de tubulações ou dano a equipamentos
 Remediação: Implementar semáforo ou lógica de bloqueio de scan cycle

Exemplo 2 — modo diff para detecção de mudanças:

ixf > sast /opt/plc/v2.3_original.st --mode diff --diff /opt/plc/v2.3_modified.st
[*] Comparando: v2.3_original.st vs v2.3_modified.st
[*] Provider: gemini
 RELATÓRIO DE ANÁLISE DIFERENCIAL
 ─────────────────────────────────────────────────────────────
 DESCOBERTA [SEVERIDADE: CRITICAL]: Limite de Segurança Removido
 Original: SP_TEMP_TRIP := 280.0; (* Seguro conforme especificação *)
 Modificado: SP_TEMP_TRIP := 450.0; (* Elevado sem documentação *)
 Impacto: Setpoint de trip de temperatura elevado 60% acima do spec seguro
 Técnica: Manipulação de sistema de segurança estilo TRITON (T0816)
 Recomendação: Reverter imediatamente; investigar quem fez a mudança

Exemplo 3 — modo reverse engineering:

ixf > sast /opt/firmware/controller_v2.bin --mode reverse
[*] Arquivo binário: controller_v2.bin (128 KB)
[*] Extraindo strings e hexdump...
[*] Enviando para LLM para engenharia reversa...
 RELATÓRIO DE ENGENHARIA REVERSA
 ─────────────────────────────────────────────────────────────
 Identificado: Programa compilado Siemens S7-300
 Strings encontradas: 12 strings interessantes
 - "PASSWORD=admin123" no offset 0x2A80
 - "192.168.100.1" no offset 0x3C20 (IP interno)
 - "EMERGENCY_BYPASS" no offset 0x4100
 - "DEBUG_MODE=1" no offset 0x5200

Cenário de erro — nenhum provider LLM configurado:

ixf > sast /opt/plc/code.st
[-] Nenhum provider LLM configurado.
[i] Configure com: llm-key gemini <api_key>
[i] Ou defina: export GOOGLE_AI_STUDIO_API_KEY=...

Cenário de erro — arquivo não encontrado:

ixf > sast /path/inexistente/code.st
[-] Arquivo ou diretório não encontrado: '/path/inexistente/code.st'

Comandos relacionados: llm-key, llm-status

Scripts NSE

`nse <subcomando>`

Gerencia e executa scripts NSE (Nmap Scripting Engine) para reconhecimento de dispositivos OT/ICS.

Sintaxe: nse <install|list|run|update>

Contexto: global

Parâmetros:

Subcomando	Obrigatório	Descrição
`install`	Não	Instala scripts NSE ICS no diretório de scripts do Nmap
`list`	Não	Lista scripts NSE disponíveis no IXF
`run <script> <alvo>`	Não	Executa um script NSE em um alvo
`update`	Não	Atualiza scripts NSE para a versão mais recente

Exemplo 1 — instalar scripts NSE:

ixf > nse install
[*] Instalando scripts NSE ICS...
[+] modbus-enum.nse → /usr/share/nmap/scripts/
[+] s7-enumerate.nse → /usr/share/nmap/scripts/
[+] enip-list.nse → /usr/share/nmap/scripts/
[+] bacnet-info.nse → /usr/share/nmap/scripts/
[+] dnp3-info.nse → /usr/share/nmap/scripts/
[+] opcua-enum.nse → /usr/share/nmap/scripts/
[+] profinet-dcp.nse → /usr/share/nmap/scripts/
[+] ics-detect.nse → /usr/share/nmap/scripts/
[*] Atualizando banco de dados de scripts: nmap --script-updatedb
[+] 8 scripts instalados com sucesso.

