Parallax Deception coordina decoys de red, identidades simuladas, honeytokens y canarytokens bajo un mismo objeto de operación, con un motor de reglas determinista que cierra el ciclo observar → decidir → desplegar → reajustar.
La categoría importa: lo primero es descartar las tres cosas con las que se confunde.
Operar engaño hoy con herramientas libres significa decisiones manuales y desconectadas: nadie dice qué desplegar ni cuándo, nadie compara lo planificado contra lo que efectivamente pasó, y cada herramienta vive en su propia interfaz con su propio modelo de datos.
Un honeypot cubre una superficie. Una operación necesita varias, coordinadas entre sí y con un estado común.
El señuelo es el medio. La decisión de dónde ponerlo, con qué historia y hasta cuándo es el trabajo real.
La detección es el resultado. Acá se diseña, se despliega y se mide lo que hace que ocurra.
Es la capa de arriba: herramientas de deception que hoy viven cada una en su interfaz, unificadas bajo un objeto de operación con perfil de adversario, reglas de interacción, escenarios, telemetría e informe de cierre.
Los 7 pasos son una secuencia real, no una lista: cada uno consume lo que produjo el anterior.
El modelo de datos implementa 1:1 los siete pasos de la metodología publicada de CTI a ciberengaño (Pacheco & Staino). No es una herramienta a la que después se le pegó un framework encima: cada paso es una parte del modelo, persistida, editable y auditada.
Catálogo curado de MITRE ATT&CK con selección por táctica, precarga desde grupos APT conocidos e ingesta de informes de CTI en .txt/.pdf — extracción determinista presentada como sugerencia, nunca aplicada sola.
Qué se permite y qué se prohíbe, entorno, restricciones legales, contacto de escalamiento, objetivos estratégicos, roles y recursos. Más los criterios de cierre, incluidas condiciones de evento que terminan la operación sola.
Cada escenario con su nivel de engaño y sus TTPs vinculadas: la unidad que después conecta la intención con las capacidades concretas que la materializan.
El triple Ver – Pensar – Hacer de MITRE Engage por capacidad desplegada, con matriz visual de actividades (Goals × Approaches × Activities) y sugerencias derivadas de las TTPs esperadas y del objetivo estratégico, etiquetadas por origen.
La historia que sostiene la ficción y su impacto psicológico buscado: empleados, infraestructura y documentos ficticios contando lo mismo, no un conjunto de señuelos sueltos.
Esperado contra observado con heatmap de TTPs estilo ATT&CK Navigator, IoCs tipados, informe en Markdown, JSON y PDF, y exportación STIX 2.1 lista para un SIEM/SOAR.
Una operación nueva precargada con lo aprendido de la cerrada: las TTPs observadas que no estaban en el perfil original vuelven al paso 1 y el ciclo empieza otra vez con más información.
Determinista y auditable. Contracorriente a propósito, con argumento de seguridad detrás.
Las reglas son YAML editable, evaluadas en tiempo real contra el bus de eventos, y cada disparo queda registrado. La razón no es purismo: interpretar contenido no confiable producido por un atacante como entrada de una decisión automática es una superficie de ataque, no una comodidad. La generación por modelo existe en la herramienta, pero solo para contenido de la ficción — nunca para la decisión.
# Cada disparo queda en el historial persistido de la operación. rules: - name: "Escaneo en el decoy de borde: desplegar el señuelo interno y activar" when: event_type: interaction plugin_id: dolost-borde-1 payload: kind: scan then: - action: deploy plugin_id: honeytoken-finanzas-1 - action: transition to: active
Editor con resaltado y validación en línea contra el parser real — no una reimplementación en JavaScript — y un constructor visual para quien no escribe YAML.
Antes de ejecutar cualquier acción, el motor consulta las RoE de esa operación. Si está prohibida no se ejecuta, no falla en silencio y queda registrada como rechazada, con motivo. Más un tope configurable de acciones por cadena de eventos, como defensa contra cascadas.
Cada acción de un operador — desplegar, rotar, retirar — se atribuye a una identidad y se persiste en un historial encadenado con SHA-256, que señala la entrada exacta si alguien alteró el archivo. El motor conserva su propia historia, separada.
Recorrido completo: diseñar, validar antes de tocar infraestructura, ejecutar, observar, cerrar.
Cinco superficies reales, un mock de referencia para desarrollo, y un puente que solo ingiere telemetría de lo que ya tenés.
