vamp-easm 1.1__tar.gz → 1.3__tar.gz

vamp_easm-1.3/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 VampSecure Studios
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

{vamp_easm-1.1 → vamp_easm-1.3}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: vamp-easm
-Version: 1.1
+Version: 1.3
 Summary: External Attack Surface Management (EASM) scanner for authorized audits
 Author-email: VampSecure Studios <contact@vampsecurestudios.com>
 License: MIT
@@ -16,7 +16,9 @@ Classifier: Programming Language :: Python :: 3
 Classifier: Topic :: Security
 Requires-Python: >=3.9
 Description-Content-Type: text/markdown
+License-File: LICENSE
 Requires-Dist: rich>=13.7.0
+Dynamic: license-file
 
 # vamp-easm
 

{vamp_easm-1.1 → vamp_easm-1.3}/pyproject.toml

@@ -4,7 +4,7 @@ build-backend = "setuptools.build_meta"
 
 [project]
 name = "vamp-easm"
-version = "1.1"
+version = "1.3"
 description = "External Attack Surface Management (EASM) scanner for authorized audits"
 readme = "README.md"
 license = { text = "MIT" }

{vamp_easm-1.1 → vamp_easm-1.3}/vamp_easm.egg-info/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: vamp-easm
-Version: 1.1
+Version: 1.3
 Summary: External Attack Surface Management (EASM) scanner for authorized audits
 Author-email: VampSecure Studios <contact@vampsecurestudios.com>
 License: MIT
@@ -16,7 +16,9 @@ Classifier: Programming Language :: Python :: 3
 Classifier: Topic :: Security
 Requires-Python: >=3.9
 Description-Content-Type: text/markdown
+License-File: LICENSE
 Requires-Dist: rich>=13.7.0
+Dynamic: license-file
 
 # vamp-easm
 

{vamp_easm-1.1 → vamp_easm-1.3}/vamp_easm.egg-info/SOURCES.txt

@@ -1,3 +1,4 @@
+LICENSE
 README.md
 pyproject.toml
 vamp_easm.py

{vamp_easm-1.1 → vamp_easm-1.3}/vamp_easm.py

@@ -57,6 +57,7 @@ from __future__ import annotations
 import argparse
 import json
 import sys
+import time
 from datetime import datetime, timezone
 from typing import List, Optional
 
@@ -75,7 +76,7 @@ from vampsec_report import (
 # Constantes
 # ---------------------------------------------------------------------------
 
-VERSION = "1.1"
+VERSION = "1.3"
 TOOL    = "vamp-easm"
 BRAND   = "VampSecure Labs — EASM Continuo"
 
@@ -86,7 +87,7 @@ BANNER = (
     " \\ V / _ \\| |\\/| |  _/\\__ \\ _| (__| |_| |   / _|| |__ / _ \\| _ \\__ \\\n"
     "  \\_/_/ \\_\\_|  |_|_|  |___/___\\___|\\___/|_|_\\___|____/_/ \\_\\___/___/\n"
     '  by Antonio Hernandez "Belky" — VampSecure Studios\n'
-    "  vamp-easm v1.1 · External Attack Surface Management\n"
+    "  vamp-easm v1.3 · External Attack Surface Management\n"
     "  ────────────────────────────────────────────────────────────────────────\n"
     "  USO EXCLUSIVO EN AUDITORÍAS AUTORIZADAS · El uso no autorizado es ilegal\n"
 )
@@ -195,6 +196,182 @@ def _tabla_historial(rows) -> Table:
     return tabla
 