Exemplo 2 — listar scripts disponíveis:

ixf > nse list
 Scripts NSE ICS disponíveis:
 ─────────────────────────────────────────────────────────────
 modbus-enum.nse Enumera dispositivos Modbus TCP (unit IDs, registradores)
 s7-enumerate.nse Enumera PLCs Siemens S7 (info CPU, versão firmware)
 enip-list.nse Enumera dispositivos EtherNet/IP (identidade CIP)
 bacnet-info.nse Obtém informações de dispositivos BACnet/IP
 dnp3-info.nse Proba comunicação DNP3 (Data Link Layer)
 opcua-enum.nse Enumera nós OPC UA (sessão anônima)
 profinet-dcp.nse Identifica dispositivos PROFINET via DCP
 ics-detect.nse Detecção multi-protocolo ICS (wrapper geral)

Exemplo 3 — executar script NSE:

ixf > nse run modbus-enum 192.168.1.100
[*] Executando: nmap --script modbus-enum -p 502 192.168.1.100
Starting Nmap 7.94 ...
PORT STATE SERVICE
502/tcp open modbus
| modbus-enum:
| Unit ID 1:
| Device Identification: Schneider Electric Modicon M340
| Vendor Name: Schneider Electric
| Product Code: BMXP342020
| Revision: V2.50
|_ Serial Number: 0042F5A8

Cenário de erro — Nmap não instalado:

ixf > nse run modbus-enum 192.168.1.100
[-] Nmap não encontrado no PATH.
[i] Instale com: apt-get install nmap (Linux) ou https://nmap.org/download (Windows)

Cenário de erro — script não encontrado:

ixf > nse run script_inexistente 192.168.1.100
[-] Script 'script_inexistente.nse' não encontrado.
[i] Use 'nse list' para ver scripts disponíveis.

Comandos relacionados: discover, search scanner, exec nmap

Apêndice: Tabela Resumida de Todos os 36 Comandos

Comando	Contexto	Descrição Curta
`help`	global/módulo	Exibe ajuda global ou do módulo
`exit`	global/módulo	Encerra o IXF
`use <módulo>`	global	Carrega um módulo
`back`	módulo	Descarrega o módulo atual
`set <opt> <val>`	módulo	Define opção do módulo
`setg <opt> <val>`	global/módulo	Define opção global (todos os módulos)
`unsetg <opt>`	global/módulo	Remove opção global
`show [sub]`	módulo	Exibe info/opções/avançado/dispositivos/tudo
`run`	módulo	Executa o módulo carregado
`check`	módulo	Proba de conectividade somente-leitura
`search <termo>`	global	Busca módulos por palavra-chave/CVE/vendor
`exec <cmd>`	global/módulo	Executa comando de shell
`discover <CIDR>`	global	Varredura de descoberta OT
`cve <CVE-ID>`	global	Carrega módulo por CVE ID
`cve-scan <CIDR>`	global	Fluxo guiado de CVE scan
`report [fmt]`	global	Gera relatório de assessment
`mitre <TID>`	global	Consulta técnica MITRE específica
`mitre-list [tática]`	global	Lista técnicas MITRE mapeadas
`mitre-scan <t> <alvo>`	global	Varredura de tática/técnica MITRE
`mitre-all <alvo>`	global	Varre todas as 74 técnicas (simulate)
`mitre-coverage`	global	Cobertura por tática
`mitre-report [fmt]`	global	Exporta layer ATT&CK Navigator
`mitre-tactic <t> <alvo>`	global	Alias para mitre-scan
`ttp <TID> <alvo>`	global	Executa todos os módulos de uma técnica
`ttp-check <TID> <alvo>`	global	Apenas check() dos módulos da técnica
`ttp-simulate <TID> <alvo>`	global	Simulação forçada dos módulos da técnica
`ttp-list [--tactic]`	global	Lista todos os TTP-IDs com contagens
`assess <módulo>`	global	Carrega e executa módulo de assessment
`stats`	global	Estatísticas e resumo de cobertura
`vendors [filtro]`	global	Lista vendors cobertos
`protocols`	global	Lista protocolos cobertos
`coverage`	global	Alias para mitre-coverage
`llm-key <prov> <key>`	global	Configura chave API de LLM
`llm-status`	global	Status dos providers LLM
`sast <caminho>`	global	Análise SAST com LLM em código PLC
`nse <sub>`	global	Gerencia scripts NSE ICS

Fluxos de Trabalho Recomendados

Workflow 1 — Avaliação de Segurança Inicial

Sequência recomendada para uma avaliação de segurança completa de ambiente OT desconhecido:

