threat-feed-me
Agregador on-prem de inteligencia de amenazas que normaliza, deduplica y puntúa feeds gratuitos para servir listas de bloqueo a firewalls vía URLs. Usa Python/FastAPI, Docker y SQLite.
Ficha actualizada 22 sept 2026, 14:43 · upstream 22 sept 2026, 14:10 · release v2.4.13
Qué es threat-feed-me
Descripción editorial construida a partir del repositorio, su documentación y sus señales de mantenimiento.
Threat Feed Me es una herramienta on-premise diseñada para centralizar la ingestión de inteligencia de amenazas. Normaliza múltiples fuentes (OSINT, comerciales, honeypots) en un único punto de salida, separando estrictamente indicadores IP para filtros de paquetes y dominios para DNS. El sistema deduplica entradas redundantes y aplica una puntuación de confianza dinámica basada en votos efectivos independientes, reputación del feed y frescura de los datos.
- Integración directa con firewalls (FortiGate, Sophos, pfSense) mediante URLs de feeds
- Filtrado DNS en soluciones como Pi-hole o AdGuard Home usando listas de dominios
- Gestión centralizada de honeypots y sensores propios votando como fuentes
- Creación de whitelists para false positives sin editar archivos de configuración
- Agregación de feeds gratuitos sin necesidad de claves API por defecto
- Exportación de listas en formatos CSV o JSON para integración SIEM
- Incluye 22 feeds gratuitos y sin claves API por defecto (ej. URLhaus, OpenPhish)
- Separación estricta entre indicadores IP y dominios para evitar contaminación de listas
- Algoritmo de puntuación basado en votos efectivos que descuenta redundancia entre fuentes
- Interfaz web completa para gestión de feeds, whitelist y reinicio sin tocar código
- Auto-refresh automático cada 60 minutos sin necesidad de cron externo
- Soporte nativo para Docker con imágenes publicadas listas para usar
- Requiere infraestructura propia (on-prem) o VM, no es un servicio SaaS gestionado
- Feeds opcionales como HoneyDB o OTX requieren configuración manual de claves API
- Base de datos SQLite local puede requerir migración para entornos de gran escala
- La interfaz web del dashboard debe protegerse con credenciales si se expone a red no confiable
Perfil de infraestructura
Estimación inicial derivada del repositorio y de los servicios detectados.
Despliegue detectado
Qué señales reales de instalación hemos encontrado.
Ejecutar con Docker usando la imagen oficial o docker compose. Mapear volumen /app/data para persistencia. Puerto 8080 por defecto. Para seguridad, configurar DASHBOARD_USER y DASHBOARD_PASSWORD en variables de entorno si el dashboard es accesible desde redes externas.
Stack y dependencias
Componentes inferidos a partir de manifests, configuración y documentación.
Puede sustituir a
Relaciones detectadas por el análisis del repositorio y su categoría.
Experiencia real de la comunidad
Ayuda a contrastar la estimación automática con instalaciones reales.
Todavía no hay datos comunitarios para este proyecto.