 
+# ---------------------------------------------------------------------------
+# Integración Shodan  (v1.3)
+# ---------------------------------------------------------------------------
+
+# Puertos considerados sensibles para emitir hallazgo MEDIUM
+_SHODAN_PUERTOS_SENSIBLES = {21, 23, 445, 3389, 1433, 3306, 5432, 5900, 6379, 27017, 9200}
+
+
+class ShodanEASMEnricher:
+    """
+    Enriquecimiento EASM con la API REST de Shodan por IP.
+
+    Para cada IP descubierta en el escaneo consulta
+    https://api.shodan.io/shodan/host/<ip>?key=<api_key>
+    y añade hallazgos al listado de findings del escaneo:
+
+      - Puerto sensible abierto           → MEDIUM
+      - Vulnerabilidades en campo 'vulns' → HIGH
+      - Hostname alternativo              → INFO
+
+    Límite: 10 IPs máximo por invocación (para no agotar créditos API).
+    """
+
+    _HOST_URL = "https://api.shodan.io/shodan/host/{ip}?key={key}"
+    _MAX_IPS   = 10
+
+    def __init__(self, api_key: str) -> None:
+        self._key = api_key
+
+    def _enrich_with_shodan(
+        self,
+        ips_or_hosts: list,
+        api_key: str,
+        findings: list,
+    ) -> None:
+        """
+        Enriquece la lista de findings con datos Shodan para cada IP.
+
+        Modifica findings in-place añadiendo los hallazgos relevantes.
+
+        Parámetros
+        ----------
+        ips_or_hosts : list[str]  — IPs o nombres de host a consultar
+        api_key      : str        — Clave API de Shodan
+        findings     : list       — Lista de Finding a la que se añaden los hallazgos
+        """
+        import urllib.request as _ureq
+        import json as _json
+
+        # Filtrar solo IPs (IPv4 básico) y descartar repeticiones
+        ips_validas = []
+        vistas: set = set()
+        for h in ips_or_hosts:
+            h = h.strip()
+            partes = h.split(".")
+            if len(partes) == 4 and all(p.isdigit() for p in partes) and h not in vistas:
+                ips_validas.append(h)
+                vistas.add(h)
+
+        ips_validas = ips_validas[: self._MAX_IPS]
+
+        idx_base = max((int(f.id.split("-")[-1]) for f in findings if "-" in f.id), default=0)
+
+        for i, ip in enumerate(ips_validas, start=1):
+            url = self._HOST_URL.format(ip=ip, key=api_key)
+            try:
+                req = _ureq.Request(
+                    url,
+                    headers={"User-Agent": f"vamp-easm/{VERSION}"},
+                )
+                with _ureq.urlopen(req, timeout=15) as resp:
+                    codigo = resp.status
+                    if codigo == 401:
+                        findings.append(Finding(
+                            id          = f"EASM-SHD-{idx_base + i:03d}",
+                            title       = "API key Shodan inválida o sin créditos",
+                            severity    = "INFO",
+                            description = "La clave API de Shodan devolvió 401. Verificar validez y cuota.",
+                            evidence    = f"URL: {self._HOST_URL.format(ip=ip, key='***')}",
+                            affected    = ip,
+                            remediation = "Comprobar la clave API en https://account.shodan.io/",
+                            tags        = ["shodan", "easm"],
+                        ))
+                        return   # Si 401, todas las demás peticiones fallarán también
+                    if codigo == 404:
+                        # IP no indexada en Shodan: INFO silencioso
+                        continue
+                    if codigo != 200:
+                        continue
+                    data = _json.loads(resp.read())
+            except Exception:
+                # Error de red o timeout: continuar con la siguiente IP
+                continue
+
+            puertos:   list = data.get("ports", []) or []
+            vulns_raw: dict = data.get("vulns", {}) or {}
+            hostnames: list = data.get("hostnames", []) or []
+            org:       str  = data.get("org", "") or ""
+            sistema:   str  = data.get("os", "") or ""
+
+            # Hallazgo: puertos sensibles abiertos
+            sensibles = [p for p in puertos if p in _SHODAN_PUERTOS_SENSIBLES]
+            for puerto in sensibles:
+                idx_base += 1