# Etapa 1: Entender o ambiente disponível
ixf > stats
ixf > mitre-coverage
# Etapa 2: Definir alvo global para a sessão
ixf > setg target 192.168.1.0/24
ixf > setg simulate true
# Etapa 3: Descoberta passiva
ixf > mitre-scan discovery 192.168.1.0/24
# Etapa 4: Fingerprinting por protocolo
ixf > use scanners/ics/modbus_detect
ixf > run # target herdado do setg
ixf > back
ixf > use scanners/ics/s7_comm_scanner
ixf > run
ixf > back
ixf > use scanners/ics/bacnet_scanner
ixf > run
# Etapa 5: Varredura de técnicas MITRE relevantes
ixf > ttp-check T0843 192.168.1.0/24
ixf > ttp-check T0836 192.168.1.0/24
ixf > ttp-check T0859 192.168.1.0/24
# Etapa 6: Assessment de conformidade
ixf > unsetg target
ixf > assess iec62443/zone_conduit_audit
ixf > assess risk/ics_risk_scorer
# Etapa 7: Relatórios
ixf > report html
ixf > mitre-report layer

Workflow 2 — Teste de Detecção SIEM

Para validar capacidades de detecção SIEM/IDS sem impacto:

# Gerar saída de simulação para criar assinaturas SIEM
ixf > setg simulate true
ixf > setg target 192.168.1.100
# Simular ataques de malware ICS conhecidos
ixf > use cve/malware/frostygoop_modbus_heating
ixf > run
# → Copiar payload hex para criar assinatura IDS
ixf > back
ixf > use cve/malware/industroyer2_iec104
ixf > run
# → Copiar ASDU IEC 104 para regra SIEM
ixf > back
ixf > ttp-simulate T0836 192.168.1.100
# → Gerar todas as variantes de T0836 para detecção
ixf > mitre-report html
# → Relatório com todos os TTPs simulados

Workflow 3 — Red Team Focado em Vendor

# Investigar vulnerabilidades específicas de um vendor
ixf > vendors siemens
ixf > search siemens
# Executar todos os módulos Siemens em simulate
ixf > setg target 192.168.1.50
ixf > setg simulate true
# Verificar CVEs críticos
ixf > cve CVE-2021-22681
ixf > show info
ixf > run
ixf > back
ixf > cve CVE-2022-38465
ixf > run
# Executar TTP relevantes
ixf > ttp T0843 192.168.1.50 # Program Download
ixf > ttp T0859 192.168.1.50 # Valid Accounts
# Relatório focado em Siemens
ixf > report json

Dicas e Atalhos

Tab-completion

No shell interativo, a tecla Tab completa comandos e caminhos de módulo:

ixf > use scanners/ics/<TAB>
 modbus_detect
 s7_comm_scanner
 bacnet_scanner
 dnp3_detect
 opcua_scanner
 ...
ixf > ttp T08<TAB>
 T0800 T0801 T0802 T0803 T0804 T0805
 T0806 T0807 T0808 T0809 T0810 T0811
 ...

Histórico de comandos

# Setas ↑/↓ — navegar histórico
# Ctrl+R — busca reversa no histórico
# Ctrl+A — início da linha
# Ctrl+E — final da linha

Atalhos de sessão úteis

# Forçar SafeMode no início de qualquer sessão
ixf > setg simulate true
ixf > setg verbose false
# Testar conectividade antes de executar exploits
ixf > check # Sempre antes de 'run' ao vivo
# Voltar ao contexto global rapidamente
ixf > back
# Ver histórico de auditoria da sessão
ixf > exec cat .log/destructive_ops_$(date +%Y-%m-%d).log 2>/dev/null || echo "Sem logs hoje"

