Canary Intelligence API
Telemetría de ataques en fase temprana en tiempo real
La Canary Intelligence API ofrece telemetría de atacantes en vivo proveniente de nuestra red distribuida de honeypots — brindando a sus equipos de seguridad visibilidad sobre validación de credenciales, sondeo de cuentas y actividad de pruebas de fraude antes de que los ataques escalen.
Detectar compromisos después de que ocurre el daño
Al primer indicio de intención hostil
City of Hats no observa las brechas mientras suceden — observamos a los atacantes mientras atacan.
Los honeypots tradicionales se sientan y esperan. Nuestros canarios están diseñados para ser descubiertos — y envían inteligencia en tiempo real cuando los atacantes interactúan.
Qué proporciona esta API
La API transmite señales de eventos de ataque anonimizadas desde la red de honeypots de City of Hats e infraestructura de engaño asociada.
Señales de ataque detectadas
- Intentos de prueba de credenciales
- Identificación de automatización
- Indicios de infraestructura del atacante
- Reconocimiento de SIM-swap
- Preparación de replay & credential stuffing
- Sondeos de validación de cuentas
- Señales de pagos falsos & pruebas de fraude
Telemetría con privacidad primero
- Sin PII
- Sin actividad personal del usuario
- Solo comportamiento del atacante
Por qué esto importa
La mayoría de los sistemas solo ven actividad de ataque cuando les llega.
City of Hats ve: al atacante practicando — antes del intento real.
Esto permite:
Ejemplo de señal canario
{
"event_type": "credential_testing",
"timestamp": "2026-01-03T04:12:11Z",
"source_country": "RU",
"infrastructure": "residential-proxy",
"attack_confidence": "high",
"related_domain": "example-company.com",
"threat_stage": "TESTING",
"recommended_action": "monitor_or_step_up_auth"
}Desglose de señal
event_type
Tipo de comportamiento de ataque detectado
infrastructure
Tipo de proxy/red del atacante
attack_confidence
Qué tan seguro es que esto es malicioso
threat_stage
Posición en el embudo de ataque
Relación con la puntuación de riesgo
La telemetría canario es una señal de alto valor en el motor de riesgos — especialmente cuando:
Juntos, responden:
"¿Se está preparando esta identidad para un ataque?"
Casos de uso de ejemplo
Fraude & delitos financieros
Detecte pruebas de identidad sintética antes de intentos de abuso de préstamos o cuentas.
Confianza en e-commerce
Detecte preparación de credential-stuffing antes de que los bots lleguen al pago.
Seguridad laboral
Identifique reconocimiento hostil antes del compromiso de cuentas corporativas.
Defensa de telecomunicaciones & operadores
Detecte actividad de reconocimiento de SIM-swap antes de eventos de toma de control.
Referencia de API
curl -X GET "https://api.cityofhats.com/v1/canary/signals?limit=50&threat_only=true&since_hours=24" \
-H "Authorization: Bearer YOUR_API_KEY"{
"signals": [
{
"id": "sig_82933",
"event_type": "credential_testing",
"confidence": "high",
"source_region": "EU",
"proxy_type": "residential",
"threat_stage": "TESTING",
"related_domain": "example.com",
"timestamp": "2026-01-03T04:12:11Z",
"recommended_action": "monitor_or_step_up"
}
],
"total_count": 142,
"time_range": "24h"
}/v1/canary/threat-feed
Solo señales de amenaza de alta confianza
/v1/canary/campaigns
Campañas de ataque agrupadas
/v1/canary/stats
Estadísticas & tendencias de red
Referencia de campos de respuesta
event_type
string
credential_testing | account_probe | sim_recon | fraud_test
confidence
string
low | medium | high — confianza de la señal
source_region
string
Origen geográfico del ataque (región ISO)
proxy_type
string
datacenter | residential | mobile | tor
threat_stage
string
TESTING | ATTACK — posición en el embudo
related_domain
string
Marca/dominio objetivo siendo probado
recommended_action
string
monitor | step_up | block | alert_soc
Alineación con el embudo de amenazas
Las señales canario típicamente aparecen en estas etapas críticas:
- Ensayo de credenciales
- Validación de cuentas
- Ejecuciones de prueba de bots
- Abuso de credenciales en vivo
- Secuestro de sesión
- Toma de control de SIM
Lo que significa: Los clientes detectan amenazas antes de que comience la monetización.
Ejemplos de activadores de automatización
IF:
- Confianza canario =
high - AND Exposición de credenciales =
true
ACTIONS:
- 🔐 Aplicar autenticación reforzada
- 📊 Monitorear comportamiento de transacciones
- 🚨 Alertar al SOC
Sin necesidad de aprobación humana. Automatización impulsada por inteligencia a velocidad de máquina.
Dónde se integra
Las señales canario fluyen sin problemas hacia su infraestructura existente de seguridad y fraude.
SIEM
Ingesta de eventos en tiempo real para Splunk, Sentinel, Chronicle
SOAR
Playbooks automatizados y orquestación de respuesta
Inteligencia de amenazas
Feeds de enriquecimiento para plataformas TIP
Motores de fraude
Señales de riesgo para sistemas de decisión
También se integra con:
🔐 Privacidad & controles
Inteligencia de adversarios — no vigilancia.
- Sin monitoreo de usuarios
- Sin fingerprinting conductual
- Sin reventa de datos
- Telemetría completamente anonimizada
- Controles de gobernanza empresarial
- Cumplimiento SOC 2 Type II
⚡ Rendimiento & entrega
Diseñado para operaciones de seguridad en tiempo real.
- Streaming en tiempo real o polling
- Cobertura global de honeypots
- Diseñado para ingesta SIEM / SOAR
- Enriquecimiento de baja latencia
- 99.9% uptime SLA
- Rendimiento empresarial
Por qué las empresas eligen Canary Intelligence
Los feeds de amenazas le dicen lo que ya pasó. Canary le dice lo que los atacantes están planeando.
La Canary Intelligence API brinda a su organización un sistema estratégico de alerta temprana — detectando el comportamiento de los atacantes antes de que las credenciales sean utilizadas como arma y las cuentas sean comprometidas.
Comience a usar Canary Intelligence API
Detecte atacantes mientras practican. Obtenga telemetría de alerta temprana antes de que las credenciales sean utilizadas como arma.