+                findings.append(Finding(
+                    id          = f"EASM-SHD-{idx_base:03d}",
+                    title       = f"Puerto sensible {puerto} abierto según Shodan — {ip}",
+                    severity    = "MEDIUM",
+                    description = (
+                        f"Shodan ha indexado el puerto {puerto} como abierto en la IP {ip}. "
+                        "Este puerto corresponde a un servicio de alto riesgo si está expuesto "
+                        "sin control de acceso."
+                    ),
+                    evidence    = (
+                        f"IP: {ip}\n"
+                        f"Puerto: {puerto}\n"
+                        f"Org: {org or '—'}\n"
+                        f"OS: {sistema or '—'}\n"
+                        f"Fuente: Shodan (datos históricos — verificar estado actual)"
+                    ),
+                    affected    = f"{ip}:{puerto}",
+                    remediation = (
+                        f"Verificar si el puerto {puerto} en {ip} debe estar accesible desde Internet. "
+                        "Aplicar reglas de firewall para restringir el acceso por IP de origen. "
+                        "Actualizar el servicio a la última versión segura."
+                    ),
+                    tags        = ["shodan", "easm", "exposed-port"],
+                ))
+
+            # Hallazgo: vulnerabilidades reportadas por Shodan (campo 'vulns')
+            if vulns_raw:
+                cves_str = ", ".join(list(vulns_raw.keys())[:10])
+                idx_base += 1
+                findings.append(Finding(
+                    id          = f"EASM-SHD-{idx_base:03d}",
+                    title       = f"Vulnerabilidades Shodan en {ip}: {cves_str[:60]}",
+                    severity    = "HIGH",
+                    description = (
+                        f"Shodan reporta {len(vulns_raw)} vulnerabilidad(es) conocida(s) en la IP {ip}. "
+                        "Estas vulnerabilidades pueden estar presentes en los servicios actualmente "
+                        "expuestos según el índice de Shodan."
+                    ),
+                    evidence    = (
+                        f"IP: {ip}\n"
+                        f"Vulnerabilidades Shodan: {cves_str}\n"
+                        f"Org: {org or '—'}\n"
+                        f"Fuente: Shodan — los datos pueden tener latencia de semanas"
+                    ),
+                    affected    = ip,
+                    remediation = (
+                        "Verificar el estado actual de las vulnerabilidades listadas en los servicios "
+                        "del host. Consultar el NVD para detalles de parches y aplicarlos. "
+                        "Referencia: https://nvd.nist.gov/"
+                    ),
+                    cve         = list(vulns_raw.keys())[0] if vulns_raw else None,
+                    tags        = ["shodan", "easm", "cve", "vulnerability"],
+                ))
+
+            # Hallazgo INFO: hostname alternativo reportado por Shodan
+            for hostname in hostnames[:3]:
+                idx_base += 1
+                findings.append(Finding(
+                    id          = f"EASM-SHD-{idx_base:03d}",
+                    title       = f"Shodan reporta hostname alternativo: {hostname}",
+                    severity    = "INFO",
+                    description = (
+                        f"Shodan indexa el hostname '{hostname}' para la IP {ip}. "
+                        "Puede indicar servicios adicionales o dominios compartiendo esta IP."
+                    ),
+                    evidence    = f"IP: {ip}\nHostname Shodan: {hostname}",
+                    affected    = ip,
+                    remediation = "Verificar que el hostname corresponde a infraestructura autorizada.",
+                    tags        = ["shodan", "easm", "hostname"],
+                ))
+
+
 # ---------------------------------------------------------------------------
 # Comando: scan
 # ---------------------------------------------------------------------------
@@ -290,6 +467,16 @@ def cmd_scan(args: argparse.Namespace) -> int:
     certs_ok = [c for c in resultado.certs if not c.error]
     console.print(f"   {len(certs_ok)} certificados inspeccionados.")
 