Anterior: Início Rápido | Próximo: Sistema de Módulos

Apendice: Exemplos Adicionais de Comandos

Exemplo de Sessao Completa de Descoberta

ixf > setg simulate true
[*] Global: simulate => True
ixf > setg timeout 10
[*] Global: timeout => 10
ixf > discover 192.168.1.0/24
[*] Iniciando varredura de descoberta OT em 192.168.1.0/24...
ixf > search siemens
[*] Resultados: 27 modulos Siemens
ixf > cve CVE-2022-38465
[*] Modulo carregado: CVE-2022-38465 Siemens S7 Global Private Key
ixf (CVE-2022-38465 S7 Global Key) > set target 192.168.1.50
ixf (CVE-2022-38465 S7 Global Key) > run
 [SIMULATE] CVE-2022-38465 -- chave privada global S7
 Impacto: descriptografia de comunicacoes S7comm-Plus
ixf (CVE-2022-38465 S7 Global Key) > back
ixf > mitre-scan discovery 192.168.1.50
ixf > mitre-coverage
ixf > report json

Referencia Rapida de Flags de Saida

Saida	Significado	Quando Aparece
`[*]`	Status/informativo	Progresso normal
`[+]`	Sucesso/confirmado	Resultado positivo, hit
`[-]`	Negativo/nao encontrado	Nao vulneravel
`[!]`	Aviso/atencao	Condicao requer atencao
`[i]`	Informacao/dica	Contexto adicional
`[SIMULATE]`	Modo simulacao ativo	run() em simulate=True

Anterior: Inicio Rapido | Proximo: Sistema de Modulos

Referencia Shell

Referência do Shell

Índice

Navegação

help

exit

use <caminho_modulo>

back

Opções de Módulo

set <opção> <valor>

setg <opção> <valor>

unsetg <opção>

Inspeção de Módulo

show [subcomando]

Execução

run

check

Descoberta

search <termo>

exec <comando_shell>

discover <CIDR>

CVE

cve <CVE-ID>

cve-scan <CIDR>

Relatórios

report [formato]

MITRE ATT&CK para ICS

mitre <TID>

mitre-list [tática]

mitre-scan <tática_ou_TID> <alvo> [--destructive]

mitre-all <alvo>

mitre-coverage

mitre-report [formato]

mitre-tactic <tática> <alvo>

Execução TTP

ttp <TID> <alvo> [flags]

ttp-check <TID> <alvo>

ttp-simulate <TID> <alvo>

ttp-list [--tactic <nome>]

Assessment

assess <caminho_modulo>

Estatísticas e Inventário

stats

vendors [filtro]

protocols

coverage

LLM / SAST

llm-key <provider> <api_key>

llm-status

sast <caminho> [--mode <modo>] [--diff <outro_arquivo>]

Scripts NSE

nse <subcomando>

Apêndice: Tabela Resumida de Todos os 36 Comandos

Fluxos de Trabalho Recomendados

Workflow 1 — Avaliação de Segurança Inicial

Workflow 2 — Teste de Detecção SIEM

Workflow 3 — Red Team Focado em Vendor

Dicas e Atalhos

Tab-completion

Histórico de comandos

Atalhos de sessão úteis

Apendice: Exemplos Adicionais de Comandos

Exemplo de Sessao Completa de Descoberta

Referencia Rapida de Flags de Saida

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

`help`

`exit`

`use <caminho_modulo>`

`back`

`set <opção> <valor>`

`setg <opção> <valor>`

`unsetg <opção>`

`show [subcomando]`

`run`

`check`

`search <termo>`

`exec <comando_shell>`

`discover <CIDR>`

`cve <CVE-ID>`

`cve-scan <CIDR>`

`report [formato]`

`mitre <TID>`

`mitre-list [tática]`

`mitre-scan <tática_ou_TID> <alvo> [--destructive]`

`mitre-all <alvo>`

`mitre-coverage`

`mitre-report [formato]`

`mitre-tactic <tática> <alvo>`

`ttp <TID> <alvo> [flags]`

`ttp-check <TID> <alvo>`

`ttp-simulate <TID> <alvo>`

`ttp-list [--tactic <nome>]`

`assess <caminho_modulo>`

`stats`

`vendors [filtro]`

`protocols`

`coverage`

`llm-key <provider> <api_key>`

`llm-status`

`sast <caminho> [--mode <modo>] [--diff <outro_arquivo>]`

`nse <subcomando>`