Un tercero integra su propia herramienta declarando un entry point en su propio paquete, sin tocar una línea del core. Las capacidades que vienen de fábrica se registran exactamente igual, sin trato especial.
Señuelos de alta interacción con estado de contenedor en vivo, despliegue individual o por campaña.
Empleados ficticios con actividad real sobre máquinas de la ficción. La generación por modelo produce contenido, nunca decisiones.
Credenciales ficticias en disco, sin dependencias externas, con detección de acceso y rotación de contenido sin reubicar el archivo.
Cloud, documentos con beacon, DNS, QR, correo. Encaja directo con el modelo de migas: un canarytoken es una miga.
Tripwires livianos multi-servicio (SSH, FTP, HTTP, Telnet, MySQL) que registran lo que se tecleó del otro lado.
Ingiere eventos de un stack externo con mapeo declarativo de campos, sin desplegarlo ni controlarlo, y los correlaciona contra las TTPs esperadas.
Pensado para sostener la metodología en el tiempo, no solo para una demo.
Sin usuarios, la instancia queda abierta para un recorrido local; al crear el primero, la aplicación exige inicio de sesión en todas sus rutas. Contraseñas hasheadas, o inicio de sesión por OIDC contra tu proveedor — donde el proveedor autentica y la herramienta autoriza: un sujeto sin dar de alta no entra.
Lectura, operación y administración sobre una allowlist central: una ruta nueva sin clasificar se deniega por defecto, incluso a administración. Las operaciones de otro equipo devuelven 404, no una lista filtrada a medias.
Claves de API, tokens y credenciales quedan cifrados en disco. Protege una copia, un backup o un JSON reenviado; no protege a quien tenga acceso al host, y el módulo lo dice así en vez de insinuar más.
Gunicorn, nginx con TLS y una unidad systemd, con creación desatendida del primer usuario y una advertencia explícita sobre dar acceso al socket de Docker.
Preferimos que lo leas acá y no que lo descubras a mitad de una operación.
La herramienta está construida sobre una regla: asiste, nunca decide por vos. De ahí salen tanto sus fortalezas como estos límites, que son alcance intencional y no carencias escondidas.
El resultado de una capacidad se registra como texto libre, con fecha y operador. Un porcentaje sintético sobre eso sería inventado, y no lo vas a encontrar en ninguna pantalla.
Nacieron para acotar lo que el motor hace solo. Un operador que despliega a mano no pasa por esa guarda — queda auditado, no bloqueado.
Reconoce identificadores y nombres de técnica o alias de grupo contra el catálogo curado. Puede tener falsos positivos y negativos reales; por eso se presenta como sugerencia y nunca se aplica sola.
Es una decisión de alcance. Coordina y mide el engaño que desplegan las herramientas que ya usás, en vez de replicar tu entorno.
No es infinitamente configurable, y la interfaz lo marca escenario por escenario en vez de simular que todo lo esperado va a observarse.
Sin checkouts hermanos, sin servicios separados, sin orquestar contenedores para la herramienta en sí.
Todo vive en un solo proceso Flask: el núcleo, las capacidades nativas y la interfaz. Docker hace falta solo para los decoys de contenedor y el laboratorio, no para la aplicación.
# instalar python3 -m venv venv && source venv/bin/activate pip install -e ".[dev]" # poblar con tres operaciones de ejemplo, completas y reales python examples/seed_demo.py # correr python -m apate.web # http://127.0.0.1:5000
Las operaciones de ejemplo llegan con telemetría, incidentes, clasificación TLP, inventario de activos y una operación ya cerrada — para ver el informe y el heatmap con datos reales desde el primer minuto. Correrlo de nuevo no duplica nada.
Modelo dual: la misma funcionalidad, dos formas de licenciarla.
Incluye hoy todo: modelo de operaciones, motor determinista y sus guardas, capacidades de engaño, telemetría, informes, catálogos de ATT&CK y Engage, interfaz web, laboratorio, identidad, roles, auditoría y puntos de extensión. El compromiso es explícito: nada de eso se mueve detrás de un pago más adelante.
Para organizaciones que no pueden asumir las obligaciones de la AGPLv3 al integrar, modificar u ofrecer como servicio. No hay open core: no existe código, directorio ni capacidad comercial separada. Se monetiza una autorización de licencia, no la ausencia de funciones.
Diseñá la operación, validá el diseño antes de tocar infraestructura, deja que el motor decida según reglas que escribiste vos, y cerrá con un informe que tu programa de CTI puede ingerir.