WraithWall Open-Source Toolkit

Quattro strumenti di deception engineering, estratti da una piattaforma di sicurezza in produzione che gestisce traffico internet live, ripuliti da ogni accoppiamento con prodotto/segreti, e rilasciati sotto MIT.

Questa non è una demo da laboratorio. Ogni strumento è un pezzo di WraithWall — una piattaforma di deception sviluppata in solitaria che gira dietro un reverse proxy con un honeypot che la alimenta ventiquattro ore su ventiquattro. Queste sono le parti che sono genuinamente riutilizzabili da sole: se gestisci un honeypot, pianti canary, o vuoi la tua configurazione di deception versionata come codice, sono per te.

Ogni progetto è un pacchetto standalone, installabile con pip install, con il proprio README, esempi, test e CLI. Nessuna dipendenza dalla piattaforma — niente Flask, niente database, niente segreti.

---

Gli strumenti

Progetto	Cosa fa	Installazione
canary-kit	Conia, registra e rileva canary token per la supply chain — riconduce un beacon in arrivo direttamente al token che hai piantato. Storage pluggable, Redis opzionale.	cd canary-kit && pip install .
honeypot-mitre	Trasforma i log grezzi dell'honeypot Cowrie in tecniche MITRE ATT&CK strutturate, un punteggio deterministico, e deduplicazione per replay — nessun LLM richiesto (è un extra opzionale).	cd honeypot-mitre && pip install .
dml-spec	Deception Markup Language — una specifica versionata e firmata con HMAC per la configurazione di trap/canary. Valida, firma e verifica così la tua deception è diffabile e a prova di manomissione.	cd dml-spec && pip install .
wraithmesh	Mesh di sensori distribuiti — segue i log di Cowrie, aggrega le campagne localmente, invia osservazioni firmate di classi di equivalenza ad aggregatori di corroborazione. Egress che preserva la privacy per impostazione predefinita.	cd honeypot-mitre && pip install . && cd ../wraithmesh && pip install .

---

Un assaggio rapido

# 1. Canary Kit — mint a token, then detect its beacon
cd canary-kit && pip install .
canary-kit --registry demo.json mint internal-sdk 2.4.1 --type runtime
# ...the token later beacons home from an environment you don't control:
canary-kit --registry demo.json beacon <token-from-mint> --ip 198.51.100.23

# 2. Honeypot → MITRE — raw cowrie log to scored, mapped sessions
cd ../honeypot-mitre && pip install .
honeypot-mitre examples/sample_cowrie.json     # → per-session techniques + score + dedup key

# 3. DML — validate, sign, and verify a deception document
cd ../dml-spec && pip install .
export DML_KEY="your-signing-key"
dml validate examples/example_traps.yaml
dml sign     examples/example_traps.yaml --key-env DML_KEY > signed.yaml
dml verify   signed.yaml --key-env DML_KEY

# 4. WraithMesh — Cowrie tail to signed campaign observations
cd ../wraithmesh && pip install .
export WRAITHMESH_KEY="demo-key"
wraithmesh init-manifest --output /tmp/mesh.json
wraithmesh sensor run --config /tmp/mesh.json --once --log ../honeypot-mitre/examples/sample_cowrie.json

Consulta il README di ciascun progetto per l'API completa, la CLI e le note di progettazione.

---

Principi di progettazione (condivisi da tutti e quattro)

• Core deterministico. Punteggi, mappature e firme sono aritmetica trasparente e crittografia standard che puoi eseguire a mente o verificare riga per riga — non una black box. Dove un LLM aiuta, è strettamente opzionale.
• Nessun accoppiamento nascosto. Ogni pacchetto si importa e funziona con zero dipendenze dalla piattaforma madre, da Flask, da un database o da Redis. I servizi esterni (Redis, un LLM, la persistenza) sono interfacce pluggable con default in-memory sensati.
• Nessun segreto, mai. Le chiavi di firma e le credenziali provengono dal chiamante (argomento del costruttore o una variabile d'ambiente impostata dal chiamante). Nulla è hardcoded.
• Onesti sui limiti. Il matching ATT&CK basato su sottostringhe è grezzo; la correlazione è quasi in tempo reale, non esaustiva. La documentazione lo dice chiaramente invece di implicare una copertura che non c'è.

Requisiti

• Python 3.10+
• Più che altro è tutto qui — le dipendenze sono minime e dichiarate per progetto in ciascun pyproject.toml.

Licenza

Tutti e quattro i progetti sono rilasciati sotto la MIT License — © 2026 niffy_hunt. Usali, forkali, distribuiscili. L'attribuzione è apprezzata, non richiesta.

---

Parte del progetto WraithWall · di Niffy_hunt · @wraithwalll su X · wraithwall su GitHub