+    # ── Nota Shodan al inicio (si no se proporcionó clave) ───────────────────
+    shodan_key_easm = (
+        getattr(args, "shodan_key", None)
+        or __import__("os").environ.get("SHODAN_API_KEY", "")
+    )
+    if not shodan_key_easm:
+        console.print(
+            "[dim]  ℹ Shodan no activo — usa --shodan-key para enriquecer con datos Shodan[/dim]"
+        )
+
     # ── Motor de diffs ────────────────────────────────────────────────────
     console.print("\n[cyan]►[/cyan] [bold]Calculando diffs respecto al escaneo anterior…[/bold]")
     scan_anterior = storage.ultimo_scan(target)
@@ -316,6 +503,24 @@ def cmd_scan(args: argparse.Namespace) -> int:
     # Cerrar escaneo en SQLite
     storage.cerrar_scan(scan_id, assets_found=assets_total, diffs_found=len(diffs))
 
+    # ── Enriquecimiento Shodan (opcional) ────────────────────────────────────
+    findings_shodan: List[Finding] = []
+    if shodan_key_easm:
+        console.print("\n[cyan]►[/cyan] [bold]Enriquecimiento Shodan (por IP)…[/bold]")
+        ips_descubiertas = []
+        for sub in resultado.subdominios:
+            if sub.ips:
+                ips_descubiertas.extend(sub.ips)
+        if ips_descubiertas:
+            enricher = ShodanEASMEnricher(shodan_key_easm)
+            enricher._enrich_with_shodan(ips_descubiertas, shodan_key_easm, findings_shodan)
+            console.print(
+                f"   {len([f for f in findings_shodan if f.severity in ('HIGH','MEDIUM')])} "
+                f"hallazgos Shodan (MEDIUM+HIGH) · {len(findings_shodan)} totales"
+            )
+        else:
+            console.print("   [dim]Sin IPs resueltas para consultar Shodan.[/dim]")
+
     # ── Mostrar resultados ────────────────────────────────────────────────
     if diffs:
         console.print(_tabla_diffs(diffs))
@@ -331,6 +536,8 @@ def cmd_scan(args: argparse.Namespace) -> int:
 
     # ── Exportar informes si se pidió ─────────────────────────────────────
     findings = [d.finding for d in diffs if d.finding is not None]
+    # Incluir hallazgos Shodan en el informe si los hay
+    findings.extend(findings_shodan)
     if findings:
         meta = meta_from_args(args, tool=TOOL, version=VERSION)
         meta.scope = target
@@ -454,6 +661,243 @@ def cmd_export(args: argparse.Namespace) -> int:
     return 0
 
