Strumenti di deception engineering estratti da una piattaforma di produzione che prende il traffico live degli attaccanti, i canary token della supply chain, i log degli honeypot → scoring MITRE ATT&CK, e una specifica di configurazione di deception firmata e versionabile. Puro Python, MIT.
Quattro strumenti di deception engineering, estratti da una piattaforma di sicurezza in produzione che riceve traffico internet reale, ripuliti da ogni accoppiamento con prodotti/segreti e rilasciati sotto MIT.
Questa non è una demo da laboratorio. Ogni strumento è un pezzo di WraithWall — una piattaforma di deception sviluppata da una sola persona, in esecuzione dietro un reverse proxy con un honeypot che la alimenta 24 ore su 24. Queste sono le parti che sono realmente riutilizzabili in modo autonomo: se gestisci un honeypot, piazzi canary, o vuoi che la tua configurazione di deception sia versionata come codice, sono per te.
Ogni progetto è un pacchetto autonomo, installabile con pip install, con il proprio README, esempi,
test e CLI. Nessuna dipendenza dalla piattaforma — niente Flask, niente database, niente segreti.
| Progetto | Cosa fa | Installazione | PyPI |
|---|---|---|---|
| canary-kit | Genera, registra e rileva canary token per la supply chain — riconduce un beacon in arrivo direttamente al token che hai piazzato. Storage collegabile, Redis opzionale. | pip install canary-kit | Pubblicato 0.1.0 |
| honeypot-mitre | Trasforma i log grezzi dell'honeypot Cowrie in tecniche strutturate MITRE ATT&CK, un punteggio deterministico e deduplicazione per replay — senza LLM richiesto (è un extra opzionale). | pip install honeypot-mitre | Pubblicato 0.1.0 |
| dml-spec | Deception Markup Language — una specifica versionata e firmata con HMAC per la configurazione di trap/canary. Valida, firma e verifica così la tua deception è confrontabile con diff e a prova di manomissione. | cd dml-spec && pip install . | v2 (0.2.0 pronta, non ancora caricata) |
| wraithmesh | Mesh di sensori distribuiti — segue i log Cowrie, aggrega le campagne localmente, invia tramite uplink osservazioni di classi di equivalenza firmate a aggregatori di corroborazione. Egress che preserva la privacy per impostazione predefinita. | cd honeypot-mitre && pip install . && cd ../wraithmesh && pip install . | v2 (0.2.0 pronta, non ancora caricata) |
Pacchetti pubblicati correlati al di fuori di questa cartella: wraithwall (piattaforma), ravenscan (CLI raven).
Il client HTTP API sarà wraithwall-sdk (ancora in sviluppo; non fa parte di questo toolkit).
Vedi PACKAGE_INVENTORY.md per la checklist completa del rilascio v2.
# 1. Canary Kit — mint a token, then detect its beacon
cd canary-kit && pip install .
canary-kit --registry demo.json mint internal-sdk 2.4.1 --type runtime
# ...the token later beacons home from an environment you don't control:
canary-kit --registry demo.json beacon <token-from-mint> --ip 198.51.100.23
# 2. Honeypot → MITRE — raw cowrie log to scored, mapped sessions
cd ../honeypot-mitre && pip install .
honeypot-mitre examples/sample_cowrie.json # → per-session techniques + score + dedup key
# 3. DML — validate, sign, and verify a deception document
cd ../dml-spec && pip install .
export DML_KEY="your-signing-key"
dml validate examples/example_traps.yaml
dml sign examples/example_traps.yaml --key-env DML_KEY > signed.yaml
dml verify signed.yaml --key-env DML_KEY
# 4. WraithMesh — Cowrie tail to signed campaign observations
cd ../wraithmesh && pip install .
export WRAITHMESH_KEY="demo-key"
wraithmesh init-manifest --output /tmp/mesh.json
wraithmesh sensor run --config /tmp/mesh.json --once --log ../honeypot-mitre/examples/sample_cowrie.json
Consulta il README di ciascun progetto per l'API completa, la CLI e le note di progettazione.
pyproject.toml.Tutti e quattro i progetti sono rilasciati sotto la MIT License — © 2026 Niffyhunt. Usali, crea fork, distribuiscili. L'attribuzione è apprezzata, non richiesta.
Parte del progetto WraithWall · di Niffy_hunt · @wraithwalll su X · wraithwall su GitHub