WraithWall 开源工具包

四款欺骗工程工具，从一套处理实时互联网流量的生产安全平台中提取出来， 清除了所有产品/密钥耦合，并以 MIT 许可证发布。

这不是实验室演示。每个工具都是 WraithWall 的一部分 —— 一个 由个人独立构建的欺骗平台，运行在反向代理之后，并由一个全天候为其提供数据的蜜罐支撑。这些是真正可以独立复用的部分：如果你运行蜜罐、埋设金丝雀令牌，或者希望像管理代码一样对欺骗配置进行版本控制，它们就是为你准备的。

每个项目都是一个独立的、可通过 pip install 安装的包，拥有自己的 README、示例、 测试和 CLI。不依赖该平台 —— 没有 Flask，没有数据库，没有密钥。

---

工具

项目	功能	安装
canary-kit	生成、注册并检测 供应链金丝雀令牌 —— 将传入的信标直接匹配回你埋设的令牌。可插拔存储，可选 Redis。	cd canary-kit && pip install .
honeypot-mitre	将原始 Cowrie 蜜罐日志 转换为结构化的 MITRE ATT&CK 技术、确定性评分 和 重放去重 —— 无需 LLM（它是可选的附加项）。	cd honeypot-mitre && pip install .
dml-spec	欺骗标记语言 —— 一种带版本、HMAC 签名 的陷阱/金丝雀配置规范。验证、签名和校验，让你的欺骗配置可 diff 且防篡改。	cd dml-spec && pip install .
wraithmesh	分布式传感器网格 —— 跟踪 Cowrie 日志，在本地归并攻击活动，将签名的 等价类观测 上行至相互印证的聚合器。默认采用隐私保护的外发方式。	cd honeypot-mitre && pip install . && cd ../wraithmesh && pip install .

---

快速体验

# 1. Canary Kit — mint a token, then detect its beacon
cd canary-kit && pip install .
canary-kit --registry demo.json mint internal-sdk 2.4.1 --type runtime
# ...the token later beacons home from an environment you don't control:
canary-kit --registry demo.json beacon <token-from-mint> --ip 198.51.100.23

# 2. Honeypot → MITRE — raw cowrie log to scored, mapped sessions
cd ../honeypot-mitre && pip install .
honeypot-mitre examples/sample_cowrie.json     # → per-session techniques + score + dedup key

# 3. DML — validate, sign, and verify a deception document
cd ../dml-spec && pip install .
export DML_KEY="your-signing-key"
dml validate examples/example_traps.yaml
dml sign     examples/example_traps.yaml --key-env DML_KEY > signed.yaml
dml verify   signed.yaml --key-env DML_KEY

# 4. WraithMesh — Cowrie tail to signed campaign observations
cd ../wraithmesh && pip install .
export WRAITHMESH_KEY="demo-key"
wraithmesh init-manifest --output /tmp/mesh.json
wraithmesh sensor run --config /tmp/mesh.json --once --log ../honeypot-mitre/examples/sample_cowrie.json

查看每个项目的 README 以了解完整的 API、CLI 和设计说明。

---

设计原则（四者共通）

• 确定性核心。 评分、映射和签名都是透明的算术和标准加密，你可以在脑中运行或逐行审计 —— 而不是黑盒。在 LLM 有帮助的地方，它严格来说是可选的。
• 无隐藏耦合。 每个包在导入和运行时对父平台、Flask、数据库或 Redis 零依赖。外部服务（Redis、LLM、持久化）都是可插拔接口，并带有合理的内存默认实现。
• 绝不包含密钥。 签名密钥和凭据来自调用方（构造函数参数或调用方设置的环境变量）。没有任何硬编码内容。
• 对局限坦诚。 基于子字符串的 ATT&CK 匹配是粗糙的；关联是近实时的，而非穷尽的。文档直言不讳，而不是暗示并不存在的覆盖范围。

要求

• Python 3.10+
• 基本就这些 —— 依赖极少，并在每个项目的 pyproject.toml 中声明。

许可证

四个项目均以 MIT 许可证 发布 —— © 2026 niffy_hunt。 使用它们，fork 它们，发布它们。欢迎署名，但非必需。

---

属于 WraithWall 项目的一部分 · 作者 Niffy_hunt · X 上的 @wraithwalll · GitHub 上的 wraithwall