 
+# ---------------------------------------------------------------------------
+# Comando: watch
+# ---------------------------------------------------------------------------
+
+def _escanear_target(
+    target: str,
+    puertos: List[int],
+    usar_nmap: bool,
+    alert_webhook: Optional[str],
+) -> List[differ.Diff]:
+    """
+    Ejecuta un escaneo completo del target, persiste en SQLite y devuelve
+    los diffs calculados frente al escaneo inmediatamente anterior.
+
+    Función interna compartida por cmd_scan (indirectamente) y cmd_watch.
+    """
+    storage.inicializar_db()
+    scan_id = storage.nuevo_scan(target)
+
+    resultado = scanner.ejecutar_escaneo(
+        target=target,
+        puertos=puertos,
+        usar_nmap=usar_nmap,
+    )
+
+    # Persistir subdominios
+    for sub in resultado.subdominios:
+        ip = sub.ips[0] if sub.ips else None
+        storage.upsert_asset(target=target, subdominio=sub.nombre,
+                             scan_id=scan_id, ip=ip)
+
+    # Persistir puertos
+    for pa in resultado.puertos:
+        ip_pa = None
+        for sub in resultado.subdominios:
+            if sub.nombre == pa.host:
+                ip_pa = sub.ips[0] if sub.ips else None
+                break
+        storage.upsert_asset(target=target, subdominio=pa.host,
+                             scan_id=scan_id, ip=ip_pa,
+                             puerto=pa.puerto, protocolo=pa.protocolo,
+                             servicio=pa.servicio)
+
+    # Persistir certificados
+    for cert in resultado.certs:
+        if cert.error:
+            continue
+        storage.insertar_cert(target=target, host=cert.host,
+                              scan_id=scan_id, issued_to=cert.issued_to,
+                              issuer=cert.issuer, not_after=cert.not_after,
+                              sans=",".join(cert.sans) if cert.sans else None,
+                              fingerprint=cert.fingerprint,
+                              autofirmado=cert.autofirmado)
+
+    # Calcular diffs frente al escaneo anterior
+    historial = storage.historial_scans(target, limit=5)
+    scan_id_prev: Optional[str] = None
+    for row in historial:
+        if row["id"] != scan_id:
+            scan_id_prev = row["id"]
+            break
+
+    motor = differ.MotorDiff(target=target, scan_id=scan_id,
+                              scan_id_prev=scan_id_prev, storage=storage)
+    diffs = motor.calcular()
+
+    assets_total = len(resultado.subdominios) + len(resultado.puertos)
+    storage.cerrar_scan(scan_id, assets_found=assets_total,
+                        diffs_found=len(diffs))
+
+    # Gestionar alertas solo si hay cambios
+    if diffs:
+        webhook_url = alerter.resolver_webhook_url(alert_webhook)
+        alerter.gestionar_alertas(webhook_url, target, diffs, scan_id)
+
+    return diffs
+
+
+def cmd_watch(args: argparse.Namespace) -> int:
+    """
+    Modo watch continuo: ejecuta escaneos periódicos del target, compara
+    con el resultado anterior almacenado en SQLite e imprime solo los
+    cambios detectados (nuevos puertos, subdominios, certs, etc.).
+
+    El webhook (--alert-webhook) solo se dispara cuando hay diffs.
+    El bucle continúa hasta interrupción manual (Ctrl+C).
+
+    Returns
+    -------
+    int : Siempre 0 al salir por interrupción.
+    """
+    target   = args.target
+    interval = getattr(args, "interval", 3600)
+    webhook  = getattr(args, "alert_webhook", None)
+
+    # Determinar lista de puertos
+    if getattr(args, "ports", None) and args.ports != "top100":
+        try:
+            puertos = [int(p.strip()) for p in args.ports.split(",") if p.strip()]
+        except ValueError:
+            console.print("[red]Error:[/red] --ports debe ser 'top100' o lista CSV (ej: 22,80,443)")
+            return 1
+    else:
+        puertos = scanner.TOP_100_PORTS
+
+    console.print(Panel(
+        f"[bold cyan]vamp-easm v{VERSION}[/bold cyan]  ·  {BRAND}\n"
+        f"Modo: [bold]WATCH[/bold] · Target: [bold]{target}[/bold] · "
+        f"Intervalo: {interval}s  ·  {_ts_ahora()}",
+        border_style="yellow",
+    ))
+
+    iteracion = 0
+    try:
+        while True:
+            iteracion += 1
+            ts_scan = _ts_ahora()
+            console.print(
+                f"\n[yellow]►[/yellow] [bold]Escaneo #{iteracion}[/bold] — {ts_scan}"
+            )
+
+            diffs = _escanear_target(
+                target=target,
+                puertos=puertos,
+                usar_nmap=getattr(args, "nmap", False),
+                alert_webhook=webhook,
+            )
+
+            if diffs:
+                console.print(_tabla_diffs(diffs))
+            else:
+                console.print(
+                    "[green]✓ Sin cambios respecto al escaneo anterior.[/green]"
