Gestapo Secret Service

O que é o Gestapo e por que ninguém fala sobre os problemas reais dele

Gestapo é um framework de pentest em código aberto, escrito em Python, que automatiza a coleta de informações, análise de vulnerabilities e geração de relatórios. A ideia básica é encadear várias ferramentas existentes — nmap, sqlmap, nuclei, whatweb e outras — num fluxo coeso. Não é magia. É apenas automação bem disposta. O problema é que a maioria dos tutoriais mostra a versão de instalação no repositório oficial e dá como certo que funciona. Na prática, encontrei um case específico onde o Gestapo travava completamente durante a fase de reconhecimento ativo em redes com segmentação por VLANs. O nmap rodava normalmente, mas o módulo de correlação de sub-redes simplesmente não conseguia mapear os endereços entre as VLANs e gerava um erro de timeout genérico que levava horas pra diagnosticar. A workaround que usei foi desabilitar o scan multi-VLAN automaticamente e forçar a execução passo a passo por segmento, passando os alvos via arquivo CSV com colunas separadas por tipo de rede. Funcionou. Leva mais tempo, mas evita o crash.

Por dentro do gestapo secret service

A parte mais ignorada do Gestapo é o módulo de inteligência de fontes abertas (OSINT) embutido. Ele consulta APIs públicas como Shodan, Censys, VirusTotal, Whois e PassiveTotal de forma encadeada. O insight contraintuitivo aqui é que muitas vezes o dado mais valioso não vem do scan de porta em si, mas da correlação que o Gestapo faz entre o hostname resolvido pelo DNS reverso e os certificados TLS registrados no PassiveTotal. Isso já aconteceu comigo identificando um serviço exposto que não aparecia em nenhum scan convencional porque estava atrás de um WAF mal configurado que respondia com 404 para requisições padronizadas. Outra coisa que quase ninguém menciona: o Gestapo guarda caches de todas as consultas em ~/.gestapo/cache/. Se você está fazendo teste repetido contra o mesmo alvo, pule o cache com a flag --no-cache. Sem isso, você pode estar interpretando resultados desatualizados de scans feitos semanas antes e tomando decisões baseadas em dados errados.

Instalação e setup

A instalação padrão é direta. Clone o repositório oficial, entre no diretório e execute o install.sh. Ele resolve as dependências via pip e instala o PostgreSQL como backend opcional para armazenamento persistente de resultados. Recomendo usar o PostgreSQL desde o início — o modo SQLite funciona para alvos isolados, mas começa a sofrer com latência a partir de cerca de 500 alvos em sequência. Depois de instalar, rode o comando de inicialização para configurar o banco de dados. Ele cria as tabelas necessárias e pede para definir uma senha de admin. Anote essa senha. Perdê-la significa ter que destruir o banco e começar do zero, o que apaga todo o histórico de testes anteriores.

Configurando o workflow básico

O Gerstapo opera com conceitos de "workflow" — cada workflow é uma sequência pré-definida de módulos que executam em cascata. O workflow padrão chamado "full-scan" executa reconhecimento passivo primeiro, depois ativo, depois exploração automatizada e por fim gera o relatório. A configuração dos workflows fica em /etc/gestapo/workflows/. Você pode copiar o template e modificar para o seu cenário. No meu caso, sempre ajusto dois parâmetros: o timeout global (padrão é 300 segundos, reduzo para 120 em redes instáveis) e a taxa de threads por módulo (padrão 10, baixo para 4 quando o alvo demonstra sensibilidade a scans agressivos).

Módulos principais e o que realmente importam

O Gestapo tem dezenas de módulos, mas na prática eu uso apenas estes com frequência: O módulo recon_passive faz coleta sem tocar no alvo. Consulta DNS, Whois, shodan, censys. Rápido e silencioso. Leva em média 3 a 5 minutos para um domínio médio. O módulo recon_active dispara nmap com flags otimizadas. Aqui é onde muitos erram ao não ajustar o timing template. O padrão é T3, que é moderado. Para ambientes corporativos com IPS ativo, use T2. Para testes internos controlados, T4 ou até T5 se você não se importar com ruido na rede.

O módulo vuln_scan executa verificações de vulnerabilidade com nuclei e testssl.sh. Este é o módulo que mais gera falsos positivos. Sempre confirme manualmente qualquer vulnerabilidade crítica antes de reportar. O módulo exploit_exec é o mais perigoso. Ele tenta explorar vulnerabilities conhecidas automaticamente. Não recomendo executar em produção sem autorização escrita e sem plano de rollback. Já vi colegas perderem acesso a serviços inteiros porque o exploit quebrou um processo dependente. O módulo reporting gera o relatório final em PDF e HTML. Personalizável, mas os templates padrão são genéricos demais para clientes que exigem linguagem específica do setor.

Dicas práticas que demorei pra aprender

Primeiro: use sempre o modo dry-run (--dry-run) antes de executar qualquer workflow completo. Ele simula a execução e mostra exatamente quais módulos vão rodar, em qual ordem, e quanto tempo estimado leva. Economiza cerca de 40 minutos em scans que seriam cancelados no meio por erros de configuração. Segundo: se o alvo tem mais de 1000 endereços IP, divida em lotes. O Gestapo não tem batching nativo, então você precisa passar arquivos de alvo separados e executar workflows distintos. Unir tudo num único alvo gera memória insuficiente e o processo morre sem aviso claro. Terceiro: exports de dados via API REST estão disponíveis a partir da versão 3.2. Se você precisa integrar Gestapo com um SIEM ou plataforma de gestão de vulnerabilidades, use a API em vez de importar arquivos manualmente. A API aceita filtros por data, severity e status. Reduz o tempo de integração de horas para cerca de 15 minutos.

Limitações reais que o Gestapo tem

O Gestapo não é solução completa. Ele falha em cenários de aplicativos web com autenticação complexa multi-fator. Os módulos de web testing não conseguem persistir sessões autenticadas adequadamente, então os scans entram como usuário anônimo e perdem vulnerabilidades que só aparecem com credenciais válidas. Para esses casos, useBurp SuitePro ou OWASP ZAP em conjunto, e importe os resultados depois. Outro ponto fraco: a detecção de fuzzing para APIs REST é superficial. Ele usa wordlists padrões e não constrói payloads dinamicamente baseados no schema da API. Se o alvo tem endpoints customizados, quase certamente vai perder falhas de autorização e injection que não seguem padrões conhecidos. A documentação também é atualizada com atraso em relação às versões recentes do software. Várias flags que aparecem no README não existem mais, e algumas funcionalidades novas não estão documentadas de forma nenhuma. Consulte o help interno (--help) de cada módulo para ver o que está disponível na sua versão instalada.

Download e recursos

O repositório oficial fica em GitHub. Baixe a última release estável, não a branch main, porque a main frequentemente tem bugs de integração que ainda não foram corrigidos. Após baixar, verifique o checksum SHA-256 constante no release page. Scripts maliciosos injectados em repositórios clonados de fontes não confiáveis já foram reportados. Para integração com infraestrutura como código, existe um Ansible role mantido pela comunidade que automatiza o provisioning do Gestapo em máquinas limpas. Leva cerca de 8 minutos do início ao ponto de uso em uma VM Debian 12.