cat > extraer.sh <<'FIN'
#!/bin/bash
# Recorre todas las regiones de la cuenta. Agregar mas al listado si aparecen.
REGIONES="sa-east-1 us-east-1"

: > inspector.jsonl
: > guardduty.jsonl

for REG in $REGIONES; do
  echo "== Region $REG"

  # --- Inspector: primero verificar que este escaneando esta region ---
  EST=$(aws inspector2 batch-get-account-status --region $REG \
        --query 'accounts[0].resourceState.ec2.status' --output text 2>/dev/null)
  echo "   Inspector EC2: ${EST:-sin respuesta}"

  if [ "$EST" = "ENABLED" ]; then
    NEXT=""
    while :; do
      if [ -z "$NEXT" ]; then
        OUT=$(aws inspector2 list-findings --region $REG \
          --filter-criteria '{"findingStatus":[{"comparison":"EQUALS","value":"ACTIVE"}]}' \
          --max-results 100 --output json)
      else
        OUT=$(aws inspector2 list-findings --region $REG \
          --filter-criteria '{"findingStatus":[{"comparison":"EQUALS","value":"ACTIVE"}]}' \
          --max-results 100 --next-token "$NEXT" --output json)
      fi
      echo "$OUT" | jq -c '.findings[]' >> inspector.jsonl
      NEXT=$(echo "$OUT" | jq -r '.nextToken // empty')
      [ -z "$NEXT" ] && break
    done
  else
    echo "   OJO: Inspector no esta escaneando EC2 en $REG."
    echo "        Vacio aqui significa SIN DATOS, no cero vulnerabilidades."
  fi

  # --- Cobertura: a que instancias les esta mirando el software ---
  # Antes esto se deducia en el panel. Deducir no es saber: una instancia bien
  # parchada y una sin agente se ven igual desde afuera. Esto lo pregunta.
  COB='[]'
  if [ "$EST" = "ENABLED" ]; then
    COB=$(aws inspector2 list-coverage --region $REG --max-results 200 --output json 2>/dev/null \
      | jq -c '[ .coveredResources[]
                 | select(.resourceType == "AWS_EC2_INSTANCE")
                 | { id: .resourceId,
                     nombre: (.resourceMetadata.ec2.tags.Name // .resourceId),
                     estado: .scanStatus.statusCode,
                     motivo: (.scanStatus.reason // "") } ]')
    [ -z "$COB" ] && COB='[]'
  fi

  # --- GuardDuty: detector propio de cada region ---
  GDEST="NO_HABILITADO"
  DET=$(aws guardduty list-detectors --region $REG --query 'DetectorIds[0]' --output text)
  if [ "$DET" != "None" ] && [ -n "$DET" ]; then
    GDEST="HABILITADO"
    echo "   GuardDuty: detector $DET"
    aws guardduty list-findings --region $REG --detector-id $DET --output json \
      | jq -r '.FindingIds[]?' > gd_ids.txt   # el ? evita un error si la region no trae detecciones
    if [ -s gd_ids.txt ]; then
      split -l 50 gd_ids.txt _gd_
      for f in _gd_*; do
        aws guardduty get-findings --region $REG --detector-id $DET \
          --finding-ids $(tr '\n' ' ' < $f) \
          | jq -c --arg r "$REG" '.Findings[] | .Region = $r' >> guardduty.jsonl
      done
      rm -f _gd_*
    fi
    rm -f gd_ids.txt
  else
    echo "   OJO: GuardDuty no habilitado en $REG. Sin datos, no cero amenazas."
  fi

  # --- Estado de la region, para que el panel no tenga que suponer nada ---
  jq -nc --arg r "$REG" --arg i "${EST:-SIN_RESPUESTA}" --arg g "$GDEST" --argjson c "$COB" \
     '{_farma_estado:true, region:$r, inspector:$i, guardduty:$g, cobertura:$c}' >> inspector.jsonl
done

echo
echo "Inspector: $(wc -l < inspector.jsonl) hallazgos"
echo "GuardDuty: $(wc -l < guardduty.jsonl) detecciones"
echo "Hallazgos por region:"
jq -r '.resources[0].region' inspector.jsonl | sort | uniq -c
FIN
bash extraer.sh