+                )
+
+            console.print(
+                f"[dim]Próximo escaneo en {interval}s "
+                f"(Ctrl+C para detener)[/dim]"
+            )
+            time.sleep(interval)
+
+    except KeyboardInterrupt:
+        console.print("\n[yellow]Watch detenido por el usuario.[/yellow]")
+
+    return 0
+
+
+# ---------------------------------------------------------------------------
+# Comando: diff
+# ---------------------------------------------------------------------------
+
+def cmd_diff(args: argparse.Namespace) -> int:
+    """
+    Muestra todos los cambios detectados entre dos snapshots almacenados.
+
+    --from y --to aceptan fechas en formato YYYY-MM-DD o YYYY-MM-DDTHH:MM.
+    Se busca el escaneo cuyo ts_start sea el más cercano (posterior) a cada
+    fecha indicada.
+
+    Returns
+    -------
+    int : 0 sin diffs, 1 con diffs HIGH, 2 con diffs CRITICAL.
+    """
+    storage.inicializar_db()
+
+    target     = args.target
+    fecha_from = getattr(args, "from_date", None) or ""
+    fecha_to   = getattr(args, "to_date",   None) or ""
+
+    # Obtener historial completo del target (máx 1000 para cubrir rango amplio)
+    historial = storage.historial_scans(target, limit=1000)
+    if not historial:
+        console.print(f"[red]Error:[/red] Sin historial para {target}")
+        return 1
+
+    def _scan_id_por_fecha(fecha_prefix: str, historial_rows) -> Optional[str]:
+        """
+        Devuelve el scan_id cuyo ts_start comienza con fecha_prefix.
+        Si no hay match exacto, devuelve el más antiguo posterior a ese prefijo.
+        """
+        if not fecha_prefix:
+            return None
+        for row in reversed(historial_rows):   # orden cronológico ascendente
+            if row["ts_start"] and row["ts_start"] >= fecha_prefix:
+                return row["id"]
+        return None
+
+    scan_id_from = _scan_id_por_fecha(fecha_from, historial)
+    scan_id_to   = _scan_id_por_fecha(fecha_to,   historial)
+
+    if not scan_id_from:
+        console.print(
+            f"[red]Error:[/red] No se encontró escaneo en o posterior a "
+            f"[bold]{fecha_from}[/bold] para {target}"
+        )
+        return 1
+
+    if not scan_id_to:
+        console.print(
+            f"[red]Error:[/red] No se encontró escaneo en o posterior a "
+            f"[bold]{fecha_to}[/bold] para {target}"
+        )
+        return 1
+
+    if scan_id_from == scan_id_to:
+        console.print("[yellow]⚠ Los dos snapshots apuntan al mismo escaneo — sin diff.[/yellow]")
+        return 0
+
+    console.print(Panel(
+        f"[bold cyan]vamp-easm v{VERSION}[/bold cyan]  ·  {BRAND}\n"
+        f"Target: [bold]{target}[/bold] · Diff acumulado\n"
+        f"Desde: [dim]{fecha_from}[/dim] (scan {scan_id_from[:8]})\n"
+        f"Hasta: [dim]{fecha_to}[/dim]  (scan {scan_id_to[:8]})",
+        border_style="dim",
+    ))
+
+    motor = differ.MotorDiff(
+        target=target,
+        scan_id=scan_id_to,
+        scan_id_prev=scan_id_from,
+        storage=storage,
+    )
+    diffs = motor.calcular()
+
+    if diffs:
+        console.print(_tabla_diffs(diffs))
+    else:
+        console.print("[green]✓ Sin cambios entre los dos snapshots indicados.[/green]")
+
+    sevs = {d.severidad for d in diffs}
+    if "CRITICAL" in sevs:
+        return 2
+    if "HIGH" in sevs:
+        return 1
+    return 0
+
+
 # ---------------------------------------------------------------------------
 # CLI — definición de argumentos
 # ---------------------------------------------------------------------------
@@ -469,11 +913,13 @@ def construir_parser() -> argparse.ArgumentParser:
         formatter_class=argparse.RawDescriptionHelpFormatter,
         epilog=(
             "Ejemplos:\n"
-            "  python vamp_easm.py scan --target ejemplo.com\n"
-            "  python vamp_easm.py scan --target ejemplo.com --ports 22,80,443 --html\n"
+            "  python vamp_easm.py scan    --target ejemplo.com\n"
+            "  python vamp_easm.py scan    --target ejemplo.com --ports 22,80,443 --html\n"
             "  python vamp_easm.py history --target ejemplo.com --limit 5\n"
-            "  python vamp_easm.py assets --target ejemplo.com\n"
-            "  python vamp_easm.py export --target ejemplo.com --json\n"
+            "  python vamp_easm.py assets  --target ejemplo.com\n"
+            "  python vamp_easm.py export  --target ejemplo.com --json\n"
+            "  python vamp_easm.py watch   --target ejemplo.com --interval 1800\n"
+            "  python vamp_easm.py diff    --target ejemplo.com --from 2026-09-01 --to 2026-09-17\n"
         ),
     )
     parser.add_argument(
@@ -483,6 +929,7 @@ def construir_parser() -> argparse.ArgumentParser:
 
     subparsers = parser.add_subparsers(dest="comando", help="Subcomando a ejecutar")
 
+
     # ── scan ─────────────────────────────────────────────────────────────
     p_scan = subparsers.add_parser("scan", help="Escanear un target y calcular diffs")
     p_scan.add_argument(
@@ -509,6 +956,11 @@ def construir_parser() -> argparse.ArgumentParser:
         "--alert-webhook", metavar="URL", dest="alert_webhook",
         help="URL del webhook para alertas CRITICAL/HIGH (alternativa: env EASM_ALERT_WEBHOOK)",
     )
+    p_scan.add_argument(
+        "--shodan-key", metavar="API_KEY", dest="shodan_key",
+        help="Clave API Shodan (o var SHODAN_API_KEY) — enriquece IPs descubiertas "
+             "con puertos, servicios y vulnerabilidades indexadas por Shodan",
+    )
     add_report_args(p_scan)
 
     # ── history ───────────────────────────────────────────────────────────
@@ -527,6 +979,56 @@ def construir_parser() -> argparse.ArgumentParser:
     p_export.add_argument("--html", action="store_true", help="Exportar como HTML")
     add_report_args(p_export)
 
+    # ── watch ─────────────────────────────────────────────────────────────
+    p_watch = subparsers.add_parser(
+        "watch",
+        help="Modo watch continuo: escanea periódicamente y notifica solo cambios",
+    )
+    p_watch.add_argument(
+        "--target", required=True, metavar="DOMINIO",
+        help="Dominio objetivo a monitorizar",
+    )
+    p_watch.add_argument(
+        "--interval", type=int, default=3600, metavar="SEGUNDOS",
+        help="Segundos entre escaneos (default: 3600)",
+    )
+    p_watch.add_argument(
+        "--alert-webhook", metavar="URL", dest="alert_webhook",
+        help="URL del webhook para alertas cuando se detecten cambios "
+             "(alternativa: env EASM_ALERT_WEBHOOK)",
+    )
+    p_watch.add_argument(
+        "--ports", default="top100", metavar="PORTS",
+        help="Puertos a escanear: 'top100' (default) o lista CSV (ej: 22,80,443)",
+    )
+    p_watch.add_argument(
+        "--nmap", action="store_true",
+        help="Usar nmap como backend de escaneo de puertos",
+    )
+    p_watch.add_argument(
+        "--shodan-key", metavar="API_KEY", dest="shodan_key",
+        help="Clave API Shodan (o var SHODAN_API_KEY) — enriquece IPs descubiertas "
+             "con datos Shodan en cada ciclo de watch",
+    )
+
+    # ── diff ──────────────────────────────────────────────────────────────
+    p_diff = subparsers.add_parser(
+        "diff",
+        help="Mostrar cambios acumulados entre dos snapshots almacenados",
+    )
+    p_diff.add_argument(
+        "--target", required=True, metavar="DOMINIO",
+        help="Dominio objetivo",
+    )
+    p_diff.add_argument(
+        "--from", required=True, dest="from_date", metavar="FECHA",
+        help="Fecha de inicio del rango (YYYY-MM-DD o YYYY-MM-DDTHH:MM)",
+    )
+    p_diff.add_argument(
+        "--to", required=True, dest="to_date", metavar="FECHA",
+        help="Fecha de fin del rango (YYYY-MM-DD o YYYY-MM-DDTHH:MM)",
+    )
+
     return parser
 
 
@@ -548,6 +1050,8 @@ def main() -> None:
         "history": cmd_history,
         "assets":  cmd_assets,
         "export":  cmd_export,
+        "watch":   cmd_watch,
+        "diff":    cmd_diff,
     }
 
     handler = _dispatch.get(args.comando)